Ce que doit couvrir un contrôle de conformité de site web dans l’UE

« Notre site web est-il conforme ? » semble être une seule question. Dans l’UE, il y en a au moins six, régies par des actes juridiques différents et contrôlées par des autorités différentes : les autorités de protection des données pour les cookies et les politiques de confidentialité, les organismes de protection des consommateurs pour les informations des boutiques et les autorités de surveillance du marché pour l’accessibilité. Un bon contrôle de conformité, que vous le réalisiez vous-même ou que vous achetiez un scanner, doit les couvrir toutes et vous indiquer de quelle règle découle chaque constat.

1. Cookies, stockage et consentement

L’article 5, paragraphe 3, de la directive ePrivacy exige un consentement avant que des informations soient stockées sur l’appareil d’un visiteur ou lues sur celui-ci, sauf si cela est strictement nécessaire au service expressément demandé par le visiteur (en France, cette règle est transposée à l’article 82 de la loi Informatique et Libertés). La règle vise les cookies, mais aussi le stockage local, les pixels et les techniques d’empreinte numérique (fingerprinting). Le niveau d’exigence du consentement est celui du RGPD : libre, spécifique, éclairé et univoque (articles 4, point 11, et 7 du RGPD).

Un contrôle doit donc :

• charger le site dans un navigateur vierge sans interagir et enregistrer chaque cookie, chaque entrée de stockage et chaque requête réseau qui apparaît avant tout choix ;
• répéter la visite après un clic sur « refuser » et confirmer que les traceurs non essentiels restent désactivés ;
• vérifier que refuser est aussi simple qu’accepter, qu’aucune option n’est présélectionnée et que le consentement peut être retiré aussi facilement qu’il a été donné (article 7, paragraphe 3, du RGPD) ;
• comparer ce qu’affirment la bannière et la liste des cookies avec ce qui se charge réellement.

Notre guide dédié, Consentement aux cookies : ce qu’exigent les règles ePrivacy, entre dans le détail.

2. Requêtes vers des tiers et transferts de données

Chaque police, vidéo, carte, widget de chat ou balise d’analyse intégré envoie l’adresse IP et les informations du navigateur du visiteur à une autre entreprise. Au regard du RGPD, il s’agit d’une transmission de données à caractère personnel qui nécessite une base juridique (article 6) et, si le destinataire est établi hors de l’EEE, un mécanisme de transfert au titre du chapitre V. Dans l’arrêt Fashion ID (C-40/17), la Cour de justice a jugé que l’exploitant d’un site qui intègre un module tiers peut être responsable conjoint de la collecte et de la transmission des données des visiteurs.

Un scanner doit répertorier chaque hôte tiers contacté par la page, le moment où il est contacté (avant ou après le consentement) et, idéalement, le lieu d’établissement du destinataire. Héberger soi-même les polices et les scripts est la solution la plus simple pour de nombreux constats.

3. La politique de confidentialité

Les articles 13 et 14 du RGPD énumèrent ce qui doit être communiqué aux visiteurs : l’identité du responsable du traitement et ses coordonnées (ainsi que celles du délégué à la protection des données, s’il en a été désigné un), les finalités et les bases juridiques de chaque traitement, les destinataires, les transferts hors de l’EEE, les durées de conservation, les droits des personnes concernées, le droit d’introduire une réclamation auprès d’une autorité de contrôle et l’existence éventuelle d’une prise de décision automatisée. L’article 12 ajoute que ces informations doivent être concises, transparentes et aisément accessibles.

Les outils automatisés peuvent confirmer qu’une politique existe, qu’elle est accessible depuis chaque page et qu’elle mentionne les éléments requis. La question de savoir si son contenu correspond à ce que fait réellement le site est la plus importante, et c’est celle qu’un scanner ne peut traiter qu’approximativement, en comparant la politique avec les traceurs qu’il a détectés.

4. Informations sur le prestataire (« mentions légales »)

L’article 5 de la directive sur le commerce électronique impose à tout service de la société de l’information de rendre certaines informations accessibles « de façon facile, directe et permanente » : le nom du prestataire, son adresse géographique, ses coordonnées, y compris une adresse électronique, l’inscription au registre du commerce et le numéro d’immatriculation, le numéro d’identification TVA et, le cas échéant, l’autorité de surveillance compétente ou les règles professionnelles applicables. Plusieurs États membres mettent cela en œuvre sous la forme d’une page de mentions légales dédiée (en Allemagne le § 5 DDG, en Autriche le § 5 ECG, en Slovaquie la loi n° 22/2004 Rec.).

Un contrôle doit confirmer que la page existe, qu’elle est accessible en un ou deux clics depuis chaque page et qu’elle contient chaque élément. Pour en savoir plus : Mentions légales et obligations d’information du droit de la consommation pour les boutiques en ligne dans l’UE.

5. Informations relevant du droit de la consommation pour les boutiques

Si le site vend à des consommateurs, la directive relative aux droits des consommateurs ajoute les informations précontractuelles (article 6), le libellé du bouton de commande (article 8, paragraphe 2 ; en France, article L221-14 du Code de la consommation) et le droit de rétractation de 14 jours (article 9). Depuis la directive Omnibus 2019/2161, les boutiques doivent en outre expliquer comment le classement des produits est déterminé, indiquer si et comment elles vérifient les avis de consommateurs et afficher le prix antérieur lorsqu’elles annoncent une réduction (directive relative à l’indication des prix, article 6 bis).

6. Accessibilité

Depuis le 28 juin 2025, l’European Accessibility Act s’applique au commerce électronique destiné aux consommateurs et à plusieurs autres services. En pratique, cela signifie satisfaire aux exigences web de la norme EN 301 549, qui renvoie aux WCAG 2.1 niveau AA. Les tests automatisés détectent de manière fiable l’absence de texte alternatif, un contraste insuffisant, des champs de formulaire sans libellé et l’absence d’attributs de langue ; l’utilisation au clavier et le parcours avec un lecteur d’écran doivent toujours être testés manuellement. Voir Accessibilité (EAA 2025) pour les sites web.

Une liste de contrôle sur une page

Ce qu’aucun scanner ne peut voir

Les registres des activités de traitement (article 30 du RGPD), les contrats de sous-traitance (article 28), les analyses d’impact relatives à la protection des données (article 35), le suivi côté serveur et ce qui se passe dans les espaces réservés aux utilisateurs connectés sont invisibles pour un robot d’exploration. Une analyse est le meilleur point de départ et un excellent test de non-régression ; ce n’est pas un audit complet. Notre guide Ce que les scanners de conformité automatisés peuvent et ne peuvent pas contrôler explique où passe la limite.