Consentement aux cookies et Analytics en Roumanie : mesurer le trafic sans enfreindre le RGPD

La peur des amendes vous pousse à poser sur votre site un bandeau générique, copié quelque part, en espérant que ça ira. Le problème, c'est que la plupart des bandeaux qu'on voit en Roumanie sont mal faits : ils chargent Google Analytics avant que le visiteur ne clique quoi que ce soit, ou ils n'offrent qu'un bouton "Accepter". Ce sont précisément les choses pour lesquelles une autorité de protection des données peut vous sanctionner.

La bonne nouvelle : vous n'avez pas à choisir entre "conforme" et "données utiles". Vous pouvez avoir un bandeau correct et voir malgré tout d'où viennent les gens, quelles pages ils lisent et où ils abandonnent. Dans cet article, je vous explique, en termes de chef d'entreprise et non de juriste, ce que la loi demande, à quoi ressemble un consentement valide et quelles options vous avez pour mesurer le trafic serein.

Ce que dit vraiment la loi (sans jargon)

En Roumanie, le RGPD s'applique aux côtés de la loi 506/2004 (transposition locale de la directive ePrivacy). La règle de base est simple : pour tout cookie qui n'est pas strictement nécessaire au fonctionnement du site, il faut le consentement avant de le poser sur l'appareil du visiteur.

• Cookies essentiels (panier, session de connexion, préférence de langue) : pas de consentement nécessaire.
• Cookies de statistique, marketing, remarketing, cartes de comportement : consentement explicite requis.

Google Analytics relève du deuxième groupe, car il pose des cookies et traite des données sur les visiteurs. L'autorité qui contrôle et sanctionne est l'ANSPDCP. Être une petite entreprise n'exempte de rien : les règles sont les mêmes pour un salon de province et pour un magasin national.

À quoi ressemble un consentement valide

Un bandeau conforme, ce n'est pas juste un texte et un bouton. Le consentement doit être :

• Préalable : les scripts de suivi ne se déclenchent pas avant que la personne clique sur "Accepter". Si Analytics se charge à l'ouverture de la page, vous avez déjà enfreint la règle, quel que soit le texte du bandeau.
• Granulaire : le visiteur peut accepter les statistiques mais refuser le marketing. Les cases pré-cochées sont interdites.
• Aussi facile à refuser qu'à accepter : un bouton "Tout refuser" doit être aussi visible que "Tout accepter". Un bandeau avec seulement "Accepter" n'est pas un consentement, c'est une contrainte.
• Révocable : la personne doit pouvoir changer d'avis à tout moment, souvent via un lien discret dans le pied de page.

Si votre bandeau coche tout cela, vous êtes sur un terrain solide.

Google Consent Mode : mesurer même en cas de refus

Beaucoup de propriétaires pensent que si un visiteur clique sur "Refuser", les données sont totalement perdues. Ce n'est pas tout à fait le cas. Google dispose d'un mécanisme appelé Consent Mode (version 2) qui ajuste le comportement selon le choix de l'utilisateur.

En bref : quand quelqu'un refuse les cookies de statistique, Analytics cesse de poser des cookies et de collecter des données personnelles, mais envoie encore des signaux anonymes et agrégés. Google utilise ensuite la modélisation pour estimer la part de trafic non mesurée. Ce n'est pas aussi précis que des données complètes, mais vous voyez toujours des tendances réelles.

Cela vous donne l'essentiel pour une entreprise locale : d'où viennent les gens, quelles campagnes marchent et quelles pages convertissent, sans enfreindre la loi. La configuration se fait via la plateforme de consentement reliée à votre compte Analytics.

L'alternative : l'analytics sans cookies

Si vous voulez tout simplifier, il existe des outils d'analyse qui ne posent pas de cookies et ne suivent pas le visiteur individuel : Plausible, Umami, Matomo (configuré privacy-first) ou l'analytics intégré à Cloudflare.

L'avantage : ils collectent des données agrégées et anonymes, et dans la plupart des cas ne déclenchent pas l'obligation de bandeau pour les statistiques. Vous voyez tout ce qui compte pour une petite entreprise, nombre de visiteurs, pages populaires, sources de trafic, avec beaucoup moins de tracas juridique.

Attention à la nuance : "sans cookies" ne signifie pas automatiquement "aucune obligation". Vous devez toujours mentionner le traitement dans votre politique de confidentialité. Mais vous réduisez fortement la surface de risque. Pour beaucoup de nos clients, cette combinaison, analytics privacy-first plus un bandeau minimal uniquement pour le marketing, est le compromis le plus propre.

Les erreurs qui vous valent vraiment une amende

D'après les sites que nous reprenons, les mêmes quelques erreurs reviennent :

• Les scripts de suivi qui se déclenchent avant le consentement. La plus fréquente et la plus facile à prouver.
• Un bandeau à un seul bouton, "Accepter", sans vraie option de refus.
• Des cases pré-cochées pour le marketing.
• L'absence d'une politique de cookies qui dit clairement quels cookies vous utilisez et pourquoi.
• L'impossibilité de retirer son consentement une fois donné.

Aucune n'est difficile à corriger, mais il faut le faire correctement sur le plan technique, pas seulement cosmétiquement. Nous livrons des sites avec un bandeau conforme et un analytics bien configuré dès le départ, à distance, partout dans le pays. Si vous voulez qu'on examine ensemble votre site actuel, écrivez-nous sur WhatsApp et nous vous dirons honnêtement ce qui va et ce qui doit changer.