Consentement aux cookies et Analytics en Roumanie : mesurer le trafic sans enfreindre le RGPD

La peur des amendes vous pousse a poser sur votre site un bandeau generique, copie quelque part, en esperant que ca ira. Le probleme, c'est que la plupart des bandeaux qu'on voit en Roumanie sont mal faits : ils chargent Google Analytics avant que le visiteur ne clique quoi que ce soit, ou ils n'offrent qu'un bouton "Accepter". Ce sont precisement les choses pour lesquelles une autorite de protection des donnees peut vous sanctionner.

La bonne nouvelle : vous n'avez pas a choisir entre "conforme" et "donnees utiles". Vous pouvez avoir un bandeau correct et voir malgre tout d'ou viennent les gens, quelles pages ils lisent et ou ils abandonnent. Dans cet article, je vous explique, en termes de chef d'entreprise et non de juriste, ce que la loi demande, a quoi ressemble un consentement valide et quelles options vous avez pour mesurer le trafic serein.

Ce que dit vraiment la loi (sans jargon)

En Roumanie, le RGPD s'applique aux cotes de la loi 506/2004 (transposition locale de la directive ePrivacy). La regle de base est simple : pour tout cookie qui n'est pas strictement necessaire au fonctionnement du site, il faut le consentement avant de le poser sur l'appareil du visiteur.

• Cookies essentiels (panier, session de connexion, preference de langue) : pas de consentement necessaire.
• Cookies de statistique, marketing, remarketing, cartes de comportement : consentement explicite requis.

Google Analytics releve du deuxieme groupe, car il pose des cookies et traite des donnees sur les visiteurs. L'autorite qui controle et sanctionne est l'ANSPDCP. Etre une petite entreprise n'exempte de rien : les regles sont les memes pour un salon de province et pour un magasin national.

A quoi ressemble un consentement valide

Un bandeau conforme, ce n'est pas juste un texte et un bouton. Le consentement doit etre :

• Prealable : les scripts de suivi ne se declenchent pas avant que la personne clique sur "Accepter". Si Analytics se charge a l'ouverture de la page, vous avez deja enfreint la regle, quel que soit le texte du bandeau.
• Granulaire : le visiteur peut accepter les statistiques mais refuser le marketing. Les cases pre-cochees sont interdites.
• Aussi facile a refuser qu'a accepter : un bouton "Tout refuser" doit etre aussi visible que "Tout accepter". Un bandeau avec seulement "Accepter" n'est pas un consentement, c'est une contrainte.
• Revocable : la personne doit pouvoir changer d'avis a tout moment, souvent via un lien discret dans le pied de page.

Si votre bandeau coche tout cela, vous etes sur un terrain solide.

Google Consent Mode : mesurer meme en cas de refus

Beaucoup de proprietaires pensent que si un visiteur clique sur "Refuser", les donnees sont totalement perdues. Ce n'est pas tout a fait le cas. Google dispose d'un mecanisme appele Consent Mode (version 2) qui ajuste le comportement selon le choix de l'utilisateur.

En bref : quand quelqu'un refuse les cookies de statistique, Analytics cesse de poser des cookies et de collecter des donnees personnelles, mais envoie encore des signaux anonymes et agreges. Google utilise ensuite la modelisation pour estimer la part de trafic non mesuree. Ce n'est pas aussi precis que des donnees completes, mais vous voyez toujours des tendances reelles.

Cela vous donne l'essentiel pour une entreprise locale : d'ou viennent les gens, quelles campagnes marchent et quelles pages convertissent, sans enfreindre la loi. La configuration se fait via la plateforme de consentement reliee a votre compte Analytics.

L'alternative : l'analytics sans cookies

Si vous voulez tout simplifier, il existe des outils d'analyse qui ne posent pas de cookies et ne suivent pas le visiteur individuel : Plausible, Umami, Matomo (configure privacy-first) ou l'analytics integre a Cloudflare.

L'avantage : ils collectent des donnees agregees et anonymes, et dans la plupart des cas ne declenchent pas l'obligation de bandeau pour les statistiques. Vous voyez tout ce qui compte pour une petite entreprise, nombre de visiteurs, pages populaires, sources de trafic, avec beaucoup moins de tracas juridique.

Attention a la nuance : "sans cookies" ne signifie pas automatiquement "aucune obligation". Vous devez toujours mentionner le traitement dans votre politique de confidentialite. Mais vous reduisez fortement la surface de risque. Pour beaucoup de nos clients, cette combinaison, analytics privacy-first plus un bandeau minimal uniquement pour le marketing, est le compromis le plus propre.

Les erreurs qui vous valent vraiment une amende

D'apres les sites que nous reprenons, les memes quelques erreurs reviennent :

• Les scripts de suivi qui se declenchent avant le consentement. La plus frequente et la plus facile a prouver.
• Un bandeau a un seul bouton, "Accepter", sans vraie option de refus.
• Des cases pre-cochees pour le marketing.
• L'absence d'une politique de cookies qui dit clairement quels cookies vous utilisez et pourquoi.
• L'impossibilite de retirer son consentement une fois donne.

Aucune n'est difficile a corriger, mais il faut le faire correctement sur le plan technique, pas seulement cosmetiquement. Nous livrons des sites avec un bandeau conforme et un analytics bien configure des le depart, a distance, partout dans le pays. Si vous voulez qu'on examine ensemble votre site actuel, ecrivez-nous sur WhatsApp et nous vous dirons honnetement ce qui va et ce qui doit changer.