Conformité et acquisition

Cookies et RGPD au Luxembourg : les 6 erreurs qui exposent votre PME à la CNPD et cassent vos campagnes Google

Un bandeau cookies mal configuré ne coûte pas qu’une amende potentielle. Il coûte des conversions, tous les jours, sans que personne ne s’en aperçoive.

Ce que la CNPD attend vraiment d’un bandeau cookies

La Commission nationale pour la protection des données a publié en octobre 2021 ses lignes directrices en matière de cookies et autres traceurs. Ce document reste la référence au Luxembourg, et il est nettement plus exigeant que ce que la plupart des sites de PME appliquent.

Le raisonnement tient en une distinction simple. Un traceur strictement nécessaire au fonctionnement du service, par exemple le panier d’une boutique ou la session de connexion, ne demande pas de consentement. Tout le reste, mesure d’audience commerciale, publicité, boutons de partage, vidéos intégrées, cartes, messagerie instantanée, exige un consentement obtenu avant le dépôt du traceur.

La CNPD précise aussi la forme. L’information doit être délivrée sur deux niveaux : un premier message court et lisible, puis un second niveau détaillant chaque traceur, sa finalité, sa durée de conservation et l’entité responsable. Le consentement doit résulter d’un acte positif clair, ce qui exclut les cases cochées par défaut. Les lignes directrices 03/2022 du Comité européen de la protection des données sur les interfaces trompeuses, consolidées en 2023, décrivent les procédés qui vicient un consentement.

Les 6 erreurs les plus fréquentes sur les sites de PME

1. Les traceurs se déclenchent avant le choix du visiteur

C’est de loin la défaillance la plus répandue, et la plus invisible pour un dirigeant. Le bandeau s’affiche correctement, mais les balises de mesure et de publicité se sont déjà exécutées au chargement de la page. Le consentement devient purement décoratif. Le test est immédiat : ouvrez votre site en navigation privée, puis les outils de développement du navigateur, et regardez si des requêtes partent vers des domaines tiers avant le moindre clic.

2. Refuser demande plus d’efforts qu’accepter

Un bouton « Tout accepter » bien visible, et un refus caché derrière « Personnaliser », puis trois écrans de réglages. Ce déséquilibre est exactement le type de procédé visé par les lignes directrices européennes sur les interfaces trompeuses. Le consentement obtenu ainsi est fragile : contesté, il ne tient pas, et toute la collecte fondée sur lui devient irrégulière.

3. Des cases cochées par défaut ou un consentement supposé

La mention « en poursuivant votre navigation, vous acceptez nos cookies » n’a plus de valeur juridique. Les cases cochées à l’avance non plus. La CNPD est explicite : le consentement suppose un acte positif du visiteur. Ces formulations subsistent pourtant sur beaucoup de sites luxembourgeois construits avant 2020 et jamais repris depuis.

4. Le second niveau d’information est absent ou vide

Beaucoup de bandeaux se contentent de trois catégories généreuses : nécessaires, statistiques, marketing. La CNPD attend un détail supérieur, traceur par traceur, avec finalité, durée et responsable. Ce n’est pas cosmétique : c’est le niveau qu’un plaignant ou un contrôleur consulte en premier, parce qu’il révèle si l’inventaire a réellement été fait.

5. Impossible de retirer son consentement

Le RGPD impose que retirer son consentement soit aussi simple que de le donner. Il faut donc un point d’accès permanent, souvent un lien en pied de page, qui rouvre le panneau de choix. Sur une majorité de sites vitrine, il n’existe pas : une fois le bandeau accepté, le visiteur n’a plus aucun moyen de revenir en arrière.

6. Le choix du visiteur n’est jamais transmis à Google

C’est l’erreur la plus coûteuse, et la seule qui se voie dans votre chiffre d’affaires. Le bandeau collecte un consentement, mais ne le transmet pas aux balises Google. Vous supportez le coût juridique de la conformité sans en récolter le bénéfice commercial.

Le coût invisible : ce que Google coupe sans consentement

Depuis mars 2024, Google impose aux annonceurs qui diffusent vers l’Espace économique européen, le Royaume Uni et la Suisse de lui transmettre les choix de consentement. La documentation de Google Ads sur les évolutions du mode consentement décrit quatre signaux : stockage publicitaire, stockage analytique, utilisation des données à des fins publicitaires et personnalisation des annonces.

Quand ces signaux ne remontent pas, la mécanique se dégrade par étages. La mesure des conversions perd sa fiabilité, donc les enchères automatiques pilotent à l’aveugle. Les audiences de remarketing cessent de se remplir. Vous continuez à payer vos clics au même prix, mais l’algorithme censé les rentabiliser travaille sans retour d’information.

C’est pourquoi nous traitons la conformité cookies et le suivi publicitaire comme un seul chantier. Séparer les deux produit toujours l’un des deux échecs : un site conforme qui ne mesure plus rien, ou un site qui mesure tout et ne devrait pas. Si vous investissez en campagnes publicitaires SEA, ce câblage conditionne le rendement de votre budget média.

Ce que risque concrètement une entreprise luxembourgeoise

L’article 83 du RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond vise les manquements les plus graves et ne représente évidemment pas le scénario type d’une PME de vingt personnes. Il fixe cependant l’ordre de grandeur du pouvoir de sanction de la CNPD, qui peut agir au titre du RGPD comme du droit national.

Dans les faits, le déclencheur le plus courant n’est pas un contrôle spontané mais une plainte, déposée par un visiteur, un ancien salarié ou un concurrent attentif. La procédure démarre par une demande d’explications, et c’est là que l’absence d’inventaire devient un problème concret : il faut documenter en quelques semaines ce qui ne l’a jamais été.

Un second risque pèse davantage au Luxembourg, compte tenu du poids du secteur financier et des services aux entreprises. Les questionnaires de conformité fournisseur comportent désormais presque toujours des questions sur le traitement des données. Un bandeau défaillant sur votre propre site devient alors un signal négatif au moment précis où vous cherchez à entrer chez un grand compte.

Dans quel ordre corriger, et par qui

L’ordre compte : chaque étape dépend de la précédente. Une équipe qui installe un module de consentement avant d’avoir inventorié ses traceurs refait toujours le travail deux fois.

1. Inventorier les traceurs réellement présents. Pas ceux que vous croyez avoir, ceux qui se déclenchent. Les extensions accumulées au fil des années déposent souvent des traceurs oubliés.
2. Classer chaque traceur en essentiel ou non essentiel, et documenter finalité, durée et responsable. C’est cette liste qui alimentera le second niveau d’information.
3. Choisir une plateforme de consentement compatible avec les exigences de Google, paramétrée avec un refus aussi accessible que l’acceptation.
4. Câbler la transmission du consentement vers les balises, en état refusé par défaut, puis vérifier signal par signal en mode prévisualisation.
5. Mettre à jour la politique de confidentialité pour qu’elle corresponde à l’inventaire réel, et non à un modèle générique.
6. Conserver la preuve des consentements et prévoir un recontrôle périodique.

Ordre de grandeur indicatif : sur un site vitrine de PME, ce chantier se traite généralement en quelques jours de travail. La charge dépend du nombre de traceurs accumulés et de la qualité du socle technique, et reste à ajuster après inventaire.

Une remarque de méthode, appliquée à tous nos projets de création de site web sur mesure : le bandeau doit exister dans chacune des langues publiées du site. Sur un site français, allemand et anglais, un panneau uniquement en français affaiblit la démonstration que l’information a été comprise. Au Luxembourg, ce point revient plus souvent qu’ailleurs.

Enfin, si la mise en conformité s’inscrit dans une refonte plus large, elle peut entrer dans le périmètre d’un projet subventionné. Notre page sur les SME Packages Digital et la subvention de 70 % détaille les conditions d’éligibilité.

Questions fréquentes