Consentement granulaire
Le consentement granulaire permet au visiteur d’accepter ou de refuser séparément chaque finalité de traitement, par exemple la mesure d’audience mais pas la publicité, au lieu d’un choix unique du tout ou rien.Le caractère spécifique est l’une des quatre qualités d’un consentement valable selon le RGPD, et le considérant 43 ajoute que le consentement est présumé ne pas être libre s’il n’est pas possible de le donner séparément pour des opérations distinctes. Appliqué aux cookies, cela signifie qu’un bandeau doit laisser le visiteur choisir par finalité. Les catégories habituelles sont nécessaires (pas de choix, exemptés), fonctionnels ou préférences, mesure d’audience ou statistiques, et marketing ou publicité ; certains bandeaux ajoutent les réseaux sociaux ou la personnalisation.
La granularité s’accompagne d’une règle de conception. La task force « bandeaux cookies » du CEPD (Comité européen de la protection des données) a confirmé en 2023 que des cases précochées au second niveau ne constituent pas un consentement valable : chaque catégorie optionnelle doit donc partir désactivée. Un premier niveau avec « Tout accepter » et « Tout refuser », plus un bouton « Personnaliser » vers la vue par catégorie, satisfait à la fois l’exigence de granularité et celle du refus facile ; voir le guide du bouton Tout refuser.
Le Transparency and Consent Framework de l’IAB pousse la granularité plus loin, jusqu’aux finalités individuelles et aux fournisseurs, ce qui explique la longueur de ses bandeaux. Google Consent Mode fait correspondre les catégories à ses propres signaux : analytics storage à la catégorie mesure d’audience, ad storage, ad user data et ad personalization au marketing. Un enregistrement de consentement doit stocker les catégories acceptées, pas seulement le fait que le visiteur a cliqué.