> For the complete documentation index, see [llms.txt](https://doc.commandersact.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://doc.commandersact.com/fr/fonctionnalites/realtime-cookie-scanner/legal-and-technical-position-paper.md). # Document de position juridique et technique Scanner de cookie en temps réel #### Pour les DPO, les équipes juridiques et les responsables de la conformité *** ### 1. Objet de ce document Ce document présente le fonctionnement technique du module Commanders Act Realtime Cookie Scanner et fournit aux équipes juridiques et de conformité les informations nécessaires pour évaluer sa qualification réglementaire. Il décrit le fonctionnement technique du module et les métadonnées techniques qu'il observe, puis propose une analyse juridique de son fonctionnement au regard de l'article 5(3) de la directive ePrivacy et une explication des raisons pour lesquelles le module n'implique pas de traitement de données à caractère personnel au sens du RGPD. Le document présente également les garanties techniques mises en œuvre pour veiller à ce que le module fonctionne exclusivement comme un outil de suivi de la conformité. *** ### 2. Fonctionnement technique du module #### 2.1 Nature et objet du module Realtime Cookie Scanner est un module JavaScript exécuté dans le navigateur du visiteur. Son seul objectif est de permettre aux exploitants de sites web de vérifier que leurs sites sont conformes aux règles applicables régissant le déploiement des cookies et technologies similaires, en particulier aux exigences découlant du cadre ePrivacy. Concrètement, le module permet aux exploitants de : * maintenir un inventaire à jour des cookies présents sur leur site web ; * identifier les sources techniques responsables de la création des cookies ; * détecter les cookies qui apparaissent avant le consentement de l'utilisateur ou après un refus ; * surveiller l'évolution de l'utilisation des cookies dans le temps ; * appuyer les audits internes de confidentialité et de conformité. #### 2.2 Opérations techniques effectuées Le module effectue les opérations suivantes dans le navigateur : * lecture des **noms des cookies** présents dans le navigateur via `document.cookie`; * lecture des **clés présentes dans `localStorage`**; * lecture des **clés présentes dans `sessionStorage`**; * tentative, dans la mesure du possible, d'identifier les **sources techniques** potentiellement associées aux cookies, lorsque cela est techniquement possible ; * enregistrement des **URL des pages analysées**, après anonymisation des informations personnellement identifiables (PII) ; * détection de l' **état du consentement** fourni par la Consent Management Platform (CMP) (par ex. Didomi, OneTrust, Commanders Act CMP). Le scanner **ne modifie pas** les cookies présents dans le navigateur. Son rôle se limite strictement à l'observation. #### 2.3 Données observées et transmises Le module collecte uniquement les métadonnées techniques nécessaires à l'établissement d'un inventaire des cookies. **Données observées et transmises aux serveurs de Commanders Act :** * noms des cookies * clés présentes dans `localStorage` et `sessionStorage` * URL des pages analysées, avec PII anonymisées avant la collecte * catégories de consentement activées par la CMP **Protection de la vie privée dès la conception des URL :** Parce que les URL des pages peuvent contenir des informations personnellement identifiables, les PII sont anonymisées **avant la collecte des URL**. Cette mesure de minimisation des données garantit que seules les métadonnées d'URL nécessaires pour contextualiser les observations relatives aux cookies sont collectées et transmises à Commanders Act. **Données ni collectées ni exploitées :** * valeurs des cookies ou tout identifiant associé à un utilisateur individuel * empreintes du navigateur * données comportementales ou analytiques **Remarque concernant l'adresse IP et le user-agent :** lorsque le module transmet des métadonnées aux serveurs de Commanders Act, une requête HTTP est initiée par le navigateur. Dans le cadre du fonctionnement normal du protocole HTTP, ces requêtes contiennent intrinsèquement des informations techniques, notamment l'adresse IP de l'émetteur et la chaîne user-agent. Ces éléments ne sont pas collectés ni utilisés par le module aux fins du service et ne font pas l'objet d'un traitement dans le cadre de la fonctionnalité de scan des cookies. #### 2.4 Hébergement et transfert des données Toutes les métadonnées techniques transmises par le module sont envoyées exclusivement aux serveurs de Commanders Act hébergés au sein de l'Union européenne. Aucune donnée n'est transférée vers des serveurs situés hors de l'UE. #### 2.5 Exécution avant consentement Le module s'exécute au chargement de la page, indépendamment de l'état du consentement de l'utilisateur. Il ne s'agit pas d'un choix de conception arbitraire. Afin de détecter les cookies susceptibles d'apparaître avant le consentement de l'utilisateur ou après un refus, le module doit pouvoir observer l'environnement du navigateur au moment précis du chargement de la page. Si le module n'était déclenché qu'après la collecte du consentement, certaines situations de déploiement de cookies non conformes ne pourraient pas être détectées. Le module surveille ensuite les changements d'état du consentement via l'API de la CMP afin de comparer la présence des cookies avant et après la décision de l'utilisateur. *** ### 3. Analyse juridique #### 3.1 Champ d'application de l'article 5(3) de la directive ePrivacy L'article 5(3) de la directive ePrivacy exige un consentement préalable pour toute opération impliquant **l'accès à des informations stockées dans l'équipement terminal de l'utilisateur**, ou le stockage d'informations dans celui-ci, que ces informations constituent ou non des données à caractère personnel. Le Realtime Cookie Scanner, dans la mesure où il accède aux cookies et aux clés de stockage présents dans le navigateur, entre dans le champ d'application de cette disposition. Cela est reconnu. La question juridique pertinente est donc de savoir si cet accès peut être considéré comme strictement nécessaire à la fourniture du service. Le module n'est pas conçu pour suivre ou identifier les utilisateurs, et son fonctionnement peut être examiné au regard de l'exception de nécessité stricte pour les raisons exposées ci-dessous. #### 3.2 Qualification au titre de l'exception de nécessité stricte La directive ePrivacy prévoit une exception pour les opérations qui sont **strictement nécessaires** soit dans le seul but d'effectuer la transmission d'une communication sur un réseau de communications électroniques, soit lorsque l'accès est strictement nécessaire pour fournir un service explicitement demandé par l'utilisateur. La question pertinente est donc de savoir si le fonctionnement du Realtime Cookie Scanner peut relever du second volet de cette exception, à savoir lorsque l'accès à l'équipement terminal est strictement nécessaire à la fourniture d'un service. Cette appréciation peut être examinée sur les bases suivantes : **a) Objectif exclusif de conformité et d'audit technique** Le module n'effectue aucun suivi des utilisateurs, n'exploite pas les données à des fins marketing ou analytiques, et ne produit aucun profilage. Son seul objectif est de permettre à l'exploitant du site web de vérifier que son propre site web est conforme aux obligations applicables en matière d'ePrivacy et de RGPD. À cet égard, le module fonctionne comme un outil de suivi technique destiné à appuyer la vérification interne de conformité par l'exploitant du site web. **b) Nécessité technique de l'observation avant consentement** L'exécution avant consentement est étroitement liée à la fonctionnalité principale du module. Un outil conçu pour détecter les cookies déployés avant le consentement doit pouvoir fonctionner en observant l'environnement du navigateur à ce moment précis. Restreindre le module à une observation postérieure au consentement l'empêcherait de détecter précisément les situations de déploiement de cookies non conformes qu'il est conçu pour identifier. Cette exigence opérationnelle découle donc directement de l'objet du service plutôt que d'un choix de mise en œuvre discrétionnaire. Dans la pratique, les approches reposant uniquement sur des analyses automatisées par crawler présentent des limites structurelles lorsqu'il s'agit de détecter certaines catégories de déploiements de cookies. Les analyses fondées sur des crawler s'appuient généralement sur des scénarios de navigation prédéfinis et ne peuvent pas reproduire toute la diversité des parcours de navigation réels des utilisateurs. Certains cookies n'apparaissent que dans des conditions spécifiques, des cookies rares, des cookies déclenchés par des parcours utilisateur particuliers ou des cookies déployés de manière conditionnelle en fonction de paramètres techniques, qui ne peuvent pas toujours être captés par des scénarios de scan automatisés. Comme l'objectif du module est précisément d'identifier les situations de déploiement de cookies non conformes, l'observation des conditions réelles de navigation devient nécessaire pour atteindre cet objectif. Les approches fondées sur des crawler ne peuvent pas reproduire de manière fiable l'ensemble des conditions réelles de navigation, ce qui fait de l'observation en temps réel la méthode la plus fiable pour garantir une détection exhaustive des déploiements de cookies non conformes. **c) Absence de traitement de données à caractère personnel** Le module ne collecte pas les valeurs des cookies, les identifiants d'utilisateurs ni les empreintes du navigateur. Les informations personnellement identifiables sont anonymisées à partir des URL des pages avant la collecte. Les métadonnées résultantes (noms des cookies, clés de stockage, URL anonymisées) sont traitées uniquement dans le but d'établir un inventaire technique des cookies déployés sur le site web et ne sont pas utilisées pour identifier des utilisateurs individuels. En conséquence, le module n'est pas conçu pour traiter des données à caractère personnel dans le cadre de son objet fonctionnel. **d) Aucun transfert à des tiers publicitaires ou analytiques** Les données observées par le module sont transmises exclusivement aux serveurs de Commanders Act, afin de fournir le service de suivi de la conformité. Elles ne sont pas partagées avec des tiers publicitaires ou analytiques et ne sont pas utilisées à des fins marketing, de suivi ou de profilage. #### 3.3 Absence de traitement de données à caractère personnel au titre du RGPD Dans la mesure où les métadonnées observées par le module ne permettent pas d'identifier directement ou indirectement un utilisateur, le module n'est pas conçu pour traiter des données à caractère personnel dans le cadre de son objet fonctionnel. En conséquence, l'analyse juridique du module concerne principalement l'application de l'article 5(3) de la directive ePrivacy. À titre subsidiaire, si une autorité de contrôle estimait que certaines métadonnées techniques pourraient être qualifiées de données à caractère personnel dans un contexte spécifique, l'intérêt légitime du responsable du traitement à assurer sa propre conformité réglementaire (article 6(1)(f) du RGPD) constituerait une base juridique, sous réserve de la mise en balance des intérêts. #### 3.4 Position des autorités nationales et recommandations de documentation Certaines autorités de contrôle, notamment l'AEPD (Espagne) et les autorités allemandes, ont historiquement adopté une interprétation particulièrement stricte du concept de « strictement nécessaire » pour les technologies exécutées dans le navigateur avant consentement. L'architecture technique du Realtime Cookie Scanner a été conçue en tenant compte de ces interprétations réglementaires plus strictes. La combinaison d'un objectif exclusivement lié à la conformité, d'une collecte minimale de données, de l'anonymisation des PII des URL avant collecte, de l'absence de traitement de données à caractère personnel dans la conception fonctionnelle du module et d'un hébergement des données basé dans l'UE vise à fournir une base solide d'évaluation pour les organisations opérant dans différentes juridictions européennes, y compris celles appliquant des normes réglementaires particulièrement exigeantes. #### 3.5 Appréciation globale Le déploiement d'un outil de suivi de la conformité en temps réel peut contribuer à la capacité d'une organisation à identifier et à gérer les risques réglementaires potentiels liés au déploiement de cookies. Les approches reposant uniquement sur des analyses automatisées par crawler, ou l'absence de mécanismes de surveillance continue, peuvent dans certaines circonstances ne fournir qu'une vision partielle des cookies effectivement déployés sur un site web. Certaines catégories de cookies, telles que les cookies conditionnels, les cookies déclenchés par des parcours de navigation spécifiques ou les cookies déployés uniquement dans certains contextes techniques, peuvent donc rester plus difficiles à détecter sans observation dans des conditions de navigation réelles. À cet égard, le Realtime Cookie Scanner peut contribuer à réduire l'exposition réglementaire d'une organisation en aidant à identifier les situations potentielles de déploiement de cookies non conformes. Sur cette base, le module peut raisonnablement être qualifié d'outil de suivi de la conformité, plutôt que de technologie de suivi conçue pour analyser ou profiler le comportement des utilisateurs. Les garanties techniques décrites dans ce document contribuent à étayer cette qualification. *** ### 4. Résumé des garanties techniques | Critère | Realtime Cookie Scanner | | ----------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------- | | Collecte de données à caractère personnel | Non (le module n'est pas conçu pour collecter des données à caractère personnel dans le cadre de son objet fonctionnel) | | Collecte de valeurs de cookies | Non | | Identifiants d'utilisateurs | Non | | Empreinte du navigateur | Non | | Anonymisation des PII des URL (privacy by design) | Oui — les informations personnellement identifiables sont anonymisées à partir des URL des pages avant la collecte | | Objectif de suivi ou de profilage | Non | | Transfert à des tiers publicitaires | Aucun transfert à des tiers publicitaires ou analytiques | | Adresse IP / user-agent stocké ou exploité | Non (une transmission technique via HTTP peut se produire, mais ces éléments ne sont ni stockés ni utilisés par le module) | | Nécessité technique de l'exécution avant consentement | Oui — liée à la fonction du module consistant à détecter les cookies apparaissant avant le consentement | | Objectif exclusif de conformité et d'audit | Oui | --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://doc.commandersact.com/fr/fonctionnalites/realtime-cookie-scanner/legal-and-technical-position-paper.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.