Référentiel 2026.08.2
139 règles, publiques et sourcées
Chaque règle porte sa référence normative précise, sa méthode de détection, son correctif et son statut sous le projet « Digital Omnibus » — qui n'est pas adopté. Le référentiel est versionné : un rapport produit aujourd'hui reste explicable dans six mois.
63 règles sont évaluables sans navigateur et couvertes par l'analyse en ligne. 76 règles nécessitent le protocole en trois phases avec navigateur.
Dépôt avant consentement
14 règles- CritiqueKZC-DEPOT-001Traceur publicitaire déposé avant recueil du consentementnavigateur requis
- CritiqueKZC-DEPOT-002Cookie de mesure d'audience non exempté déposé avant consentementnavigateur requis
- CritiqueKZC-DEPOT-003Cookie de réseau social déposé avant consentementnavigateur requis
- CritiqueKZC-DEPOT-005Script tiers de tracking chargé avant consentementanalyse en ligne
- CritiqueKZC-DEPOT-007Traceur déposé au défilement, sans clic (« poursuite de navigation »)navigateur requis
- CritiqueKZC-DEPOT-011Enregistrement de session actif avant consentementanalyse en ligne
- CritiqueKZC-DEPOT-014Gestionnaire de balises déclenchant des balises marketing sans condition de consentementanalyse en ligne
- MajeurKZC-DEPOT-004Requête sortante vers un domaine publicitaire avant consentementanalyse en ligne
- MajeurKZC-DEPOT-006Pixel de conversion déclenché avant consentementanalyse en ligne
- MajeurKZC-DEPOT-008Iframe tierce déposant ses propres traceurs avant consentementanalyse en ligne
- MajeurKZC-DEPOT-009Police ou CDN tiers chargé avant consentement (transmission d'adresse IP)analyse en ligne
- MajeurKZC-DEPOT-010Service anti-robots chargé hors périmètre strictement nécessaireanalyse en ligne
- MajeurKZC-DEPOT-012Chat ou support tiers chargé avant consentementanalyse en ligne
- ModéréKZC-DEPOT-013Préconnexion ou pré-résolution DNS vers un domaine publicitaireanalyse en ligne
Respect du refus
10 règles- CritiqueKZC-REFUS-001Traceur non exempté présent après un refus explicitenavigateur requis
- CritiqueKZC-REFUS-002Requête vers un domaine publicitaire après refusnavigateur requis
- CritiqueKZC-REFUS-003Le refus n'est pas mémorisé : le bandeau réapparaît à la page suivantenavigateur requis
- CritiqueKZC-REFUS-006Le TCString transmis après refus contient des finalités activesnavigateur requis
- MajeurKZC-REFUS-004Aucun cookie de mémorisation du refus n'est déposénavigateur requis
- MajeurKZC-REFUS-005Durée de mémorisation du refus inférieure à six moisnavigateur requis
- MajeurKZC-REFUS-007Consent Mode reste en « granted » après refusnavigateur requis
- MajeurKZC-REFUS-008Service Worker persistant survivant au refusnavigateur requis
- MajeurKZC-REFUS-010Re-sollicitation du consentement à chaque visite après un refusnavigateur requis
- ModéréKZC-REFUS-009Le refus n'est pas propagé aux sous-domainesnavigateur requis
Bandeau et recueil du consentement
22 règles- CritiqueKZC-BANNER-001Aucun bandeau détecté alors que des traceurs non exemptés sont présentsanalyse en ligne
- CritiqueKZC-BANNER-002Aucun bouton de refus au premier niveau du bandeaunavigateur requis
- CritiqueKZC-BANNER-003Refuser exige plus de clics qu'accepternavigateur requis
- CritiqueKZC-BANNER-007Case pré-cochée pour une finalité non essentiellenavigateur requis
- CritiqueKZC-BANNER-008Aucun « Tout refuser » équivalent au second niveaunavigateur requis
- MajeurKZC-BANNER-004Asymétrie visuelle entre accepter et refuser (surface)navigateur requis
- MajeurKZC-BANNER-005Asymétrie de contraste entre accepter et refusernavigateur requis
- MajeurKZC-BANNER-006Bouton de refus rendu sous forme de lien textenavigateur requis
- MajeurKZC-BANNER-009Absence de granularité par finaliténavigateur requis
- MajeurKZC-BANNER-010Finalités non listées ou libellés génériquesnavigateur requis
- MajeurKZC-BANNER-011Identité du responsable de traitement absente du bandeaunavigateur requis
- MajeurKZC-BANNER-012Liste des destinataires inaccessible depuis le bandeaunavigateur requis
- MajeurKZC-BANNER-013Aucun lien vers la politique cookies depuis le bandeaunavigateur requis
- MajeurKZC-BANNER-014Aucun moyen de retirer son consentement après acceptationanalyse en ligne
- MajeurKZC-BANNER-016Mur de cookies sans alternative ni justificationnavigateur requis
- MajeurKZC-BANNER-017Offre « payer ou consentir » sans alternative équitable documentéenavigateur requis
- ModéréKZC-BANNER-015Le lien de retrait est enfoui à plus de deux clicsnavigateur requis
- ModéréKZC-BANNER-018Fermeture par croix assimilée à une acceptationnavigateur requis
- ModéréKZC-BANNER-019Bandeau bloquant l'accès au contenu sans refus visiblenavigateur requis
- ModéréKZC-BANNER-022Bandeau absent ou tronqué en version mobilenavigateur requis
- MineurKZC-BANNER-020Bandeau non utilisable au claviernavigateur requis
- MineurKZC-BANNER-021Contraste du texte du bandeau insuffisantnavigateur requis
Transferts hors UE
12 règles- CritiqueKZC-TRANSFER-001Requête avant consentement vers un destinataire hors EEEanalyse en ligne
- CritiqueKZC-TRANSFER-002Destinataire situé dans un pays sans décision d'adéquationanalyse en ligne
- CritiqueKZC-TRANSFER-005Destinataire relevant d'une juridiction à accès étatique étenduanalyse en ligne
- MajeurKZC-TRANSFER-003Destinataire états-unien dont la certification DPF n'est pas confirméeanalyse en ligne
- MajeurKZC-TRANSFER-006Fournisseur présenté comme européen rattaché à un groupe hors EEEanalyse en ligne
- MajeurKZC-TRANSFER-007Aucune information sur les garanties encadrant les transfertsanalyse en ligne
- MajeurKZC-TRANSFER-004La certification américaine du destinataire est expirée ou retiréeanalyse en ligne
- MajeurKZC-TRANSFER-008Aucune information sur les garanties encadrant les transfertsanalyse en ligne
- MajeurKZC-TRANSFER-011Des données potentiellement sensibles peuvent quitter l'Unionnavigateur requis
- ModéréKZC-TRANSFER-009L'opérateur du destinataire est hors EEE malgré une adresse européenneanalyse en ligne
- ModéréKZC-TRANSFER-010Diffusion par un réseau mondial sans engagement de localisationanalyse en ligne
- InformationKZC-TRANSFER-012Un sous-traitant ultérieur non déclaré apparaît dans la chaîneanalyse en ligne
Destinataires et sous-traitance
7 règles- CritiqueKZC-VENDOR-004Enchère publicitaire en temps réel déclenchée avant consentementanalyse en ligne
- MajeurKZC-VENDOR-001Destinataire tiers non listé dans la politique cookiesanalyse en ligne
- MajeurKZC-VENDOR-007Nombre de destinataires distincts élevé sans information proportionnéeanalyse en ligne
- MajeurKZC-VENDOR-002Écart entre les partenaires annoncés par le bandeau et ceux réellement contactésnavigateur requis
- MajeurKZC-VENDOR-003Une chaîne de redirection publicitaire fait intervenir des tiers non déclarésnavigateur requis
- MajeurKZC-VENDOR-005Des plateformes publicitaires échangent leurs identifiants entre ellesnavigateur requis
- ModéréKZC-VENDOR-006Un destinataire est inconnu de notre baseanalyse en ligne
Stockage alternatif
9 règles- CritiqueKZC-STORAGE-001Identifiant persistant écrit en localStorage avant consentementnavigateur requis
- CritiqueKZC-STORAGE-007Masquage par CNAME : un sous-domaine à vous pointe vers un traceur tiersanalyse en ligne
- MajeurKZC-STORAGE-002Base IndexedDB créée par un tiers avant consentementnavigateur requis
- MajeurKZC-STORAGE-003Service Worker enregistré avant consentementnavigateur requis
- MajeurKZC-STORAGE-006Cookie first-party posé par un script tiers avec une durée supérieure à 13 moisnavigateur requis
- MajeurKZC-STORAGE-004Le cache du navigateur est détourné pour conserver un identifiantnavigateur requis
- MajeurKZC-STORAGE-008Un relais de collecte côté serveur transmet à un tiers sans être déclarénavigateur requis
- ModéréKZC-STORAGE-009Cookie porteur d'identifiant sans attribut SameSite ou Securenavigateur requis
- ModéréKZC-STORAGE-005Un identifiant de suivi est placé en sessionStorage avant consentementnavigateur requis
Empreinte du terminal
8 règles- CritiqueKZC-FP-001Empreinte par canvas avant consentementnavigateur requis
- CritiqueKZC-FP-002Empreinte par WebGL avant consentementnavigateur requis
- CritiqueKZC-FP-008Empreinte maintenue après refusnavigateur requis
- MajeurKZC-FP-006RTCPeerConnection utilisée pour révéler l'adresse IP localenavigateur requis
- MajeurKZC-FP-003Empreinte audio du terminal relevée avant consentementnavigateur requis
- MajeurKZC-FP-004Énumération des polices installées avant consentementnavigateur requis
- MajeurKZC-FP-005Collecte d'indices détaillés sur le terminal avant consentementnavigateur requis
- ModéréKZC-FP-007Agrégation de six signaux d'entropie ou plus par un même scriptnavigateur requis
Signaux de consentement Google
6 règles- CritiqueKZC-CMV2-001Aucun état de consentement par défaut avant le chargement de gtaganalyse en ligne
- CritiqueKZC-CMV2-002ad_storage ou analytics_storage en « granted » par défautanalyse en ligne
- MajeurKZC-CMV2-003ad_user_data et ad_personalization non gérésanalyse en ligne
- MajeurKZC-CMV2-004Le délai d'attente du signal de consentement est absent ou trop courtnavigateur requis
- MajeurKZC-CMV2-006Le choix du visiteur n'est jamais répercuté sur les balisesnavigateur requis
- ModéréKZC-CMV2-005Des mesures anonymisées sont émises malgré l'absence de consentementnavigateur requis
Mécanique et preuve du consentement
7 règles- MajeurKZC-CONSENT-001Aucune preuve de consentement conservée côté serveurnavigateur requis
- MajeurKZC-CONSENT-004Durée de validité du consentement supérieure à 13 mois sans re-sollicitationnavigateur requis
- MajeurKZC-CONSENT-006Signal Global Privacy Control ignorénavigateur requis
- MajeurKZC-CONSENT-002Le consentement recueilli n'est ni horodaté ni rattaché à une versionnavigateur requis
- ModéréKZC-CONSENT-003Le visiteur ne peut pas récupérer la preuve de son propre choixnavigateur requis
- ModéréKZC-CONSENT-005Le consentement est recueilli sur plusieurs terminaux sans en informer le visiteurnavigateur requis
- InformationKZC-CONSENT-007Absence de prise en charge des signaux navigateurnavigateur requis
Mesure d'audience exemptée
6 règles- MajeurKZC-EXEMPT-002Outil revendiqué exempté mais transmettant les données à un tiersanalyse en ligne
- MajeurKZC-EXEMPT-003Durée de vie du cookie de mesure supérieure à 13 moisnavigateur requis
- MajeurKZC-EXEMPT-004Les données de mesure sont conservées au-delà de vingt-cinq moisnavigateur requis
- ModéréKZC-EXEMPT-005Adresse IP non tronquée dans l'outil de mesureanalyse en ligne
- InformationKZC-EXEMPT-001Configuration compatible avec l'exemption de mesure d'audienceanalyse en ligne
- InformationKZC-EXEMPT-006Configuration potentiellement éligible à l'exemption élargie du projet Digital Omnibusanalyse en ligne
Documents et information
18 règles- CritiqueKZC-DOC-001Aucune politique de confidentialité accessibleanalyse en ligne
- CritiqueKZC-DOC-002Aucunes mentions légales accessiblesanalyse en ligne
- MajeurKZC-DOC-003Aucune politique de gestion des cookies distincteanalyse en ligne
- MajeurKZC-DOC-004Politique de confidentialité non accessible depuis toutes les pagesanalyse en ligne
- MajeurKZC-DOC-005Identité et coordonnées du responsable de traitement manquantesanalyse en ligne
- MajeurKZC-DOC-006Coordonnées du DPO ou du référent absentesanalyse en ligne
- MajeurKZC-DOC-009Durées de conservation absentes ou imprécisesanalyse en ligne
- MajeurKZC-DOC-011Transferts hors UE non mentionnés alors que le scan en détecteanalyse en ligne
- MajeurKZC-DOC-012Droits des personnes non énumérésanalyse en ligne
- MajeurKZC-DOC-013Droit de réclamation auprès de la CNIL non mentionnéanalyse en ligne
- MajeurKZC-DOC-017Hébergeur non identifié dans les mentions légalesanalyse en ligne
- MajeurKZC-DOC-007Les finalités des traitements ne sont pas énoncéesanalyse en ligne
- MajeurKZC-DOC-008Les bases légales ne sont pas indiquées traitement par traitementanalyse en ligne
- MajeurKZC-DOC-010Les catégories de destinataires ne sont pas indiquéesanalyse en ligne
- ModéréKZC-DOC-016Liste des cookies publiée désynchronisée du scan réelanalyse en ligne
- ModéréKZC-DOC-014Les modalités d'exercice des droits ne sont pas préciséesanalyse en ligne
- ModéréKZC-DOC-015La politique n'est ni datée ni versionnéeanalyse en ligne
- ModéréKZC-DOC-018La politique n'existe qu'en français sur un site multilingueanalyse en ligne
Circonstances aggravantes
6 règles- CritiqueKZC-SPECIAL-002Site à thématique de santé avec traceurs publicitaires avant consentementanalyse en ligne
- CritiqueKZC-SPECIAL-001Traceurs publicitaires sur un site susceptible de s'adresser à des mineursanalyse en ligne
- CritiqueKZC-SPECIAL-003Enregistrement de session actif sur un formulaire de données sensiblesnavigateur requis
- MajeurKZC-SPECIAL-005Données d'URL potentiellement sensibles transmissibles à un tiersanalyse en ligne
- MajeurKZC-SPECIAL-004Des champs de formulaire sont lus par un tiers avant leur envoinavigateur requis
- MajeurKZC-SPECIAL-006Traceurs tiers sur un site révélant une donnée sensible par sa seule fréquentationanalyse en ligne
Hygiène de sécurité
6 règles- MajeurKZC-SEC-004Formulaire transmis en clairanalyse en ligne
- ModéréKZC-SEC-001Absence d'en-tête HSTSanalyse en ligne
- ModéréKZC-SEC-002Politique de référent absente ou permissiveanalyse en ligne
- ModéréKZC-SEC-003Politique de sécurité de contenu absente ou permissiveanalyse en ligne
- ModéréKZC-SEC-005Politique de permissions absenteanalyse en ligne
- MineurKZC-SEC-006Une version de CMS ou d'extension est exposée publiquementanalyse en ligne
Cadre de transparence publicitaire
8 règles- CritiqueKZC-TCF-008Un consentement est transmis avant toute action de l'utilisateurnavigateur requis
- MajeurKZC-TCF-001Des partenaires publicitaires TCF sont sollicités sans que l'interface TCF soit exposéenavigateur requis
- MajeurKZC-TCF-002La chaîne de consentement transmise est illisible ou corrompuenavigateur requis
- MajeurKZC-TCF-005Des partenaires reçoivent des données sans figurer dans le consentement transmisnavigateur requis
- MajeurKZC-TCF-006L'intérêt légitime est invoqué pour de la publicité personnaliséenavigateur requis
- ModéréKZC-TCF-003L'identifiant de CMP déclaré n'est pas un identifiant enregistrénavigateur requis
- ModéréKZC-TCF-004La liste des partenaires utilisée date de plus de trente joursnavigateur requis
- ModéréKZC-TCF-007Aucune restriction éditeur n'est configuréenavigateur requis