Cookie Seal

Qu'est ce que Cookie Seal ?

Cookie Seal, souvent recherché sous la forme cookieseal, est une plateforme de gestion du consentement aux cookies vendue sur cookieseal.com par Doğuş Bilgi İşlem ve Teknoloji Hizmetleri A.Ş. (Doğuş Teknoloji), la société technologique du groupe Doğuş basé à Istanbul. Elle a été pensée d'abord pour la KVKK, la loi turque sur les données personnelles, et se présente aussi comme conforme au RGPD. L'éditeur du site souscrit un abonnement mensuel ou annuel, reçoit un code d'installation et personnalise le bandeau en CSS ; si la licence expire, le site est suspendu et l'enregistrement des consentements s'arrête.

Le produit classe les cookies en quatre catégories : strictement nécessaires, fonctionnels, de performance et publicitaires ou de ciblage. Il affiche un bandeau et un centre de préférences, conserve les cookies acceptés, supprime ceux qui sont refusés et fournit des statistiques de consentement. Hors de Turquie, il reste peu documenté et les avis indépendants sont rares.

Données et cookies collectés

Le script cookie-seal.js est chargé depuis assets.cookieseal.com et récupère la configuration du site sur apinode.cookieseal.com. L'analyse du script montre qu'il dépose un cookie interne nommé CookieSealConsent contenant l'identifiant et le choix du visiteur, ainsi que deux entrées de stockage local, CookieSealCookieCategories et CookieSealGTMConsentState, qui mémorisent les catégories acceptées et l'état de Google Consent Mode. Chaque décision est envoyée à l'API Cookie Seal avec un identifiant de consentement.

Comme pour tout journal de consentement côté serveur, la requête expose aussi des données techniques comme l'adresse IP et l'agent utilisateur. Cookie Seal ne publie ni la liste exacte des champs conservés ni la durée de conservation : demandez les dans le contrat de sous traitance.

Enjeux RGPD et ePrivacy

Un bandeau de consentement est un outil de conformité, pas un traceur. Au sens de l'article 5(3) de la directive ePrivacy, conserver le choix du visiteur est strictement nécessaire, et la CNIL cite expressément les cookies de consentement parmi les traceurs exemptés ; le § 25 TDDDG en Allemagne et l'article 22.2 de la LSSI CE en Espagne aboutissent au même résultat. Côté RGPD, l'article 7(1) impose au responsable de traitement de prouver le consentement, ce qui est précisément le rôle du journal de Cookie Seal, qui agit en sous traitant.

Consentement : ce qu'il faut vérifier

Cookie Seal n'a pas besoin de consentement pour lui même. La vraie question est de savoir s'il recueille un consentement valable pour tout le reste : refuser doit être aussi simple qu'accepter, aucun script non essentiel ne doit se lancer avant le choix et aucune case ne doit être précochée, comme l'exigent la CNIL, l'AEPD et les autorités allemandes. Vérifiez aussi les valeurs par défaut de Google Consent Mode, qui doivent être refusées pour les visiteurs européens.

Transferts hors de l'EEE

Doğuş Teknoloji est une société turque, et sa notice d'information évoque des logiciels dont les serveurs sont situés à l'étranger. La Turquie ne bénéficie d'aucune décision d'adéquation de la Commission européenne : envoyer les journaux de consentement là bas constitue un transfert au sens du chapitre V du RGPD, qui exige des clauses contractuelles types 2021/914 et une analyse dans l'esprit de l'arrêt Schrems II. Les hôtes du script et de l'API pointent vers des répartiteurs de charge Google Cloud, sans région de stockage publiée.

Mise en conformité pas à pas

Placez le code Cookie Seal en premier script dans l'en tête de page et faites dépendre chaque tag non essentiel de ses catégories ou de déclencheurs de consentement dans Google Tag Manager. Signez avec Doğuş Teknoloji un contrat de sous traitance couvrant le transfert vers la Turquie et la conservation des preuves. Déclarez CookieSealConsent et les deux clés de stockage local comme strictement nécessaires dans votre politique cookies. Testez enfin « Tout refuser » dans un navigateur vierge et vérifiez qu'aucune requête de mesure ou publicitaire ne part.