OneTrust
OneTrust est une plateforme de gestion du consentement (CMP) et une suite de gouvernance de la vie privée utilisée par plus d'un million d'organisations dans le monde pour se conformer au RGPD, à la directive ePrivacy, au CCPA, au LGPD et à d'autres réglementations. Elle fournit une bannière de consentement personnalisable, un centre de préférences et des outils pour la cartographie des données, l'automatisation des demandes d'accès aux données et les analyses d'impact sur la vie privée. OneTrust charge un SDK JavaScript depuis cdn.cookielaw.org et dépose deux cookies strictement nécessaires pour enregistrer les choix de consentement. En tant que mécanisme de consentement lui-même, OneTrust est exempt de consentement préalable.
Que fait OneTrust ?
Qu'est-ce qu'OneTrust ?
OneTrust est une plateforme de gestion du consentement (CMP) et une suite de gouvernance de la vie privée fondée en 2016 et utilisée par plus d'un million d'organisations dans le monde. Elle permet aux entreprises de collecter, enregistrer et démontrer le consentement des visiteurs pour les cookies et technologies de suivi, conformément au RGPD, à la directive ePrivacy, au CCPA, au LGPD et à d'autres lois sur la protection des données. Au-delà du consentement aux cookies, OneTrust propose un programme de confidentialité complet incluant la détection automatique des cookies, les évaluations des risques fournisseurs, l'automatisation des demandes d'accès aux données (DSR), les flux de travail d'analyse d'impact sur la vie privée et la conformité IAB TCF 2.2.
Fonctionnement d'OneTrust : scripts et cookies
OneTrust est déployé via un extrait JavaScript dans l'en-tête du site qui charge le SDK OneTrust depuis cdn.cookielaw.org. Le SDK détecte la juridiction du visiteur via l'API geolocation.onetrust.com et affiche l'expérience de consentement appropriée. Il dépose deux cookies propriétaires : OptanonAlertBoxClosed enregistre quand la bannière a été fermée pour la dernière fois, et OptanonConsent stocke une chaîne détaillée des choix de consentement par catégorie. Les deux cookies ont une durée de vie de 12 mois et ne nécessitent pas de consentement préalable car ils sont strictement nécessaires au fonctionnement du mécanisme de consentement.
RGPD et ePrivacy : OneTrust comme service strictement nécessaire
En vertu de la directive ePrivacy, les cookies strictement nécessaires à un service explicitement demandé par l'utilisateur sont exemptés de consentement préalable. L'outil de consentement OneTrust entre dans cette catégorie : il ne peut pas fonctionner sans stocker les enregistrements de consentement. Les autorités européennes de protection des données soutiennent largement le traitement des cookies opérationnels des CMP comme strictement nécessaires. Les fonctionnalités RGPD spécifiques d'OneTrust incluent : des expériences de consentement géociblées, un enregistrement complet du consentement avec horodatage, l'intégration du Consent Mode v2, le blocage préalable des scripts non consentis et la conformité IAB TCF 2.2.
Transferts de données vers les États-Unis
OneTrust est une entreprise américaine dont le siège est à Atlanta, Géorgie. Par défaut, les journaux de consentement et les données de configuration sont traités sur une infrastructure américaine via le CDN Fastly. OneTrust fournit des Clauses Contractuelles Types (CCT) et un Accord de Traitement des Données (ATD) aux clients européens, signables directement dans la console d'administration. Les plans entreprise offrent la résidence des données en Europe, éliminant la problématique du transfert transfrontalier pour les organisations ayant des exigences strictes de localisation des données.
Étapes pratiques de conformité pour OneTrust
Pour configurer OneTrust correctement : réalisez une analyse des cookies pour découvrir tous les cookies avant de configurer les catégories ; configurez la bannière pour exiger un opt-in explicite (sans cases pré-cochées) pour les catégories non essentielles ; activez le blocage préalable pour que les scripts non essentiels ne se chargent pas avant le consentement ; implémentez le Consent Mode v2 de Google si vous utilisez des balises Google ; signez l'accord de traitement OneTrust dans la console d'administration ; activez l'enregistrement du consentement ; mettez à jour votre politique de confidentialité pour référencer OneTrust et chaque catégorie de cookies.
AIPD OneTrust et évaluation des risques
Le déploiement d'OneTrust comme CMP présente un risque intrinsèque faible. L'outil traite les préférences de consentement plutôt que des données personnelles sensibles. Une AIPD peut devenir pertinente lorsque les fonctionnalités plus larges du programme de confidentialité d'OneTrust sont utilisées à grande échelle : portails DSR gérant des demandes d'accès pour de larges populations, évaluations des risques fournisseurs impliquant des données de catégorie spéciale, ou initiatives de cartographie des données couvrant des traitements à haut risque. Dans ces cas, documentez OneTrust comme sous-traitant dans votre registre des activités de traitement.
OneTrust et le RGPD
- Base légale
- Strictly necessary: OneTrust operates as the consent management mechanism itself and is therefore exempt from requiring prior consent under the ePrivacy Directive. It records and enforces consent choices for all other cookies on behalf of the data controller.
- Niveau de risque
- low
- Textes applicables
- GDPR, ePrivacy Directive, CCPA, LGPD, PIPEDA
Analyse d'impact (AIPD)
Une AIPD n'est généralement pas requise pour le déploiement d'OneTrust comme CMP. Elle peut être pertinente dans des déploiements spécifiques où les fonctionnalités du programme de confidentialité d'OneTrust traitent de grandes quantités de données sensibles, telles que les workflows DSR, les évaluations des risques fournisseurs ou la cartographie des données impliquant des données de catégorie spéciale.
Exemple de texte pour votre bannière
Ce site utilise OneTrust pour gérer vos préférences en matière de cookies et de suivi. OneTrust est un outil strictement nécessaire qui enregistre vos choix de consentement et ne nécessite pas de consentement préalable pour fonctionner. Vous pouvez modifier vos préférences à tout moment via le lien des paramètres de cookies.
Ce que OneTrust dépose et contacte
- Méthode de suivi
- JavaScript SDK loaded from cdn.cookielaw.org, first-party cookies for consent storage, geolocation API for jurisdiction detection
- Localisation des serveurs
- United States (Atlanta, Fastly CDN by default), EU data residency available on enterprise plans
- Transfert de données hors UE
- Consent logs and configuration processed on US infrastructure by default. EU data residency available on enterprise plans. Standard Contractual Clauses and DPA provided by OneTrust.
Cookies déposés (2)
| Nom | Type | Durée | Finalité |
|---|---|---|---|
| OptanonAlertBoxClosed | Strictly Necessary | 12 months | Records the date and time the OneTrust cookie consent banner was last dismissed by the visitor |
| OptanonConsent | Strictly Necessary | 12 months | Stores the visitor's cookie consent choices per category as a URL-encoded string, used by OneTrust to enforce consent on subsequent page loads |
Domaines tiers contactés (3)
cdn.cookielaw.orggeolocation.onetrust.comprivacyportal.onetrust.com
Questions fréquentes sur OneTrust
Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.
OneTrust lui-même nécessite-t-il un consentement RGPD pour se charger ?
Non. OneTrust est l'outil de gestion du consentement et est traité comme strictement nécessaire en vertu de la directive ePrivacy. Les cookies déposés par OneTrust (OptanonConsent et OptanonAlertBoxClosed) enregistrent les décisions de consentement du visiteur et ne peuvent pas fonctionner sans être déposés avant l'obtention du consentement. Les autorités européennes de protection des données soutiennent largement cette interprétation. Aucun consentement préalable n'est nécessaire pour charger le script OneTrust.
Quels cookies OneTrust dépose-t-il ?
OneTrust dépose deux cookies propriétaires : OptanonAlertBoxClosed (12 mois) enregistre quand la bannière de consentement a été fermée pour la dernière fois, et OptanonConsent (12 mois) stocke une chaîne détaillée encodant les choix de consentement du visiteur par catégorie. Les deux sont strictement nécessaires au fonctionnement de la CMP. Aucun cookie publicitaire ou analytique n'est déposé par OneTrust lui-même.
OneTrust supporte-t-il le Consent Mode Google v2 ?
Oui. OneTrust s'intègre nativement avec le Consent Mode Google v2 via son modèle Google Tag Manager ou l'intégration directe par API. Lorsqu'il est configuré, OneTrust transmet les signaux de consentement (analytics_storage, ad_storage, ad_user_data, ad_personalization) aux balises Google en temps réel. Cela est obligatoire pour les annonceurs EU/EEE utilisant Google Ads et GA4 depuis mars 2024.
OneTrust transfère-t-il des données hors de l'UE ?
Oui, par défaut. Les journaux de consentement sont stockés sur une infrastructure américaine (CDN Fastly). OneTrust fournit des Clauses Contractuelles Types et un accord de traitement signable dans la console d'administration. Les plans entreprise offrent la résidence des données en Europe. Pour les organisations ayant des exigences strictes de localisation des données, négociez la résidence EU avant de déployer OneTrust.
Dois-je signer un accord de traitement avec OneTrust ?
Oui. OneTrust agit comme sous-traitant lors du traitement des journaux de consentement en votre nom. Signez l'accord de traitement des données OneTrust disponible directement dans la console d'administration, dans les Paramètres du compte. Vérifiez la liste des sous-traitants et les CCT. Pour les plans entreprise demandant la résidence des données en Europe, confirmez que cela est reflété dans l'accord.
Comment configurer OneTrust pour la conformité RGPD et ePrivacy ?
Étapes de configuration clés : (1) Exécutez le scanner de cookies OneTrust pour catégoriser tous les cookies de votre site. (2) Configurez la bannière pour exiger un opt-in pour les catégories non essentielles. (3) Activez le blocage préalable pour que les balises non consenties ne se déclenchent pas. (4) Implémentez le Consent Mode v2 pour les balises Google. (5) Configurez le géociblage pour afficher les bannières RGPD aux visiteurs EU/EEE. (6) Activez l'enregistrement du consentement. (7) Mettez à jour votre politique de confidentialité.
Dois-je réaliser une AIPD pour OneTrust ?
Une AIPD n'est généralement pas requise pour le déploiement d'OneTrust comme outil de consentement aux cookies. Le risque est faible car OneTrust traite les préférences de consentement plutôt que des données personnelles sensibles. Une AIPD peut être justifiée si vous utilisez le portail DSR, la gestion des risques fournisseurs ou les fonctionnalités de cartographie des données d'OneTrust à grande échelle impliquant des données de catégorie spéciale. Documentez OneTrust comme sous-traitant dans votre registre des activités de traitement.
Quelles sont les alternatives européennes à OneTrust ?
Les alternatives CMP européennes incluent Axeptio (France), Didomi (France), Usercentrics (Allemagne), Cookiebot by Usercentrics (Danemark) et Tarteaucitron (France). Elles offrent la résidence des données en Europe par défaut, éliminant les préoccupations de transfert vers les États-Unis. Pour WordPress, Complianz (Pays-Bas) est une option solide. OneTrust avec la résidence EU configurée est lui-même un choix conforme.
Mettez votre site en conformité aujourd'hui.
Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.