Audit Conformité Site Web — RGPD, Cookies, EAA, RGESN en un seul diagnostic

#Les 8 domaines de l'audit conformité site Nehos

Un audit de conformité site web en 2026 ne peut plus se limiter à vérifier la bannière cookies. Le paysage réglementaire s'est considérablement densifié depuis 2018 : RGPD applicable depuis mai 2018, délibération CNIL cookies de décembre 2020 (délibération 2020-091), loi REEN (Réduction de l'Empreinte Environnementale du Numérique) promulguée en novembre 2021, obligation RGESN pour les grandes entreprises et collectivités depuis 2023, directive EAA (European Accessibility Act) transposée en droit français et applicable depuis juin 2025, et AI Act dont les premières obligations de transparence entrent en vigueur progressivement depuis début 2025. Un site non audité depuis 2022 présente statistiquement entre 8 et 20 non-conformités actives, dont plusieurs classées critique ou major au sens des référentiels en vigueur.

Nehos a structuré son audit conformité site web en 8 domaines couverts systématiquement, quels que soient la taille du site et le secteur d'activité :

Domaine 1 — Cookies et consentement CNIL (Consent Mode v2, bannière, CMP). Vérification de l'exhaustivité de l'inventaire des traceurs déposés, conformité de la bannière de consentement (absence de cases pré-cochées, rejet aussi facile que l'acceptation, granularité par catégorie), configuration et activation correcte du Consent Mode v2 pour Google Analytics 4 et Google Ads (sans Consent Mode v2 actif, toute mesure publicitaire ou de conversion est juridiquement non-conforme en UE), évaluation de la CMP en place (Axeptio, Didomi, OneTrust, Cookiebot) ou recommandation d'en mettre une en place, détection des cookies tiers chargés sans consentement préalable.

Domaine 2 — Politique de confidentialité. Vérification de la complétude au regard des articles 13 et 14 du RGPD : identité et coordonnées du responsable de traitement, coordonnées du DPO si applicable, finalité et base légale pour chaque traitement distinct (trop souvent absentes ou groupées de manière générique), catégories de données collectées, destinataires et sous-traitants, durées de conservation effectives, transferts hors UE le cas échéant, droits des personnes concernées et modalités d'exercice, droit de recours auprès de la CNIL.

Domaine 3 — Mentions légales. Conformité loi LCEN (Loi pour la Confiance dans l'Économie Numérique) pour les éditeurs professionnels : dénomination sociale, forme juridique, adresse du siège social, SIREN/SIRET, numéro RCS, numéro de TVA intracommunautaire, nom du directeur de publication, coordonnées de l'hébergeur (nom + adresse). Pour les professionnels réglementés (avocat, médecin, courtier, assureur) : mentions professionnelles obligatoires supplémentaires. Pour les sites e-commerce : mentions Code de la consommation additionnelles.

Domaine 4 — CGU / CGV. Présence des clauses obligatoires (objet, prix, modalités de paiement, livraison, rétractation pour le B2C, garanties légales), absence de clauses abusives figurant sur la liste noire et la liste grise de l'annexe 1 de la directive 93/13/CEE transposée aux articles R.212-1 et R.212-2 du Code de la consommation, clause RGPD relative aux données collectées via le parcours d'achat, loi applicable (droit d'un État membre UE obligatoire pour les contrats B2C), clause de médiation consommateur (obligatoire pour les e-commerçants B2C depuis la loi Hamon).

Domaine 5 — Transferts de données hors UE. Cartographie exhaustive des destinations de données : hébergeurs (AWS, Azure, GCP — régions concernées), outils analytiques (Google Analytics, Mixpanel, Amplitude, HubSpot), CDN (Cloudflare, Fastly, Akamai — avec analyse du routage effectif des données), APIs tierces (Stripe, Braintree, Mailchimp, Salesforce, Intercom, Zendesk, etc.). Qualification des bases légales de transfert (clauses contractuelles types de la Commission européenne version 2021, décision d'adéquation USA si Privacy Framework applicable, BCR si groupe multinational).

Domaine 6 — Accessibilité numérique. Audit WCAG 2.1 niveau AA (conforme EAA applicable depuis juin 2025 et RGAA pour les entités publiques). Tests sur un échantillon représentatif de pages (accueil, page produit/service, formulaire de contact, checkout e-commerce, page de connexion). Outils automatisés (axe-core, WAVE, Lighthouse) + revue manuelle experte sur les critères non mécanisables (cohérence du focus clavier, ordre de lecture logique, alternatives textuelles pertinentes, contrastes, formulaires accessibles).

Domaine 7 — Écoconception RGESN. Évaluation sur les 79 critères du RGESN répartis en 8 thématiques (stratégie et pilotage, spécifications, architecture, UX/UI, contenu, frontend, backend, hébergement). Score de maturité par thématique. Recommandations priorisées. Voir audit RGESN dédié pour un audit approfondi uniquement sur ce référentiel.

Domaine 8 — IA disclosure. Si le site utilise des chatbots, des systèmes de recommandation de contenu ou de produits, ou des décisions automatisées : vérification des obligations de transparence sous l'AI Act (articles 50 et suivants — l'utilisateur doit savoir qu'il interagit avec un système IA, sauf si c'est évident), conformité EAA pour les interfaces IA accessibles, mention du contenu généré par IA selon les futures exigences des actes délégués AI Act.

#Cookies et Consent Mode v2 — Le point de contrôle CNIL le plus actif en 2026

Le contrôle des cookies est le domaine dans lequel la CNIL est la plus active depuis 2022. La délibération 2020-091 du 17 septembre 2020 a posé le cadre : tout cookie ou traceur non strictement nécessaire à la fourniture du service explicitement demandé par l'utilisateur requiert un consentement libre, éclairé, spécifique et non ambigu. En pratique, cela exclut du consentement requis les seuls cookies de panier, d'authentification et de sécurité — tout le reste (analytics, personnalisation, publicité comportementale, A/B testing, chaleur de clic, pixels de conversion) requiert un consentement opt-in.

Les quatre catégories de traceurs dans la doctrine CNIL. (1) Strictement nécessaires : aucun consentement requis, mais doivent être documentés dans la politique de confidentialité. (2) Analytics et mesure d'audience : consentement requis pour les outils de mesure comportementale (temps passé, clic-path, enregistrements de session) ; une exemption de consentement est possible pour les outils de mesure d'audience strictement cantonnés à la mesure de fréquentation interne sans transfert vers des tiers — Google Analytics ne remplit pas ces critères. (3) Personnalisation : consentement requis pour toute adaptation du contenu ou de l'interface basée sur un profil comportemental. (4) Publicité comportementale : consentement requis, et la simple fourniture de données à une régie publicitaire (Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight) sans consentement préalable valide est une violation caractérisée.

Consent Mode v2 et Google — Point critique 2024-2026. Google a rendu obligatoire le Consent Mode v2 pour ses annonceurs UE depuis mars 2024. Sans Consent Mode v2 actif et correctement configuré, toutes les conversions Google Ads en UE sont incomplètes sur le plan juridique. Le Consent Mode v2 permet à Google de modéliser les conversions pour les utilisateurs ayant refusé le tracking — c'est légalement toléré car aucune donnée personnelle identifiable n'est transmise pour ces utilisateurs. La non-conformité fréquente relevée en audit : CMP installée mais Consent Mode v2 non configuré côté Google Tag Manager (GTM), ou configuré en mode Basic plutôt qu'Advanced — ce qui donne l'apparence de la conformité sans l'être réellement.

Les critères CNIL de conformité d'une bannière cookies. (1) Absence de cases pré-cochées par défaut pour les cookies non-nécessaires. (2) Bouton de refus aussi visible, accessible et facile à actionner que le bouton d'acceptation (pas de refus caché dans les paramètres, pas de refus grisé ou de taille inférieure). (3) Choix granulaire possible par catégorie de cookies (accepter analytics mais refuser publicité, par exemple). (4) Interdiction du cookie wall — interdire l'accès au contenu à moins d'accepter tous les cookies est illégal selon la CNIL, sauf démonstration rigoureuse d'une alternative gratuite équivalente. (5) Pas de dark patterns : formulations trompeuses du type « Je refuse de refuser mes cookies », couleurs conçues pour inciter psychologiquement à l'acceptation, etc.

CMP recommandées et statut de conformité CNIL. Axeptio (français) : très bon niveau de conformité CNIL par défaut, interface UX sobre, intégration GTM native, compatible Consent Mode v2, tarif 49-à partir de 1 634 €/mois. Didomi (français) : le plus complet sur les marchés multi-pays et le multi-stack (GA4, Meta, LinkedIn, HubSpot, Salesforce Marketing Cloud en simultané), utilisé par les grands comptes français, tarif sur devis48 000 €/an. OneTrust (américain) : leader mondial mais configuration initiale complexe, fréquemment mal configuré sur les déploiements clients — nombreuses non-conformités relevées en audit sur des sites utilisant OneTrust sans accompagnement expert. Cookiebot (danois, Usercentrics) : bon compromis PME, tarif 9-à partir de 1 536 €/mois, compatible Consent Mode v2. Axeptio et Didomi sont les deux recommandations Nehos par défaut pour les entreprises françaises soumises prioritairement à la CNIL.

#Mentions légales — Obligations loi LCEN et Code de la consommation

Les mentions légales d'un site professionnel français sont régies par plusieurs textes cumulatifs. La loi LCEN (Loi n°2004-575 du 21 juin 2004 pour la Confiance dans l'Économie Numérique) impose à toute personne morale exerçant une activité professionnelle de rendre accessible sur son site les informations suivantes : dénomination ou raison sociale, forme juridique (SARL, SAS, SA, SCI, etc.), adresse du siège social, numéro d'inscription au RCS ou au RM, numéro de TVA intracommunautaire si assujetti, nom du directeur ou du codirecteur de publication, hébergeur du site avec son nom, dénomination ou raison sociale et son adresse ou numéro de téléphone.

Pour les sites e-commerce, le Code de la consommation impose des mentions supplémentaires : informations précontractuelles obligatoires (article L.221-5 : prix TTC, modalités de paiement, délai de livraison, existence et modalités du droit de rétractation de 14 jours), existence des garanties légales (garantie de conformité 2 ans articles L.217-4 et suivants, garantie des vices cachés articles 1641 et suivants du Code civil), mention du médiateur de la consommation auquel le professionnel est rattaché (obligatoire depuis l'ordonnance n°2015-1033 du 20 août 2015, avec nom, adresse et site web du médiateur).

Erreurs fréquentes relevées en audit. Numéro SIREN sans SIRET complet. Numéro de TVA intracommunautaire absent alors que l'entreprise est assujettie. Hébergeur mentionné sans adresse physique. Directeur de publication absent sur les sites de SARL et SAS où la page est signée collectivement. Pour les e-commerçants : médiateur de la consommation absent ou mentionné sans lien actif vers le formulaire de saisine. Garanties légales absentes ou réduites à « garantie constructeur 12 mois » sans mention des garanties légales non dérogatoires de 24 mois.

Professions réglementées. Pour les avocats (article 10 de la loi n°71-1130 du 31 décembre 1971), médecins (article R.4127-13 du Code de la santé publique), courtiers d'assurance et agents généraux (article L.521-2 du Code des assurances), expertise-comptable (article 11 de l'ordonnance n°45-2138 du 19 septembre 1945) : des mentions professionnelles spécifiques s'ajoutent aux mentions LCEN standard — numéro d'inscription à l'Ordre ou au registre professionnel, autorité de tutelle, barreau ou chambre d'appartenance, règles professionnelles applicables et où les consulter.

Sites opérés par des entités étrangères à destination du public français. La LCEN et le Code de la consommation s'appliquent dès lors que le site cible activement des consommateurs français (langue française, prix en euros, livraison en France). La résidence ou le siège social de l'entité dans un autre pays ne dispense pas des obligations françaises.

#CGU/CGV conformes — Protection consommateur et droit européen

Les Conditions Générales de Vente (CGV) B2C en France sont encadrées simultanément par le droit européen (directive 2011/83/UE sur les droits des consommateurs, directive 93/13/CEE sur les clauses abusives) et par le droit national (articles L.211-1 et suivants, L.217-1 et suivants, L.221-1 et suivants du Code de la consommation). En 2026, la directive Omnibus (2019/2161/UE) est pleinement transposée en droit français — elle a notamment renforcé les obligations de transparence sur les avis clients et les pratiques de prix promotionnels.

Droit de rétractation de 14 jours. Pour tout contrat conclu à distance (site e-commerce, application mobile, téléphone) avec un consommateur, le droit de rétractation de 14 jours est d'ordre public — aucune clause ne peut le réduire. Ce droit s'applique sauf exception limitativement listée à l'article L.221-28 du Code de la consommation (biens confectionnés sur mesure, biens périssables, contenus numériques déjà téléchargés avec accord préalable explicite, etc.). Non-conformité fréquente en audit : clause CGV indiquant « pas de retour sur les articles soldés » ou « droit de retour limité à 7 jours » — illicite, nulle et susceptible de sanction DGCCRF.

Clauses abusives — Liste noire et liste grise. L'annexe 1 de la directive 93/13/CEE (transposée aux articles R.212-1 et R.212-2 du Code de la consommation) distingue les clauses irréfragablement abusives (liste noire : nullité automatique sans discussion possible — ex. clause d'exclusion de toute responsabilité, clause autorisant le professionnel à modifier unilatéralement un élément essentiel du contrat) des clauses présumées abusives (liste grise : annulables si le professionnel ne prouve pas leur équilibre — ex. clause asymétrique donnant au seul professionnel un droit de résiliation sans préavis). Environ 30 % des CGV e-commerce auditées par Nehos contiennent au moins une clause relevant de la liste noire.

Clause RGPD obligatoire dans les CGV. Les CGV doivent reprendre ou renvoyer explicitement à la politique de confidentialité, avec base légale du traitement des données liées à la commande (exécution du contrat, article 6.1.b RGPD), identification du responsable de traitement, et information sur les droits. L'absence de cette clause constitue une non-conformité RGPD au titre de l'obligation d'information article 13.

Médiation consommateur — Clause obligatoire e-commerce B2C. Tout professionnel vendant à des consommateurs en UE est tenu d'informer ceux-ci de l'entité de médiation de la consommation à laquelle il est rattaché (ordonnance n°2015-1033, article L.612-1 et suivants du Code de la consommation). La clause doit mentionner : nom, adresse et URL du site du médiateur, procédure de saisine. Non-conformité la plus fréquente relevée en audit : clause présente mais lien mort vers le médiateur, ou médiateur dont l'agrément est expiré.

#Politique de confidentialité — Complétude et lisibilité RGPD

La politique de confidentialité est le document RGPD le plus contrôlé par la CNIL lors des premières vérifications — parce qu'elle est publique, accessible en un clic, et que sa conformité est vérifiable sans accès interne. L'article 13 du RGPD (information des personnes dont les données sont collectées directement) et l'article 14 (information des personnes dont les données sont collectées indirectement) imposent une liste exhaustive d'informations à communiquer.

Éléments obligatoires articles 13/14 RGPD. Identité et coordonnées du responsable de traitement. Coordonnées du Délégué à la Protection des Données (DPO) si applicable — obligatoire pour les organismes publics, les entreprises dont le traitement à grande échelle est une activité principale, et les entreprises traitant systématiquement des données sensibles article 9. Finalité et base légale pour chaque traitement distinct (pas une formule générique « améliorer nos services » mais « envoi de la newsletter hebdomadaire — base légale : consentement article 6.1.a RGPD », « traitement des commandes — base légale : exécution du contrat article 6.1.b », « détection de la fraude — base légale : intérêt légitime article 6.1.f », etc.). Catégories de données collectées pour chaque finalité. Destinataires et sous-traitants (a minima les catégories : hébergeur, outil CRM, outil emailing, outil analytique, régie publicitaire). Durées de conservation pour chaque catégorie de données. Transferts hors UE : si des données sont transférées vers des pays tiers, bases légales de ces transferts (CCT, décision d'adéquation, BCR). Droits des personnes : accès, rectification, effacement, limitation, portabilité, opposition, et pour les consentements le droit de retrait à tout moment. Droit de recours auprès de la CNIL (adresse, formulaire en ligne).

Non-conformités les plus fréquentes relevées en audit. (1) Finalités groupées et génériques : « Nous utilisons vos données pour améliorer nos services et vous proposer des offres personnalisées » — illicite. (2) Base légale absente ou unique pour tous les traitements : « Toutes vos données sont traitées sur la base de notre intérêt légitime » — la CNIL rejette systématiquement l'intérêt légitime pour la publicité comportementale. (3) Durées de conservation absentes ou génériques : « Aussi longtemps que nécessaire » — illicite. (4) DPO absent pour des entreprises traitant à grande échelle (plateformes e-commerce 100 000+ commandes/an, SaaS B2B avec données de millions d'utilisateurs finaux). (5) Sous-traitants non listés : nombreux sites mentionnent « nos partenaires » sans nommer ni lier les sous-traitants (obligation de l'article 28 RGPD). (6) Aucun lien vers le formulaire CNIL de plainte. (7) Politique de confidentialité datée de 2018 ou 2019 non mise à jour depuis l'entrée en vigueur de Consent Mode v2, de la directive Omnibus, ou de l'EAA.

#Accessibilité et RGESN — Deux audits en un

L'association de l'audit accessibilité et de l'audit écoconception dans une même mission n'est pas un choix arbitraire de Nehos — c'est une cohérence technique et économique. Les deux référentiels (WCAG 2.1 AA / EAA / RGAA pour l'accessibilité, RGESN pour l'écoconception) partagent de nombreux critères sous-jacents : qualité du HTML sémantique (titre Hn hiérarchique, landmarks ARIA, alt text), performance de chargement (poids des ressources, lazy loading, compression), pertinence du contenu (éviter les contenus redondants, les médias non essentiels), qualité du CSS (pas de styles en ligne inutiles). Tester ces critères sur un même corpus de pages lors d'un même sprint permet de diviser par 1,5 à 2 le coût total vs deux missions séparées.

L'EAA (European Accessibility Act, directive 2019/882/UE transposée en France par l'ordonnance n°2023-859 du 6 septembre 2023) est applicable depuis le 28 juin 2025 à l'ensemble des services numériques ouverts au public (e-commerce, services bancaires en ligne, services de transport, plateformes de streaming, etc.) avec des sanctions pouvant atteindre 5 % du CA annuel et2 400 000 € par infraction en droit français. Contrairement au RGAA qui ne s'applique qu'aux organismes publics et aux entreprises de plus de 4000 M€ de CA, l'EAA concerne toutes les entreprises — y compris les PME, avec une période de transition jusqu'en 2030 pour les micro-entreprises stricto sensu.

Nehos livre pour la combinaison accessibilité + RGESN un rapport consolidé avec section dédiée par référentiel, score de conformité, matrice de priorité remédiation commune, et estimation de l'effort de correction par criticité. Détails sur les audits séparés : Accessibilité EAA et WCAG 2.1 et audit RGESN.

#IA et transparence sur votre site — Obligations AI Act et EAA

Si votre site utilise un chatbot, un système de recommandation de contenu ou de produits, ou toute forme de décision automatisée, les obligations de transparence de l'AI Act (Règlement UE 2024/1689) s'appliquent dès le 2 août 2026 pour les systèmes à usage général, et depuis le 2 août 2025 pour les obligations de base sur les systèmes interagissant avec des personnes physiques.

Trois obligations de transparence clés. (1) Information sur l'interaction avec un système IA : toute personne interagissant avec un chatbot ou un agent conversationnel doit être informée qu'elle est en contact avec une IA, sauf si cela est manifeste dans le contexte (ex. chatbot clairement labellisé « Assistant IA »). L'absence de cette mention constitue une violation de l'article 50 de l'AI Act. (2) Détection de contenu généré ou manipulé par IA (deepfakes, textes synthétiques) : les contenu génératifs doivent être marqués en machine-readable, sauf exceptions artistiques ou satiriques explicites. (3) Recommandations algorithmiques : sur les sites e-commerce, les plateformes de contenu et les agrégateurs, si une recommandation est générée par un système IA, l'utilisateur doit pouvoir accéder à une explication simplifiée du critère principal de recommandation.

Pour l'EAA, les interfaces IA (chatbots, formulaires intelligents, systèmes de recommandation avec sortie visuelle ou sonore) doivent respecter les critères d'accessibilité WCAG 2.1 AA, y compris dans leur logique d'adaptation au contexte. Un chatbot vocal non accessible aux malentendants et visuellement non accessible aux malvoyants est doublement non-conforme : EAA et AI Act article 50.

Dans la pratique, Nehos audite systématiquement la présence de scripts tiers IA sur le site (chatbots Intercom, Tidio, Freshdesk AI, Zendesk IA, recommandations Algolia, Dynamic Yield, Salesforce Einstein, etc.) et vérifie les obligations de mention associées dans la politique de confidentialité, les CGU, et l'interface utilisateur.

#Rapport d'audit Nehos — Format et livrables

Le rapport d'audit conformité site Nehos est structuré pour être actionnable immédiatement par les équipes internes ou l'agence de développement. Il n'est pas un simple relevé de bugs — c'est un dossier de mise en conformité.

Contenu du rapport de 10 à 15 pages. Synthèse exécutive avec tableau de bord de criticité : nombre de non-conformités par domaine (Cookies, RGPD, Mentions légales, CGU/CGV, Transferts, Accessibilité, RGESN, IA) et par niveau (critique / major / minor). Analyse domaine par domaine avec : (1) liste exhaustive des non-conformités identifiées, (2) capture d'écran ou extrait du code documentant la non-conformité, (3) référence réglementaire précise (article de loi, délibération CNIL, critère WCAG, critère RGESN), (4) fiche de remédiation avec description de l'action corrective, profil responsable (développeur front-end, juriste, DPO, consultant SEO, etc.), et estimation d'effort (en jours ou en demi-journées). Extrait du registre des traitements RGPD basé sur les traitements identifiés lors de l'audit. Inventaire des cookies détectés lors de l'analyse automatisée (avec durée, domaine émetteur, catégorie, et statut de conformité actuel). Plan d'action priorisé sur 4 semaines (actions immédiates critiques), 8 semaines (corrections major), et 12 semaines (optimisations minor et bonnes pratiques). Sur demande : estimation forfaitaire d'un sprint de remédiation Nehos basée sur les findings.

#Méthodologie de déploiement

L'audit conformité site Nehos se déroule en trois phases séquentielles, avec une durée totale de 4 à 5 jours ouvrés.

Phase 1 — Audit (2 à 3 jours ouvrés). Analyse automatisée : scan de cookies et traceurs (CookieMetrix, Blacklight de The Markup, outil propriétaire Nehos), crawl technique des pages pour détection des scripts tiers, test d'accessibilité automatisé sur axe-core (couverture ~40 % des critères WCAG 2.1 mécanisables), analyse de performance RGESN (Ecoindex, GreenIT-Analysis, PageSpeed Insights). Revue manuelle experte : vérification article par article de la politique de confidentialité, mentions légales, CGU/CGV, qualification des bases légales des traitements, test manuel des critères d'accessibilité non mécanisables (navigation clavier, lecteur d'écran NVDA/VoiceOver, tests de contraste visuels, formulaires). Entretien client 1h avec le DPO ou le responsable juridique pour qualifier les traitements ambigus et les sous-traitants non documentés publiquement.

Phase 2 — Rapport (1 jour ouvré). Rédaction du rapport structuré avec toutes les captures, références réglementaires, et fiches de remédiation. Validation interne Nehos par un second expert conformité.

Phase 3 — Présentation et plan d'action (1 jour ouvré). Présentation du rapport en visioconférence (1h30) avec le commanditaire et les parties prenantes internes (DPO, responsable juridique, DSI, responsable marketing). Questions/réponses. Validation conjointe des priorités. Formalisation du plan d'action final. Sur demande : réunion distincte avec l'agence de développement ou l'équipe technique interne pour la passation des fiches de remédiation.

#ROI et risque évité — Cas e-commerce B2C

Le calcul du retour sur investissement d'un audit conformité site n'est pas abstrait. Il se base sur deux variables mesurables : le risque d'amende évité et le coût de remédiation post-contrôle (systématiquement plus élevé qu'une remédiation proactive, avec la pression d'un délai imposé par la CNIL et l'effet de réputation associé).

Premier axe — risque d'amende CNIL. La délibération SAN-2022-001 (Google à partir de 3,8 M€) et la SAN-2022-002 (Facebook à partir de 15,4 M€) ont concerné des géants du web avec une capacité financière et juridique hors norme. Mais la CNIL sanctionne aussi les entreprises françaises de taille normale : Accor Hotels (9 600 000 €), Optical Center (4 000 000 €), Bouygues Telecom (12 800 000 €), TF1 (1 520 000 €) — tous sur des non-conformités de cookies ou de politique de confidentialité. La proportion d'entreprises françaises contrôlées est croissante depuis 2023 avec l'automatisation partielle des contrôles CNIL (scan automatique des bannières cookies sur les 5 000 sites français les plus visités tous les 3 mois). Pour un e-commerçant B2C moyen (5 à 800 M€ de CA), le risque d'amende maximal théorique sur une non-conformité cookies caractérisée est de l'ordre de 50 000 à8 000 000 €.

Deuxième axe — coût de remédiation sous pression. Un client Nehos e-commerce B2C audité en 2025 : 12 non-conformités identifiées dont 4 critiques (cookies sans CMP active, Google Analytics sans Consent Mode v2, CGV sans droit de rétractation conforme, politique de confidentialité sans durées de conservation). Coût de l'audit préventif Nehos :192 000 € HT. Durée de remédiation : 3 semaines (sprint développeur + révision juridique). À comparer avec le scénario contrôle CNIL : délai de mise en demeure 3 mois (sous pression), coût de remédiation d'urgence estimé 2,5× supérieur, plus coût d'avocat RGPD spécialisé (5 000 à240 000 € HT pour la gestion de la procédure), plus sanction estimée1 520 000 € sur la base des précédents comparables. ROI de l'audit préventif sur ce cas : amende potentielle évitée + surcoût remédiation urgente = 80 000 à1 920 000 € évités pour192 000 € investis.

#Tarification — 8 à 480 k€ HT

Trois fourchettes tarifaires selon le périmètre et la profondeur d'audit demandée.

Site vitrine professionnel (30 à 100 pages, sans e-commerce, périmètre FR). Audit 8 domaines : cookies, RGPD, mentions légales, CGU, transferts hors UE, accessibilité échantillon, RGESN, IA disclosure. Rapport complet avec fiches de remédiation. 8 à 224 k€ HT selon la complexité du stack technique et le nombre de scripts tiers identifiés.

Site e-commerce B2C (avec transaction, checkout, plusieurs milliers de pages). Périmètre étendu sur les CGV (droit de consommation B2C complet, médiation, garanties), cookies publicitaires (Meta Pixel, Google Ads, Pinterest, TikTok — vérification de chaque pixel), Consent Mode v2 sur l'ensemble du funnel d'achat, accessibilité sur le parcours d'achat complet. 15 à 352 k€ HT.

Périmètre multi-sites ou multi-entités (BE/CH/LU en plus de FR, ou 2 à 4 entités juridiques distinctes). Chaque entité juridique = obligations légales spécifiques (en Belgique : loi du 7 décembre 1998 et Autorité de protection des données APD, en Suisse : nLPD entrée en vigueur septembre 2023). Audit consolidé avec rapport par entité + synthèse groupe. 20 à 480 k€ HT.

Forfait MCO post-audit optionnel : veille réglementaire active et revérification annuelle des 8 domaines (les textes évoluent — l'AI Act déploie ses obligations par vagues jusqu'en 2027, le RGESN sera mis à jour, la CNIL peut actualiser sa doctrine sur les cookies). 2 500 à80 000 € HT/an selon périmètre.