Beaucoup de bandeaux cookies de grands sites sortent de chez OneTrust. L’éditeur d’Atlanta revendique plus de 750 000 sites équipés et plus de la moitié des entreprises du Fortune 500 parmi ses clients. Mais réduire OneTrust à un bandeau serait une erreur : le consentement n’est qu’une des six solutions d’une plateforme qui couvre aussi les demandes d’exercice de droits, la gestion des sous-traitants, la conformité IT et, depuis peu, la gouvernance de l’IA.
Quel problème OneTrust règle, et pour qui
Une grande entreprise ne gère pas un site, mais des dizaines de domaines, d’applications mobiles et parfois d’applications pour téléviseurs connectés, chacun avec ses traceurs publicitaires et analytiques. Chaque propriété doit recueillir un consentement valable, bloquer les cookies tiers tant que l’internaute n’a pas accepté et conserver la preuve de son choix. Les règles changent d’un pays à l’autre, et les contrôles de la CNIL comme les exigences de Google sur les annonces rendent l’erreur coûteuse.
OneTrust répond à ce besoin de centralisation. Une seule console pilote les bandeaux de tous les sites, applis et apps TV, et les mêmes données alimentent ensuite le registre des traitements, les analyses d’impact et le traitement des demandes d’accès ou de suppression. Les interlocuteurs visés sont le DPO, la direction juridique, la DSI et les équipes marketing, dans des organisations de taille groupe.
Comment fonctionne la plateforme de consentement
Tout commence par un scan. L’outil parcourt vos sites, y compris derrière une page de connexion ou sur des pages masquées, et recense cookies, balises, pixels et stockage local. Chaque élément détecté est rapproché d’une base de plus de 45 millions de cookies déjà catégorisés, ce qui pré-remplit sa finalité, son fournisseur et sa durée de vie. Le travail de qualification manuelle, souvent le plus long dans un projet de mise en conformité, se limite ainsi aux traceurs inconnus.
Vient ensuite le bandeau. Vous partez d’un modèle, l’habillez aux couleurs de la marque, puis définissez des règles de géolocalisation par région, pays ou État pour appliquer la loi locale du visiteur. Le blocage automatique retient les scripts tant que le consentement n’est pas donné, sans réécrire le code du site. Un module de test A/B compare plusieurs mises en page et leur taux d’acceptation.
Côté technique, l’éditeur publie sa documentation en accès libre sur son portail développeurs : SDK pour iOS, Android, React Native, Flutter, Cordova, Unity et MAUI, SDK pour Android TV, Apple TV, Fire TV, Roku, Samsung et LG, scripts pour Google Tag Manager, Shopify ou Adobe Experience Platform, et API REST par module. Le portail propose même un serveur MCP pour interroger la documentation depuis un éditeur de code assisté par IA. Le CMP est certifié par Google et intégré au TCF de l’IAB Europe, condition pour continuer à diffuser des annonces Google auprès des internautes européens.
Cas d’usage par profil
- Groupe média ou e-commerce multi-sites : un seul tableau de bord pour suivre les taux d’opt-in par finalité et par propriété, et des bandeaux déclinés dans les langues de chaque marché.
- Éditeur d’applications ou de services de streaming : le même consentement recueilli sur mobile, sur le web et sur l’application TV, avec une gestion des préférences par membre du foyer.
- Équipe CRM : le module Universal Consent & Preference Management construit un centre de préférences et pousse les choix des clients vers Salesforce, Marketo, Snowflake ou Adobe, pour ne plus envoyer d’e-mail à un contact désinscrit.
- DPO : Privacy Automation tient le registre des traitements, déroule les analyses d’impact, traite les demandes d’accès et documente les incidents, avec la veille juridique DataGuidance pour suivre l’évolution du RGPD.
- Direction des risques : AI Governance recense les projets, modèles et jeux de données d’IA, puis les évalue au regard des lois et normes applicables.
OneTrust face à Didomi, Axeptio et Cookiebot
Sur le seul terrain du bandeau cookies, OneTrust n’est pas le choix le plus simple. Axeptio mise sur un bandeau soigné et une mise en route rapide pour les PME françaises. Cookiebot, chez Usercentrics, vise les sites qui veulent un scan et un bandeau conformes avec peu de réglages. Didomi, éditeur français, se place sur les grands comptes du consentement et des préférences, notamment dans les médias.
La différence de OneTrust tient à l’étendue : le consentement s’y relie au registre RGPD, à la gestion des sous-traitants, aux référentiels de sécurité et à la gouvernance de l’IA. Pour une entreprise qui achète déjà plusieurs de ces briques, la consolidation a du sens. Pour un site qui a seulement besoin d’un bandeau conforme, c’est un outil surdimensionné.
Les limites à connaître
La première est la transparence tarifaire : la page des offres décrit chaque module, mais aucun montant n’apparaît. Le CMP est calculé sur le nombre moyen de visiteurs quotidiens, tous canaux et toutes propriétés confondus, et la gestion centralisée des politiques exige un volume minimum. Il faut donc passer par un commercial avant de connaître le budget.
La deuxième touche à l’accompagnement. La base de connaissances et le dépôt de tickets passent par le portail client myOneTrust, réservé aux comptes : impossible d’évaluer la documentation fonctionnelle avant de signer. Enfin, la richesse fonctionnelle a un coût en prise en main : huit offres, chacune avec ses propres compteurs, et une console que l’éditeur ne présente qu’en anglais. À l’heure où l’Europe discute de la fin des pop-ups cookies, mieux vaut aussi vérifier la durée d’engagement proposée.
Quelle offre choisir
Si votre besoin se limite aux cookies et traceurs de vos sites, applis et apps TV, Consent Management (CMP) suffit : c’est lui qui porte le scan, la base de cookies, les bandeaux et le blocage. Ajoutez Universal Consent & Preference Management dès que le marketing veut gérer abonnements et préférences de communication dans un centre unique synchronisé avec le CRM.
Pour le DPO, Privacy Automation Base couvre registre, analyses d’impact, tiers et incidents ; la version Suite y ajoute l’automatisation complète des demandes d’exercice de droits. Third-Party Management, Tech Risk & Compliance et AI Governance relèvent d’autres budgets, juridique, sécurité ou risques, et s’ajoutent au cas par cas. Avant de signer, demandez l’essai gratuit de 14 jours pour vérifier la qualité du scan sur vos propres domaines.