C’est déjà le cas. A part pour les cookies/scripts catégorisés comme “nécessaires”, (par ex ceux qui servent à indiquer au serveur quels consentement ont été donné ou pas, à maintenir la session ou à supporter des fonctionnalités sans lesquelles un site ne peut pas fournir le service qu’il est censé offrir), la loi interdit de déposer quoi que ce soit tant que l’utilisateur n’a pas consenti. (et interdit de cocher les cases par défaut, il faut que l’utilisateur fasse le geste de cocher les cases individuellement par type de consentement avant de valider).

C’est ce qui rend la mise en conformité des sites existants compliquée. Beaucoup de modules, notamment sur les CMS, se contentaient d’ajouter au code source de la page html un script fourni par un tiers, et fin de l’histoire. De nombreux webmestres, qui ne sont pas développeurs, ne savent pas faire autrement. (et ne savent pas non plus ce que les scripts qu’ils ajoutent peuvent bien faire pour fournir leur fonctionnalité)

Ce que font les boîtes qui proposent les bandeaux/popins relatifs aux cookies, c’est fournir un crawler: il interagit avec ton site web, il repère tous les cookies (qu’ils proviennent du site lui même ou qu’ils soient tiers), il te les classes dans les différentes catégories à partir de bases de données sur les différents acteurs, tu peux bouger des trucs via une interface d’admin si tu sais qu’ils ont été mal classifiés, puis tu valides et il te fournit le script qui gère la popin avec toutes ses infos dedans.
Pouf, c’est magique, tu as ton outil de collecte du consentement.

Sauf qu’en vrai, la popin, elle n’est pas magique, elle va juste stocker (dans son propre cookie ou dans un store distant interrogeable par API), la liste des consentement que l’utilisateur a donné ou non, mais elle ne bloque pas le dépôt des cookies concernés. Donc elle ne te met pas en conformité. En fait elle fait la partie simple du boulot…
Si tu n’as pas derrière un ou des développeurs pour aller analyser d’où vient chaque cookie et ajouter du code qui vérifie le consentement avant d’activer ou non les différents éléments, tu n’es pas conforme. Une vraie usine à gaz. :/

Surtout que tu peux par ex inclure dans ton site une ressource tierce qui elle-même inclut d’autres ressources tierces, mais pas tout le temps les mêmes (c’est typiquement le cas des régies pub).
Sauf que bah, c’est le site principal qui est censé recueillir le consentement de ses “partenaires”, du coup les prestataires de pub ne s’embêtent pas, ils fournissent d’énormes listes à intégrer aux popins, et il faut se débrouiller avec ça.
C’est un peu la grosse arnaque de l’application du règlement, toute la mise en conformité technique repose sur sur l’opérateur final, qui bien souvent ne tracke rien, au lieu de reposer sur les intermédiaires qui siphonnent la donnée. Eux n’ont rien à faire à part fournir des listes des cookies qu’ils posent…

Bref, sorry pour le pavé, la gestion de la conformité RGPD de différentes plateformes web fait partie de mon quotidien, et c’est source de nombreuses prises de têtes ^^”

Désolé, mais je pense que tu n’as pas bien lu les cas que je décris, ou que tu es trop loin du terrain d’une grosse plateforme technique web ou d’un service juridique pour te rendre compte de ce que ça représente au quotidien.

Déjà pour commencer, nous ne sommes pas concerné que par le RGPD, mais par toutes les réglementations cumulées de tous les pays relatives aux cookies, traceurs, etc.

Ensuite, je ne parle pas des bases du RGPD (identifier une donnée personnelle, registre de traitements, obligation de consentement retrait, etc) sur lesquelles on donne des formations génériques en entreprise et qui sont effectivement bateau comme c’est pas permis.
Comme j’en ai déjà donné des exemples, il y a plein de cas qui sont des “zones grises”, notamment quand on parle de catégoriser des choses et apporter des preuves (notamment dès qu’on commence à parler d’ “intérêt légitime”). Des choses qu’on ne rencontre que sur le terrain dans les détails d’implémentation techniques, et qui sont systématiquement du cas par cas.
Tu te doutes bien que si nos équipes de juristes, dont c’est le métier, n’arrivent pas à trancher facilement les cas qui se présentent, c’est que l’impression de clarté et de simplicité que tu te fais est largement faussée par ta perspective.
Et plein de choses ont déjà changé depuis 2016, avec les interprétations locales du RGPD (je rappelle que le droit européen ne s’applique pas tel quel dans les états membres, les directives sont transposées, et donc interprétées.), les clarifications qui ont déjà été émises et le début de jurisprudence.

Point suivant, comme je le dit là aussi dans mon message précédent, la mise en conformité, c’est une chose, le maintient de la conformité, c’en est une autre.
Ma boîte fait partie de celles qui ont joué le jeu, quand le RGPD a été officiellement activé en mode “hard”, tout était conforme. (de toute façon on aurait mis offline tout ce qui ne l’aurait pas été. Pour le coup les sanctions sont assez dissuasives pour ça)
Et ta vision de “si tous les clients avaient migré, les intermédiaires auraient suivi” est pour moi assez révélatrice du fait que tu n’as aucune idée du fonctionnement des rapports de force entre gros acteurs dans la vie réelle ^^” Ce n’est pas faux dans l’absolu, mais c’est totalement infaisable.
C’est comme de dire “ben si tout le monde arrêtait de travailler, le patron serait bien obligé de céder aux exigences des employés”: je pense que tu peux voir qui si c’est effectivement vrai en théorie, en pratique les rapports de force font que les grèves qui aboutissent ne sont pas légion. (et que beaucoup ne démarrent même pas) Et que certains employés ne peuvent pas se permettre de faire grève, parce que sinon ils ne bouffent pas, ou ils arrêtent de fournir un travail duquel d’autres personnes sont dépendantes.
Le monde réel, ce n’est pas “yaka faukon”.

En 5ans tu as largement le temps de réécrire n’importe quel site web, y compris les pires daubes à base de CMS et autre *aaS
Cette phrase semble indiquer que tu n’as jamais bossé sur de grosses plateformes en constante évolution, avec des bibliothèques partagées, qui hébergent de nombreux sites avec des centaines d’intervenants, et qui fournissent des services nécessaires à l’entreprise, qui doivent rester up tout le temps, et pas juste des contenus à lire… Non, tu ne peux clairement pas réécrire n’importe quel site web en 5 ans. :) ( en tout cas pas en assurant que tout reste up et isofonctionnel en permanence, et pas sans faire exploser tes coûts en démultipliant tes équipes… bref pas en vivant dans le monde réel de l’entreprise)