Ce qu’un site fait avec les données, au-delà du texte de la bannière.

Non. Il s’agit d’une mesure technique de la surface publique du site, avec des preuves et les limites de chaque constatation. De nombreuses obligations de la loi — le fondement du traitement, les contrats avec les sous-traitants, le registre des traitements, l’évaluation d’impact, l’information des employés — ne peuvent pas être observées de l’extérieur et n’apparaissent pas dans le rapport. Le score n’est pas un avis juridique et ne calcule aucune amende.

Le scanner trouve la bannière, appuie sur le bouton de refus et écoute les requêtes réseau pendant encore trois secondes. Un tracker n’est signalé que s’il chargeait déjà avant le consentement et continue aussi après le refus, sans signal de refus dans la requête. C’est la seule vérification du moteur qui a besoin d’un navigateur vivant, interactif, et non d’une image statique de la page — et c’est la raison pour laquelle le scan prend des secondes, et non des millisecondes.

Non. Le moteur est déterministe : les mêmes entrées donnent le même score, et chaque pondération ainsi que chaque seuil se trouvent dans un seul fichier de constantes, pas dispersés dans le code. Il existe un assistant qui vous explique le rapport, et celui-ci est un modèle de langage — mais il ne recalcule rien, et s’il cite un article que nous ne confirmons pas dans le texte de la loi, sa réponse ne s’affiche pas.

Non. Cela signifie que la surface publique testée se comporte bien dans les scénarios testés. Une organisation peut avoir un site impeccable et un registre des traitements inexistant. L’inverse fonctionne mieux : un mauvais score montre presque sûrement un problème réel, car les vérifications qui creusent le plus profondément — trackers avant le consentement, refus qui n’arrête rien — décrivent quelque chose qui se produit en ce moment même pour chaque visiteur.

C’est une seule visite, comme celle d’un visiteur ordinaire, avec un budget maximal de 45 secondes. Le user-agent s’identifie et renvoie à la page qui explique le scan et comment le refuser, et le robots.txt du site est respecté par défaut. Aucun formulaire n’est envoyé, aucun compte n’est créé et aucune authentification n’est tentée.

Une bannière cachée dans un shadow-root fermé reste invisible par construction — nous l’affirmons et nous avons un test qui nous oblige à le respecter. Nous ne voyons pas non plus ce qui se passe après l’authentification, ce que le serveur fait avec les données d’un formulaire envoyé, où elles vont ensuite ou ce que prévoient les contrats. Le rapport indique ce qu’il a pu observer et ce qu’il n’a pas pu voir, et lorsque la page ne s’est pas rendue correctement, il retient le verdict au lieu d’en inventer un.

Il existe un registre avec les 90 articles de la Loi 195/2024, avec l’empreinte MD5 du document source. Un article qui n’est pas dans le registre n’est pas imprimé. Et si un texte attribue une référence à un autre acte — par exemple au Règlement UE 2016/679 — cela est reconnu comme tel, et non déclaré inventé. Les deux erreurs ne sont pas symétriques : une citation vraie rejetée disparaît sans que rien paraisse cassé.

195/2024, du 23 août 2026. Le code ne le suppose pas, il le calcule à partir de la date du scan : avant cette date, 133/2011 était active et 195/2024 était indiquée comme en préparation ; après, l’inverse. Un ancien rapport reste ainsi lisible dans son régime, sans prétendre qu’il disait autre chose.