Une plateforme de gestion du consentement (CMP) affiche des bandeaux de cookies et des centres de préférences sur les sites et applications, enregistre les choix des visiteurs et les transmet aux scripts d'analyse et de publicité, afin que rien ne se charge sans autorisation. Les organisations l'utilisent pour respecter les règles de consentement du RGPD et de la réglementation ePrivacy, pour démontrer qui a accepté quoi et pour gérer le consentement sur plusieurs sites. OneTrust est une référence américaine connue.
L'enjeu de souveraineté est subtil. Le script de la CMP se charge à chaque affichage de page : il se trouve sur le trajet de tout le trafic des visiteurs et voit adresses IP et caractéristiques d'appareil avant tout consentement. Si ce script est servi depuis l'extérieur de l'UE ou si le fournisseur relève d'une juridiction étrangère, l'outil de conformité peut lui-même devenir un transfert de données personnelles. Les journaux de consentement sont en outre votre preuve en cas de litige : ils doivent être conservés, résistants à la falsification et sous votre contrôle.
Pour une solution européenne, vérifiez où le script et les journaux sont servis et stockés, si le bandeau fonctionne sans polices externes ni traçage propre, comment les journaux s'exportent et combien de temps ils sont conservés. Vérifiez que refuser est aussi simple qu'accepter.