L'exposition américaine des plateformes européennes de gestion du consentement, état 2026
Nous avons vérifié 5 plateformes européennes de gestion du consentement contre leurs registres de propriété et leurs déclarations d'infrastructure. 1 fonctionne sans aucune exposition américaine dans le chemin des données de consentement.
Sur 5 plateformes européennes de consentement, 1 est totalement à l'abri de l'exposition américaine
Les plateformes de gestion du consentement existent pour une seule raison : documenter qu'un site traite les données personnelles en toute légalité. Cela rend leur propre chemin de données digne d'une lecture attentive, et il n'est pas aussi européen que le suggère l'image de marque de la catégorie. Nous avons contrôlé chaque plateforme de consentement de notre annuaire contre ses registres de propriété et ses déclarations d'infrastructure publiés, puis classé chacune sur notre échelle CLOUD Act à quatre niveaux (aucune, mineure, significative, directe).
| Exposition CLOUD Act | Plateformes |
|---|---|
| Aucune | 1 |
| Mineure | 2 |
| Significative | 2 |
| Directe | 0 |
| Toute exposition | 4 |
Chaque plateforme, et où entre l'exposition
| Plateforme | Pays | Propriété | Hébergement | Exposition CLOUD Act | Où elle entre |
|---|---|---|---|---|---|
| ConsentManager | Germany | Propriété UE | Germany | Aucune | Exploitation allemande sur ses propres centres de données européens plutôt qu'un hyperscaler ; certifié ISO 27001, CMP IAB TCF v2 |
| Iubenda | Italy | Propriété UE | Ireland | Mineure | La maison mère Team.blue (Belgique) est sous contrôle européen ; la réserve résiduelle tient à la transparence, car aucune liste publique de sous-traitants ni URL de DPA n'est accessible |
| Didomi | France | Propriété UE | France | Mineure | Basée à Paris, financée par des investisseurs européens et français sans maison mère américaine identifiée ; le DPA et la liste de sous-traitants ne sont pas publiés ouvertement |
| Cookiebot | Denmark | Siège UE, financement US | Denmark | Significative | Produit danois sur infrastructure danoise, mais racheté par Usercentrics en 2022, dont l'acquéreur est depuis 2024 Vista Equity Partners (private equity américain) |
| Usercentrics | Germany | Siège UE, financement US | Germany | Significative | Exploitée à Munich et certifiée ISO 27001, mais rachetée par Vista Equity Partners (private equity américain) en 2024, avec sa filiale Cookiebot |
L'histoire de la consolidation est le fait marquant de la catégorie. Usercentrics a racheté Cookiebot en 2022 et gère aujourd'hui une grande partie du marché du consentement dans la zone DACH ; Vista Equity Partners a racheté Usercentrics en 2024. Deux des plateformes de consentement européennes les plus déployées répondent donc, par leur chaîne de propriété, à une maison mère ultime américaine, tandis que leurs opérations, leurs certifications et leur hébergement restent allemands et danois. Aucun des deux éditeurs ne le cache, mais cela apparaît rarement dans le marketing de la catégorie.
Les plateformes française et italienne au milieu du tableau montrent un autre schéma : une propriété européenne avec une transparence publique limitée. Les deux sont classées mineure plutôt qu'aucune, car une vérification qui ne peut pas lire une liste de sous-traitants publiée doit laisser de la place à ce qu'elle ne voit pas.
Notre classification à quatre niveaux consigne si les données clients pourraient tomber sous la portée extraterritoriale américaine : aucune (opérateur UE/EEE/suisse, pas de maison mère américaine, pas de sous-traitant américain notable), mineure (un sous-traitant américain transitoire comme un CDN, les données at rest restant dans l'UE), significative (une maison mère américaine ou un hyperscaler détenu aux États-Unis dans le chemin de données central) et directe (l'opérateur lui-même est constitué aux États-Unis). Une note de méthode s'applique dans cette catégorie : lorsqu'un éditeur ne publie pas sa liste de sous-traitants, nous n'attribuons pas la classification aucune, aussi européen que paraisse le reste du tableau. Pour les plateformes de consentement, le chemin de données que nous lisons est spécifique : d'où est servi le script de la bannière, où sont stockés les journaux de consentement, et à qui appartient in fine l'opérateur.
Les sources sont les documents publiés par les éditeurs eux-mêmes : listes de sous-traitants lorsqu'elles existent, annexes DPA et registres de propriété, recontrôlés chaque trimestre. Chaque chiffre et chaque verdict de cette page sont rendus en direct depuis le jeu de données ; la page se met donc à jour lorsqu'une revérification change une classification. Le tableau transversal se trouve dans notre analyse de l'exposition au CLOUD Act ; toutes les fiches détaillées sont sur la page de la catégorie gestion du consentement.
Les chiffres de cette page peuvent être republiés avec attribution. Citez "Source : EU Vetted, vérifié juillet 2026" et faites un lien vers cette page. Les chiffres sont rendus en direct depuis notre jeu de données et changent lorsqu'une revérification trimestrielle modifie une classification ; la référence durable est donc le lien, pas un chiffre copié.
Questions fréquentes
- Quelles plateformes européennes de gestion du consentement n'ont aucun sous-traitant américain en 2026 ?
- Sur les 5 plateformes européennes vérifiées, 1 fonctionne sans maison mère américaine et sans couche américaine dans le chemin des données de consentement : ConsentManager (Germany, exposition CLOUD Act Aucune), qui tourne sur ses propres centres de données européens. La répartition complète par plateforme figure dans le tableau de cette page.
- Une bannière de consentement envoie-t-elle elle-même des données vers une infrastructure américaine ?
- C'est possible. Le script de la bannière est servi depuis quelque part, les journaux de consentement qui prouvent la conformité sont stockés quelque part, et l'éditeur lui-même appartient à quelqu'un. Deux des plateformes européennes de consentement les plus connues, Usercentrics et sa filiale Cookiebot, se trouvent depuis 2024 sous une maison mère de private equity américaine, ce qui place les registres de consentement qu'elles détiennent sous la portée extraterritoriale américaine telle que nous la classons.
- Comment ces données sont-elles vérifiées et à quelle fréquence sont-elles mises à jour ?
- Chaque plateforme est contrôlée contre sa propre liste de sous-traitants publiée, son DPA et ses registres de propriété, puis revérifiée chaque trimestre. Les chiffres de cette page sont rendus en direct depuis le jeu de données et changent lorsqu'une revérification modifie une classification.
Pour chaque produit, nous lisons la DPA publique, le document des sous-traitants, la déclaration de région d’hébergement et les registres de propriété : chacun horodaté. Les signaux sont éditoriaux, revérifiés chaque trimestre. Nous n’acceptons jamais l’auto-déclaration.