1. Le cadre légal 2026 : EAA, EN 301 549, WCAG 2.2 AA et RGAA
L'accessibilité numérique n'est plus une affaire de « bonnes pratiques » : c'est un régime d'obligations précises, opposables, avec un barème de sanctions. Trois textes structurent le paysage en 2026, et la confusion entre eux est la première cause d'erreurs de conformité dans les entreprises que nous auditons.
Le calendrier qui s'applique à votre site
- 28 juin 2025 — entrée en application de l'European Accessibility Act (Directive UE 2019/882), transposée en France par l'ordonnance n° 2023-859 et le décret n° 2023-931. Tous les services numériques du secteur privé concernés — e-commerce, services bancaires, billetteries, livres numériques, plateformes de communication — doivent être conformes dès maintenant ; les délais de grâce sont écoulés.
- Norme de référence : EN 301 549 V3.2.1, qui renvoie aux critères de succès WCAG 2.2 niveau AA du W3C. La version V4.1.1 publiée en 2025 consolide l'alignement sur WCAG 2.2.
- Secteur public : RGAA 4.1.2 (méthode française d'évaluation des critères WCAG), obligatoire avec schéma pluriannuel de mise en accessibilité et référent accessibilité désigné.
Concrètement, si vous vendez en ligne, si vous éditez une application web destinée aux consommateurs ou si vous proposez un service de paiement, de transport ou de communication électronique, vous êtes dans le champ. Seules échappent (de façon encadrée) les microentreprises de moins de 10 salariés réalisant moins de 2 M€ de chiffre d'affaires — et cette exemption ne couvre pas les services clés comme la banque ou le e-commerce de certaines catégories.
La déclaration d'accessibilité : le document que tout le monde oublie
La conformité technique ne suffit pas : chaque site assujetti doit publier une déclaration d'accessibilité visible sur toutes les pages (lien dans le footer), mentionnant le statut de conformité (« totalement conforme », « partiellement conforme », « non conforme »), les résultats du dernier audit, le schéma pluriannuel de mise en accessibilité et les voies de recours (Défenseur des droits). Une déclaration absente ou mensongère est sanctionnée en tant que telle.
| Texte | Champ d'application | Standard exigé |
|---|---|---|
| EAA / Ordonnance 2023-859 | Secteur privé : e-commerce, banque, billetterie, SaaS grand public | EN 301 549 → WCAG 2.2 AA |
| Décret n° 2023-931 | Tous sites & apps assujettis (France) | Déclaration d'accessibilité + schéma pluriannuel |
| RGAA 4.1.2 | Secteur public & sous-traitants | Audit RGAA + déclaration obligatoire |
| RGPD art. 4(11) & 7 | Bannières de consentement (tous sites) | Refus accessible = consentement valide |
2. Le lien mortel entre accessibilité et validité du
C'est l'apport doctrinal majeur de l'Observatoire : une interface de consentement inaccessible produit un consentement nul. L'article 4(11) du RGPD exige une manifestation de volonté libre, spécifique, éclairée et univoque ; l'article 7(3) impose que le refus soit aussi aisé que l'octroi. Dès qu'une personne non voyante, malvoyante ou naviguant exclusivement au clavier ne peut pas atteindre le bouton « Tout refuser » avec la même aisance que le bouton « Tout accepter », le choix est vicié.
La conséquence est redoutable : les traceurs déposés sur la base de ce consentement (Meta Pixel, Google Analytics 4, Criteo, TikTok) deviennent illégaux au titre de l'article 82 de la loi Informatique et Libertés — exactement comme si la bannière n'existait pas. Les dossiers que nous avons instruits montrent que c'est précisément ce que retiennent les autorités lorsqu'elles croisent un contrôle d'accessibilité et un contrôle cookies.
Les 6 défaillances qui vicient le consentement
- Piège de focus (WCAG 2.1.2) : la tabulation reste bloquée dans la bannière ou, pire, fuit vers la page avant tout choix. Analyse complète.
- Contraste insuffisant du bouton « Refuser » (WCAG 1.4.3) : sous 4.5:1, le refus est visuellement dissimulé = dark pattern sanctionné par la CNIL. Démonstration par calcul de luminance.
- ARIA manquant ou erroné (WCAG 4.1.2) : sans
role="dialog",aria-modalet libellés accessibles, les lecteurs d'écran n'annoncent jamais l'existence du refus. Les 7 erreurs ARIA fatales. - Cibles tactiles sous 24x24px (WCAG 2.5.8) sur mobile : l'échec le plus massif du marché des CMP. Audit iOS/Android.
- Mode sombre non calibré : contrastes effondrés dès que le thème système bascule. Mesures réelles.
- Asymétrie visuelle Accepter/Refuser : taille, couleur et position conçues pour faire basculer le choix = vice de liberté.
Pour la vue d'ensemble de ce croisement RGPD × accessibilité, voir notre guide RGPD & A11y des CMP.
3. Auditer : méthodologie, checklist 25 points et benchmark
Un audit d'accessibilité sérieux combine trois niveaux : l'inspection automatisée (environ 30 % des critères détectables), le test comportemental (clavier, focus, lecteurs d'écran) et l'expertise humaine sur la compréhension. Notre checklist d'audit en 25 points EN 301 549 / WCAG 2.2 formalise cette méthode pour les bannières de consentement ; elle est utilisable comme grille opposable devant un client ou un régulateur.
Ce que l'Observatoire teste concrètement
- Interception réseau Playwright : les traceurs qui se déclenchent avant consentement, indépendamment de l'apparence de la bannière.
- Arbre d'accessibilité : extraction native Chromium pour vérifier rôles, noms et valeurs réellement exposés aux technologies d'assistance.
- Cycle de tabulation clavier : ordre du focus, enfermement, révocation du choix, touche Escape.
- Calcul de contraste : ratio réel (luminance WCAG) sur chaque bouton, y compris résolution des backgrounds transparents et du mode sombre.
- Tests lecteurs d'écran : NVDA (Windows), VoiceOver (macOS/iOS) et TalkBack (Android) sur parcours « accepter / refuser / paramétrer ».
Benchmark des CMP : ce que nos crash tests révèlent
Notre audit comparatif de Didomi, OneTrust, Axeptio, Cookiebot et Tarteaucitron montre qu'aucune CMP du marché n'est accessible « par défaut » : les écarts se situent sur la gestion du focus dans les panneaux de préférences, la sémantique des interrupteurs de consentement (souvent de simples div cliquables) et la révocation du choix. Pour les équipes qui veulent une bannière sur mesure, notre guide développeur complet fournit le code HTML5 dialog, le piège de focus et la suite de tests à intégrer en CI.
Côté outillage libre, Tarteaucitron reste l'option la plus auditable (code ouvert), mais sa configuration par défaut doit être retravaillée : voir le guide de configuration avancée.
4. Arnaques, secteurs exposés et barème des sanctions 2026
Les overlays d'accessibilité : la fausse sécurité
AccessiBe, UserWay, Facil'iti et autres widgets promettent la conformité en une ligne de code. Notre teardown technique démontre l'inverse : ces surcouches ne réparent ni le DOM défaillant, ni les contrastes réels, ni la navigation clavier, créent des conflits avec les lecteurs d'écran natifs et ne sont reconnues par aucune autorité comme preuve de conformité. Plusieurs décisions américaines (Robles v. Pizza Domino's, et les suites de Winn-Dixie) ont acté que l'ajout d'un widget ne valait pas remise en conformité.
Les secteurs les plus exposés en 2026
- E-commerce & tunnel d'achat : panier, formulaires, paiement 3D Secure — les parcours les plus audités. Guide de remédiation.
- SaaS B2B & applications web : data grids, dataviz, exports PDF/UA, pièges de focus dans les modales internes. Conformité SaaS.
- Santé & banque : services essentiels au sens de la directive, où le cumul RGPD (données sensibles) × EAA est maximal.
Le barème réel des sanctions
Le barème des amendes accessibilité & cookies 2026 détaille les montants réellement applicables : jusqu'à 150 000 € par manquement (personnes morales) pour non-conformité EAA, astreintes journalières en cas d'injonction non respectée, sanctions spécifiques pour défaut ou fausse déclaration d'accessibilité — et, en cascade, jusqu'à 20 M€ ou 4 % du CA mondial lorsque l'inaccessibilité a produit des consentements nuls et des dépôts de traceurs illégaux.
Notre position d'Observatoire : la question n'est plus « est-ce que je risque quelque chose » mais « combien de temps votre dossier de conformité tient-il face à un contrôle automatisé croisant accessibilité et cookies ». C'est exactement ce que vérifie notre scanner forensique gratuit.