Refuser les cookies devrait prendre un clic

Par Guillemette Songy, Privacy Officer chez Adequacy

Tout internaute connaît la scène. On veut lire un article, consulter la météo ou vérifier un score, et un bandeau s’invite avant le premier mot. Une liste de partenaires, des finalités en cascade, et au bout du compte un réflexe, cliquer sur « Tout accepter » pour passer à autre chose. Ce geste n’est pas un choix éclairé. C’est un signe de lassitude, et il dit quelque chose de la manière dont le consentement est mis en scène.

Ce que le droit demande, ce que l’écran propose

Les règles sont pourtant claires. Selon la CNIL, refuser doit être aussi simple qu’accepter. Un bouton pour accepter, un bouton pour refuser, de même taille, de même couleur, au même niveau. Dans la pratique, les interfaces sont plus variées. Ici un bouton de refus bien visible. Là un grand bouton coloré d’un côté et, de l’autre, un lien discret « Continuer sans accepter », parfois relégué dans un coin du bandeau. Ces choix de design, que l’on regroupe sous le nom de dark patterns, orientent le clic sans jamais l’interdire. Le consentement reste formellement libre, il est simplement plus ou moins facile à refuser.

Le cookie wall, un arbitrage à débattre

Le mur de cookies est un cas à part, notamment dans la presse. Accepter le suivi ou s’abonner. La CNIL admet le principe à condition que l’alternative payante soit proposée à un prix raisonnable. Le sujet est légitime, car les éditeurs cherchent à financer leur contenu, et il est délicat, car il place l’internaute devant un arbitrage entre son argent et ses données. Il mérite d’être discuté pour ce qu’il est, sans caricature d’un côté comme de l’autre.

Des outils pour l’internaute, mais pas seulement

Du côté des utilisateurs, des solutions existent. Des extensions comme Consent-O-Matic remplissent les bandeaux à la place de l’internaute, les navigateurs permettent de bloquer les cookies tiers par défaut, et un nettoyage régulier des cookies remet les compteurs à zéro. Ces réflexes sont utiles. Ils ne peuvent pourtant pas constituer la seule réponse, car demander à chacun d’installer un outil pour faire respecter une règle simple revient à déplacer la charge vers celui qui a le moins de prise sur le dispositif.

Aux entreprises de regarder ce qui se passe sous le bandeau

Pour les organisations, la question se pose à l’envers. Leur bandeau reflète-t-il ce qui se passe réellement sur le site ? Un gestionnaire de consentement affiché en façade ne suffit pas si des scripts tiers, des pixels publicitaires ou des balises d’analyse se déclenchent avant tout choix. La conformité passe par une cartographie réelle des traceurs, reliée à la politique de confidentialité et au registre des traitements, chaque catégorie de cookie devant correspondre à une finalité claire. Lorsque ces données alimentent du profilage lourd ou des algorithmes complexes, une analyse d’impact devient nécessaire. Reste à pouvoir prouver le choix exprimé par l’internaute, ce qui suppose d’en conserver la trace.

Un taux de consentement n’est pas un indicateur de confiance

Derrière un bandeau ambigu, il y a souvent la crainte de voir le taux de consentement baisser. Cette inquiétude est compréhensible, mais un taux obtenu par lassitude dit peu de chose de la confiance des internautes. Un refus qui se fait en un clic, et qui est effectivement respecté, en dit davantage sur la relation qu’un site entretient avec son public.

Accepter ou refuser des cookies ne devrait pas être une épreuve quotidienne. Le jour où refuser prendra un clic sur tous les sites, la lassitude laissera la place à un véritable choix. Les organisations qui s’y préparent dès maintenant, en regardant en face ce que leur site collecte réellement, seront les mieux placées pour en faire un atout de confiance.