Un think tank affirme que la bannière de cookies ne fonctionne pas

Si vous avez déjà cliqué sur « Tout accepter » sur une bannière de cookies juste pour la faire disparaître, un nouveau document de travail de Bruegel, un think tank économique basé à Bruxelles, suggère que vous n'êtes pas seul, et que le système n'a sans doute jamais été conçu pour vous offrir un véritable choix en premier lieu.

Le document affirme que le consentement aux données du RGPD, le mécanisme juridique censé donner aux citoyens européens le contrôle sur la manière dont leurs données personnelles sont collectées et utilisées, est en pratique une « fiction juridique et technique ». Bien que le Règlement général sur la protection des données exige que le consentement soit libre, spécifique, éclairé et univoque, les chercheurs ont constaté que les bannières de cookies échouent systématiquement à atteindre ce niveau. Au lieu d'expliquer clairement quelles données sont collectées, qui les reçoit et pourquoi, la plupart des bannières sont conçues pour pousser les utilisateurs vers une acceptation rapide plutôt qu'une compréhension réelle.

Ce n'est pas une plainte marginale. C'est un défi direct à l'une des hypothèses fondamentales qui sous-tend la législation européenne sur la protection des données : que les citoyens ordinaires peuvent consentir de manière significative à des accords complexes de traitement des données simplement en cliquant sur un bouton dans une fenêtre contextuelle.

Pourquoi le « consentement » signifie rarement ce que vous croyez

L'exigence de consentement du RGPD semble simple sur le papier. Avant qu'un site web puisse vous suivre, partager vos données avec des annonceurs ou établir un profil de vos habitudes de navigation, il est censé demander la permission d'une manière que vous pouvez réellement comprendre. En réalité, les bannières de cookies sont devenues une sorte de théâtre. Les utilisateurs se voient présenter un langage juridique dense, des cases pré-cochées et des interfaces conçues pour faire de « Tout accepter » le chemin le plus facile tout en enfouissant l'option de refuser ou de personnaliser les paramètres à plusieurs clics de profondeur.

Ce schéma n'est pas isolé aux recoins obscurs d'Internet. Même des sites grand public bien connus ont fait l'objet d'un examen minutieux sur la manière dont ils structurent le consentement. Un exemple récent impliquait un dictionnaire en ligne populaire, la bannière de consentement tentaculaire de dict.cc, qui listait plus de 1 700 partenaires publicitaires et de suivi derrière une seule demande de consentement. La plainte déposée concernant cette bannière illustre exactement le problème décrit dans le document de Bruegel : il est techniquement possible de se conformer à la lettre du RGPD tout en rendant un consentement éclairé authentique pratiquement impossible. Lorsqu'un utilisateur est invité à évaluer les pratiques en matière de données de plus d'un millier de partenaires en quelques secondes, le consentement « éclairé » cesse de signifier quoi que ce soit.

L'ampleur de cet exemple est inhabituelle, mais les mécanismes sous-jacents — divulgations vagues, refus lourds en friction et paramètres par défaut favorisant la collecte de données — sont courants sur une grande partie du web. L'argument central du document de Bruegel est que ce schéma n'est pas accidentel. C'est un résultat prévisible d'un cadre juridique qui suppose que les utilisateurs ont le temps, l'expertise et la capacité d'attention nécessaires pour analyser des demandes de consentement qui sont, par conception, difficiles à analyser.

Ce que cela signifie pour vous

Pour les internautes européens de tous les jours, cette recherche ne signifie pas que les protections du RGPD sont sans valeur. Le règlement a tout de même forcé les entreprises à divulguer davantage sur leurs pratiques en matière de données qu'elles ne l'auraient fait autrement, et il donne aux régulateurs des outils pour enquêter sur les abus après coup. Mais cela signifie que vous ne devriez pas traiter une bannière de cookies comme un point de contrôle significatif où votre vie privée est réellement protégée en temps réel. Cliquer sur « Accepter » ou « Refuser » est rarement le moment où vos données deviennent sûres ou non. Une grande partie de l'infrastructure de suivi fonctionne indépendamment de la case que vous cochez, et l'application de la loi ne rattrape souvent les choses que des mois ou des années plus tard.

Cet écart entre le consentement juridique et la protection réelle est exactement la raison pour laquelle les outils de confidentialité qui fonctionnent indépendamment des accords au niveau du site sont importants. Un VPN n'arrêtera pas les scripts de suivi d'un site, mais il limite ce que votre fournisseur d'accès Internet et les observateurs au niveau du réseau peuvent voir, et il peut réduire la quantité d'informations d'identification liées à vos sessions de navigation. Les extensions de navigateur qui bloquent les traqueurs, ainsi que les paramètres de navigateur axés sur la confidentialité, ajoutent une autre couche qui ne dépend pas de la question de savoir si la bannière de cookies d'une entreprise a été conçue honnêtement ou non.

Des mesures pratiques à prendre

Étant donné que les bannières de consentement ne peuvent pas être entièrement fiables pour refléter vos véritables préférences en matière de confidentialité, quelques habitudes méritent d'être adoptées. Refusez les cookies non essentiels chaque fois qu'une véritable option est présentée, même si cela nécessite un clic supplémentaire. Utilisez des paramètres de navigateur ou des extensions qui bloquent les traqueurs tiers par défaut plutôt que de compter sur des choix site par site. Envisagez un VPN pour une couche supplémentaire de confidentialité réseau, en particulier sur le Wi-Fi public ou lors de l'accès à des comptes sensibles. Et lorsqu'une bannière de consentement semble délibérément confuse ou liste un nombre invraisemblable de « partenaires », comme dans le cas de dict.cc, c'est un signal à prendre au sérieux plutôt qu'à écarter comme du texte standard.

Le document de Bruegel ajoute un poids académique à ce que de nombreux utilisateurs soupçonnent depuis longtemps : que le consentement aux données du RGPD, tel qu'il est mis en œuvre sur la majeure partie du web, ne fonctionne pas comme la loi le prévoyait. Jusqu'à ce que l'application de la loi ou les normes de conception rattrapent leur retard, l'approche la plus sûre est de traiter les bannières de cookies comme une formalité plutôt qu'une protection, et de construire vos propres protections de confidentialité par-dessus.