Un site de dictionnaire avec 1 741 partenaires de partage de données

Le groupe autrichien de défense de la vie privée noyb a déposé une plainte RGPD contre dict.cc, le célèbre dictionnaire en ligne, concernant la manière dont il recueille le consentement pour le suivi en ligne. Le problème n’est pas que le site demande la permission. C’est ce qui se passe lorsqu’un utilisateur essaie de comprendre réellement ce à quoi il consent.

Selon les calculs de noyb, la bannière de consentement de dict.cc énumère 1 741 « partenaires » distincts susceptibles de recevoir ou de traiter les données des visiteurs. Pour prendre une décision éclairée, un utilisateur devrait théoriquement lire la politique de confidentialité de chacun de ces partenaires avant de cliquer sur « accepter ». noyb estime que cette tâche prendrait à elle seule environ 172 heures, soit plus d’une semaine entière de lecture ininterrompue, rien que pour évaluer une simple visite sur un site de dictionnaire.

L’écart entre ce qu’exige la loi et ce que l’interface permet réellement est au cœur de la plainte, et cela soulève une question qui dépasse largement ce seul site : un consentement dont l’évaluation correcte prendrait des jours peut-il jamais être considéré comme éclairé ?

Pourquoi cela ressemble à un « dark pattern », pas à un défaut de conception

Le principe fondateur du RGPD, énoncé à l’article 5, paragraphe 1, point a), exige que les données à caractère personnel soient traitées de manière licite, loyale et transparente. Le consentement au sens de la loi n’est valable que s’il est donné librement, de manière spécifique et éclairée. La plainte de noyb fait valoir qu’une bannière énumérant plus d’un millier de partenaires rend structurellement impossible un consentement éclairé. Les utilisateurs se retrouvent avec deux véritables options : cliquer sur « accepter » sans comprendre ce à quoi ils consentent, ou quitter purement et simplement le site.

Il s’agit d’une configuration familière dans l’écosystème du suivi en ligne. Les bannières de consentement accompagnées de listes interminables de partenaires ne relèvent pas d’une complexité accidentelle. Elles fonctionnent comme une friction, conçue pour rendre le refus ou l’examen attentif si chronophage que l’acceptation devient la voie de la moindre résistance. Le mécanisme fait écho à ce que les chercheurs ont découvert dans d’autres enquêtes sur le traçage, y compris les reportages montrant comment TikTok suit les utilisateurs même sans application installée grâce à des pixels que la plupart des gens ne voient jamais et auxquels ils ne consentent pas de manière significative. Dans les deux cas, l’architecture technique de la collecte de données dépasse la capacité réelle d’un utilisateur à l’examiner.

L’ampleur de la liste de partenaires de dict.cc reflète également un schéma plus large dans la manière dont les données personnelles circulent au sein des écosystèmes commerciaux une fois la collecte enclenchée. Dès lors que des dizaines ou des centaines de tiers sont contractuellement intégrés à une chaîne de technologie publicitaire ou d’analyse, l’exploitant initial du site perd souvent toute visibilité pratique sur l’utilisation qui est faite de ces données en aval, même s’il demeure juridiquement responsable de la collecte initiale du consentement.

Ce que le régulateur autrichien doit maintenant trancher

La plainte place l’autorité autrichienne de protection des données dans une position délicate. Jusqu’à présent, les régulateurs ont généralement admis que les bannières de consentement puissent énumérer des tiers, car le RGPD n’interdit pas en soi les écosystèmes publicitaires complexes. Mais la plainte de noyb soulève une question plus précise : à partir de quel moment une liste de partenaires devient-elle si longue que le consentement ainsi recueilli n’est plus juridiquement valable, quelle que soit la formulation ou la conception de la bannière ?

Si le régulateur donne raison à noyb, la décision pourrait se répercuter sur l’ensemble du secteur de la technologie publicitaire, où les longues listes de partenaires associées à des mécanismes tels que le Transparency and Consent Framework de l’IAB sont monnaie courante, et non une bizarrerie propre à dict.cc. De nombreux éditeurs s’appuient sur des listes de partenaires tout aussi longues pour monétiser leur trafic par le biais de la publicité programmatique. Une conclusion défavorable à dict.cc pourrait pousser les sites de toute l’Europe à réduire le nombre de partenaires, à simplifier les flux de consentement, ou à s’exposer à des plaintes similaires.

Ce n’est pas la première fois que les régulateurs doivent se confronter à des pratiques de données qui respectent techniquement les obligations de transparence tout en vidant celles-ci de leur substance. Les affaires concernant les données des employés et des étudiants, comme l’examen minutieux autour des pratiques de suivi des étudiants par PowerSchool, révèlent une tension analogue : le consentement ou l’information existe sur le papier, mais la capacité concrète de la personne concernée à comprendre ou à contester la collecte des données est minime.

Ce que cela signifie pour vous

Si vous avez déjà cliqué sur « Tout accepter » sur une bannière de cookies sans lire un mot, vous n’êtes pas seul, et selon cette plainte, vous n’êtes pas non plus entièrement responsable. La conception de nombreuses bannières de consentement repose, et compte sans doute, sur ce comportement précis.

Quelques mesures pratiques peuvent vous aider :

  • Cherchez une option « Tout refuser » ou « Gérer les préférences » avant de cliquer sur une bannière. Beaucoup de sites la dissimulent, mais le RGPD exige qu’elle existe.
  • Utilisez les outils de confidentialité du navigateur ou des extensions qui bloquent par défaut les traceurs tiers, réduisant ainsi la quantité de données qui parvient jusqu’à ces réseaux partenaires.
  • Soyez attentif au nombre de « partenaires » qu’une bannière de consentement énumère. Un chiffre en milliers, comme chez dict.cc, indique que le dispositif de partage de données du site s’apparente davantage à une place de marché publicitaire qu’à un simple outil d’analyse.
  • Soutenez ou suivez les actions répressives telles que les plaintes de noyb. La pression réglementaire est souvent le seul levier qui modifie la manière dont ces bannières sont conçues.

L’essentiel

Cette plainte RGPD contre dict.cc ne concerne pas vraiment un site de dictionnaire. C’est un cas test pour déterminer si le « consentement » peut survivre au contact de l’échelle de la technologie publicitaire moderne. Lorsqu’accepter une bannière de cookies exigerait plus d’une semaine de lecture pour être effectué correctement, la bannière a sans doute déjà failli à sa seule mission : s’assurer que les utilisateurs savent ce à quoi ils consentent. La manière dont le régulateur autrichien se prononcera pourrait déterminer si de tels flux de consentement pléthoriques restent une pratique standard ou commencent à disparaître du web.