- Les bannières de consentement aux cookies répétées sur chaque site web fatiguent les utilisateurs et sont considérées comme un système défaillant qui ne protège pas réellement la vie privée
- Dans la structure actuelle, chaque site web doit implémenter individuellement la procédure de consentement, ce qui fait peser une charge excessive sur les petits exploitants de sites
- L’auteur propose comme solution de gérer globalement le consentement aux cookies au niveau des paramètres du navigateur
- Avec un réglage unique, les utilisateurs peuvent contrôler de façon centralisée l’étendue de l’usage de leurs données, et le navigateur applique ensuite ce choix à tous les sites
- Cette approche est présentée comme une solution plus rationnelle sur trois plans : amélioration de l’expérience utilisateur, hausse de l’efficacité réglementaire et allègement de la charge pour les développeurs
La réalité d’un échec des bannières de cookies
- Les lois sur la protection des données personnelles comme le GDPR et le CCPA ont été créées avec de bonnes intentions, mais leur mise en œuvre est inefficace
- D’innombrables sites web doivent chacun afficher des pop-ups du type “Accept All” ou “Manage Preferences”
- La plupart des utilisateurs, par fatigue, cliquent sur « tout accepter » sans vraiment réfléchir
- Cette méthode vide de son sens le véritable pouvoir de choix des utilisateurs et rend l’expérience d’Internet plus inconfortable
- L’auteur souligne que le cœur du problème n’est pas « quoi protéger » mais « où gérer cela »
Les problèmes de la structure actuelle
- 1) Fatigue du consentement (Consent Fatigue) : à force de demandes répétées, les utilisateurs deviennent insensibles, et un consentement réellement « volontaire » n’a plus lieu
- 2) Désavantage pour les petits exploitants : les grandes entreprises peuvent s’appuyer sur des équipes juridiques et des CMP (Consent Management Platform), mais les blogueurs indépendants et les PME doivent assumer une charge juridique et technique
- 3) Absence de véritable contrôle : même lorsqu’il existe des options autres que “Accept All”, les termes juridiques complexes et les menus interminables limitent en pratique le choix des utilisateurs
Nouvelle proposition : une gestion du consentement centrée sur le navigateur
- Lors de la configuration initiale du navigateur, l’utilisateur choisit une seule fois ses préférences d’utilisation des données
- Essential Only: n’autoriser que les cookies essentiels
- Performance & Analytics: autoriser l’analyse des performances fondée sur des données anonymes
- Personalized Experience: autoriser les contenus et publicités personnalisés
- Custom: ajuster directement chaque catégorie en détail
- Le navigateur autorise ou bloque automatiquement les cookies selon le choix de l’utilisateur pour chaque site
- Les cookies dont la finalité n’est pas claire seraient bloqués automatiquement par le navigateur
- L’objectif de la régulation se déplacerait de millions de sites web → quelques grands éditeurs de navigateurs, rendant la supervision réellement praticable
Les changements attendus
- Pour les utilisateurs : une expérience d’Internet plus propre et plus rapide grâce à un réglage unique, ainsi qu’un véritable contrôle sur leurs données
- Pour les exploitants de sites web : la suppression de la charge liée aux bannières de cookies et à la gestion des CMP, avec à la clé de meilleures performances web et une efficacité de développement accrue
- Pour les autorités de régulation : une structure simplifiée où il suffit de surveiller les éditeurs de navigateurs plutôt qu’une multitude de sites, ce qui améliore l’efficacité de l’application de la loi
D’un système complexe à une norme simple
- Aujourd’hui, Internet est enfermé dans un écosystème complexe où chaque site ajoute sa propre CMP
- Une multitude d’outils, de réseaux publicitaires et de services d’analyse interagissent, entraînant efforts redondants et confusion
- Une approche fondée sur le navigateur unifie tout cela en un standard unique
- Choix de l’utilisateur → navigateur → application identique à tous les sites
- L’auteur insiste sur le fait que cette idée ne consiste pas à créer un nouveau système, mais plutôt à démonter une structure actuelle devenue inutilement complexe
2 commentaires
Ce serait vraiment pratique si tout était simplement traité directement par le navigateur.
Commentaires Hacker News
Je veux dire que le cœur du problème n’est pas la loi elle-même, mais le fait que les sites, qui refusent d’abandonner le pistage, coopèrent de manière délibérément pénible avec la loi
L’idée n’est pas de passer 5 minutes à chercher le menu « consentir légalement », mais bien d’avoir une option « tout refuser » comme intention d’origine
Ces derniers temps, les tribunaux appliquent cela plus activement, si bien que les boutons « tout refuser » disparaissent de moins en moins rarement
Au final, le meilleur résultat serait un Web où les sites respectent l’en-tête Do-Not-Track, sans pistage ni bannières du tout
Lien connexe
Le problème vient, à 100 %, d’une loi mal rédigée, qui permet ce type de conformité de mauvaise foi
Si l’on veut de bons résultats, il faut rédiger la loi de façon à ce qu’elle ne puisse pas être détournée
Les sites chercheront toujours, de façon prévisible, à maximiser leurs profits ; il faut donc écrire de meilleures lois
Je pense que la loi, les directives et l’intention sont toutes claires
Le principal obstacle restant est en réalité la structure dans laquelle une poignée de « géants » contrôlent les navigateurs
Ni Apple ni Google ne semblent vouloir faire passer le pistage à un modèle opt-in
La situation ne s’améliorera que si l’on réduit l’influence des grands acteurs de l’écosystème des navigateurs et si des politiques comme le DMA sont renforcées pour freiner les réactions monopolistiques
Je pense aussi que la culture américaine du contentieux et les différences culturelles avec l’Europe jouent un rôle
Si le simple chargement d’une police Google n’exposait pas déjà vos données à des centaines de « partenaires », la plupart des pop-ups de consentement seraient inutiles
Contre-argument : devoir répondre sans cesse à une question sur les cookies pour chaque site est déjà une corvée
La conformité juridique elle-même dégrade l’expérience utilisateur et rend l’usage d’Internet plus fatigant
Au fond, ceux qui font les lois semblent plus proches des intérêts des entreprises que de l’expérience réelle des utilisateurs ou de la vie privée
Un système où le pistage est activé par défaut est en soi inacceptable
Il faut imposer légalement le respect des requêtes Do-Not-Track et infliger des amendes proportionnelles à une part du chiffre d’affaires mondial
À mon avis, la responsabilité incombe davantage aux régies publicitaires qu’aux exploitants de sites individuels
Pour diffuser de la publicité, les régies obligent à utiliser leurs gestionnaires de consentement au pistage publicitaire
J’ai essayé de créer moi-même un formulaire de consentement, mais le TCF est beaucoup trop compliqué, et les solutions autres que les bannières fournies par les régies sont à peine prises en charge
Au final, quand les revenus publicitaires paient l’hébergement, il est difficile pour un site hobby d’assumer un système aussi complexe
Ce serait bien d’avoir une option simple qui respecte davantage la vie privée des utilisateurs, et l’idéal serait un contrôle simple centré sur le navigateur
Je pense que ce type de collecte de données devrait être tout simplement interdit
Je doute qu’il existe beaucoup de gens prêts à cliquer sur « Acceptez-vous que vos données soient partagées avec 500 sites partenaires ? »
Il faudrait interdire aux entreprises de présenter la transmission de données à des spammeurs comme un simple « partage avec des partenaires »
Le mot « partenaire » suggère la confiance et une relation d’égal à égal, alors qu’en réalité ce n’est pas du tout le cas
S’il s’agit de vente de données, la loi devrait obliger à le dire clairement, avec aussi une information précise sur le risque de fuite vers le spam
Il faudrait poser la question ainsi : « Acceptez-vous que vos données puissent être vendues à n’importe quelle entreprise ? Acceptez-vous le risque qu’elles soient utilisées plus tard pour du spam ou des activités criminelles ? Oui/Non »
J’ai entendu dire que la publicité ciblée rapporte 3 fois plus que la publicité ordinaire
Personnellement, même si mes données étaient suivies, si cela réduisait le volume de pubs à un tiers, cela m’irait plutôt bien
Si je ne vois que des publicités intéressantes, comme pour des claviers ou des vêtements pour homme, et que j’évite les pubs inutiles, ça me convient
La logique autour de la publicité et de la surveillance est toujours la même
Personne ne veut recevoir de publicité, mais un lobbying puissant s’oppose à sa suppression en invoquant un choc économique et une baisse du PIB
Pour la surveillance, c’est pareil : l’argument du « renforcement de la sécurité » fonctionne bien politiquement
Je pense qu’on peut afficher des publicités suffisamment pertinentes à partir du seul contexte, comme le site ou le sujet
Par exemple, sur un site de hackerspace on pourrait montrer des pubs pour Raspberry Pi, et sur un site de rock des pubs pour des vinyles ou des tablatures de guitare
Beaucoup d’utilisateurs acceptent pour une raison très simple : ils veulent accéder à des contenus financés par la pub-surveillance
Le problème est le même avec la vérification de l’âge
L’en-tête DNT a bien été proposé à une époque, mais il était trop simpliste et n’a jamais été réellement adopté Document connexe
L’industrie maintient ce type de structure complexe pour maximiser les taux de consentement des utilisateurs
Une approche centrée sur le navigateur serait la plus technique et la plus conviviale, mais l’industrie publicitaire et celle de la collecte de données ont toutes les raisons de saboter par principe un contrôle basé sur le navigateur
Tant qu’elles dominent l’essentiel du Web, il sera difficile de concrétiser une solution de ce type
La fonction DNT existait bien dans les navigateurs, mais les sites l’ignoraient
D’après l’aide de Chrome, il est possible d’envoyer une requête DNT, mais la plupart des sites continuent malgré tout à collecter des données au nom de « l’amélioration de la sécurité », de la « fourniture de contenu, de services et de publicité » ou du « reporting statistique »
Presque tous les services Web, Google compris, ne réagissent pas aux requêtes DNT, et en pratique la seule chose vraiment utilisable côté navigateur est la suppression de tous les cookies à la fermeture
Document connexe
La vérification de l’âge et le consentement en matière de vie privée fonctionnent le mieux lorsqu’ils sont gérés côté navigateur
Comme l’a montré le cas de P3P, un contrôle au niveau du navigateur ou de l’OS pourrait porter un coup fatal au système de pistage de l’industrie ; je pense donc que les grands acteurs ignorent ou entravent volontairement ce genre de solution par peur qu’elle prenne de l’ampleur
Résultat : les exploitants de sites individuels se retrouvent une fois de plus à devoir gérer une réglementation excessivement complexe
Petite remarque amusante : si l’en-tête DNT était correctement traité, il n’y aurait même pas besoin d’écrans de consentement
Il suffirait de ne pas utiliser les fonctionnalités qui exigent un consentement
À mon avis, les navigateurs devraient désormais devenir un bien public
Puisqu’il n’y a plus vraiment d’avantage à leur propriété privée, il faudrait les considérer comme tels
À l’argument selon lequel « le navigateur devrait jouer le rôle d’agent d’application de la vie privée, et l’utilisateur ne devrait choisir qu’une seule fois dans son navigateur, après quoi tous les sites devraient automatiquement respecter ce choix »,
on rappelle qu’un navigateur reste un logiciel installé par l’utilisateur, et on peut se demander si une intervention de l’État est vraiment appropriée
Selon cette logique, il faudrait une réglementation supplémentaire obligeant les sites à déclarer en métadonnées chaque finalité des cookies, ce qui reviendrait encore à imposer des règles supplémentaires aux administrateurs de sites
Il est aussi mentionné que des fonctions de navigateur comme le mode privé ou les multi-account containers existent déjà
Lien connexe
Je demande sur quoi repose l’idée que l’intervention de l’État serait inacceptable
Y a-t-il réellement une différence de fond entre réglementer le code des sites Web et réglementer le code des navigateurs ?
Le fournisseur du navigateur le plus utilisé est en même temps une entreprise publicitaire, il y a donc ici un conflit d’intérêts évident
Je ne pense pas que le navigateur doive résoudre ce problème
Les bannières cookies sont surtout connues comme un problème de consentement aux cookies de pistage, mais en réalité le consentement est requis dès qu’il existe une intervention de tiers (publicité, etc.) qui n’est pas techniquement indispensable
Un navigateur ne peut pas distinguer quels tiers sont réellement nécessaires sur le plan technique ; c’est une information que seul le site peut fournir
Le problème est encore plus compliqué parce que la responsabilité du fournisseur du site et celle du tiers s’entremêlent
Si l’on oblige simplement les sites à respecter légalement l’en-tête DNT, le problème est réglé immédiatement, selon moi
Problème simple, solution simple
Un navigateur n’a aucun moyen de savoir dans quelle intention chaque élément du site a été intégré (nécessité technique ou pistage)
C’est une information que seul l’exploitant du site peut connaître
La loi sur les cookies ne vise pas seulement les cookies, mais aussi tout l’ensemble des moyens de pistage identifiant les personnes, comme les pixel gif ou l’empreinte JS
Si la loi imposait d’étiqueter les cookies avec des tags comme « third-party » et « strictly necessary », les erreurs pourraient être sanctionnées comme aujourd’hui pour violation du GDPR
Le navigateur pourrait lire ces tags et permettre à l’utilisateur d’autoriser ou refuser le pistage site par site selon ses préférences
On pourrait aussi afficher un indicateur d’état dans la barre d’URL, comme le cadenas HTTP/HTTPS, pour personnaliser le consentement par site
Même les petits exploitants de sites doivent bien comprendre le fonctionnement des cookies utilisés par leurs réseaux publicitaires ou leurs outils d’analyse et les étiqueter correctement
Quand les pop-ups de consentement aux cookies sont trop pénibles, ma stratégie consiste simplement à fermer l’onglet et passer à autre chose
J’ai remarqué qu’il y a presque une corrélation entre notifications de consentement et contenu de mauvaise qualité, donc cela me fait même gagner du temps
Même les sites de médecins affichent des bannières cookies aujourd’hui
La question est : allez-vous aussi renoncer à ceux-là ?
Je pense que le Global Privacy Control (GPC) est déjà en train de résoudre ce problème, et il est déjà implémenté dans Firefox comme remplaçant de Do Not Track
Il ne reste plus qu’à obliger juridiquement les sites à le respecter
Lien GPC
Documentation officielle Firefox
DNT avait déjà une valeur juridique dans l’UE, et je ne vois pas vraiment de différence fondamentale avec le GPC, à part le nom
Certaines lois d’États américains sont rédigées de manière à ne pas reconnaître comme « signal valide » un signal envoyé par défaut par le navigateur ; si l’obligation légale se renforce, le GPC pourrait être neutralisé de la même manière
Cela montre surtout que les lois sont écrites à l’avantage des trackers
Je suis d’accord sur le fait que Firefox met en place le GPC sur le plan technique avant même une obligation légale
Je pense que si les entreprises renonçaient simplement au pistage, il n’y aurait même pas besoin de ces fenêtres de consentement
L’UE devrait montrer la voie en premier
Même le site officiel de la Commission européenne a une bannière cookies ; l’UE doit donc soit supprimer les trackers de ses sites, soit reconnaître que la loi elle-même est trop difficile à appliquer en pratique
Il y a encore beaucoup à faire
Voir le site de la Commission européenne
Mais les entreprises agissent toujours selon leur intérêt
Contrairement à ce qu’espèrent les utilisateurs, elles font passer le profit avant tout, y compris en matière de pistage
En pratique, les entreprises ne s’arrêteront jamais d’elles-mêmes ; si les « cookies » sont interdits, elles se tourneront vers d’autres méthodes de suivi comme l’empreinte du navigateur
Je pense qu’une réponse plus fondamentale serait de rendre tout ce pistage tout simplement illégal
Après tout, presque aucun utilisateur ne l’accepterait volontairement
Le problème de la législation, c’est que la définition même du « pistage » est floue ; du point de vue de l’exploitant du site, cela conduit souvent à ajouter un écran de consentement juste pour éviter tout risque de violation
La Californie a adopté une loi imposant à partir de 2027 des paramètres opt-out dans les navigateurs, et la Californie, le Connecticut et le Colorado exigent déjà que les demandes d’opt-out envoyées via le navigateur ou des extensions soient respectées
Le New Jersey aussi
Loi californienne
Annonce officielle Connecticut & Colorado
FAQ vie privée du New Jersey
Je me demande si ces lois produisent réellement l’effet qu’elles étaient censées avoir
Si ce n’est pas le cas, pourquoi restent-elles en vigueur, et pourquoi toutes les lois ne sont-elles pas automatiquement abrogées si elles ne doivent pas continuellement prouver leur légitimité ?
Je me suis posé une question similaire ; personnellement, j’ai surtout l’impression que ces lois ont rendu ma vie et Internet un peu plus pénibles, sans grand effet positif concret
Que signifie exactement « atteindre l’objectif » ?
« Si je refuse les cookies, est-ce que le site arrête vraiment de me pister ? » → certains oui, d’autres non
Cela dit, l’objectif en lui-même reste valable
Si l’on demande si le GDPR est efficace, je dirais que oui
Les seuls à l’ignorer complètement sont des entreprises peu dignes de confiance, et même celles qui le respectent de mauvaise foi voient progressivement leur réputation se dégrader et changent
Je pense que l’époque où les données des utilisateurs n’étaient pas protégées est révolue