Accepter ou refuser les cookies ? On vous explique les nouvelles règles sur les traceurs publicitaires sur internet

"Pour franceinfo, le respect de votre vie privée est une priorité". En vous connectant depuis le 1er avril à franceinfo.fr, vous avez peut-être remarqué l'apparition d'une fenêtre inhabituelle. Affichée dès l'arrivée sur notre site internet, elle prévient que "France Télévisions, Radio France et ses partenaires utilisent des traceurs pour stocker et accéder à vos données personnelles" à des fins de mesures d'audience et de personnalisation, notamment publicitaires lorsque vous regardez une vidéo sur notre plateforme. Trois choix vous sont proposés : accepter sans distinction tous ces traceurs (généralement appelés "cookies"), vous rendre dans un menu permettant d'en autoriser certains mais pas d'autres, ou encore de tous les refuser.

Comme franceinfo, l'ensemble des sites internet basés en France ont dû mettre en place une bannière de ce type depuis le début du mois. Que signifient vraiment ces bandeaux ? Pourquoi les règles pour accepter ou refuser ces cookies ont-elles évolué ? Certains sites ont-ils le droit d'obliger les internautes à payer s'ils ne souhaitent pas accepter ces traceurs publicitaires ? Franceinfo vous explique tout.

Qu'est-ce qu'un cookie ?

Oubliez toute référence aux biscuits : les cookies sont de petits fichiers texte envoyés par différents serveurs sur votre appareil (par exemple votre téléphone ou votre ordinateur) lorsque vous naviguez sur internet. Apparus au milieu des années 1990, ces traceurs ont pour rôle de garder en mémoire votre comportement en ligne. C'est par exemple grâce aux cookies qu'un site marchand peut se souvenir du contenu de votre panier entre deux visites. 

Mais les cookies sont aussi utilisés à des fins publicitaires. Des sites internet peuvent ainsi avoir passé un accord avec une régie publicitaire qui installera un cookie sur votre ordinateur, et qui affichera ensuite des réclames pour un même produit tout au long de votre navigation sur des sites différents en fonction de votre comportement en ligne. 

"C'est la traduction moderne de la vente de fichiers. C'est comme si vous receviez de la publicité d'un concessionnaire automobile dans votre boîte aux lettres après vous être abonné à un magazine automobile."

Nathalie Metallinos, avocate experte en données personnelles

à franceinfo

Ces traceurs publicitaires, appelés "tiers" car ils ne sont pas créés par l'éditeur du site mais par un partenaire extérieur, se sont imposés au fil des années comme un outil marketing particulièrement efficace. "Grâce aux cookies publicitaires, on peut savoir combien de fois un internaute a vu une pub, pour par exemple en afficher une différente au bout d'un certain temps s'il ne clique pas dessus. Un annonceur peut aussi étudier combien un acheteur a dépensé après avoir cliqué sur une bannière, ce qui lui permet de calculer facilement son retour sur investissement", détaille pour franceinfo Nicolas Rieul, président de l'IAB France, organisation qui regroupe les acteurs de la publicité sur Internet. Une campagne de publicité ciblée se monnaie ainsi en moyenne 50% plus cher qu'une campagne traditionnelle, ajoute ce spécialiste.

Pourquoi les bandeaux prévenant de la présence de cookies sur les sites français ont-ils évolué début avril ?

Parce que la Commission nationale de l'informatique et des libertés (Cnil), autorité administrative chargée de la protection des données personnelles des Français, a prévenu qu'elle sévirait à partir du 1er avril avec les acteurs du web qui ne respectaient pas la réglementation concernant ces fameux cookies. 

Cette réglementation remonte à 2002, mais a subi en 2009 sa première modification fondatrice, énonce Nathalie Metallinos : "l'introduction du principe de l'accord préalable de l'utilisateur pour placer sur son terminal des cookies qui ne sont pas strictement nécessaires au bon fonctionnement d'un site". En pratique, cela signifie que le site d'une enseigne de grande distribution n'a pas à vous demander votre avis pour installer sur votre ordinateur le traceur qui lui permet de gérer votre panier, mais qu'il est obligé d'obtenir votre accord avant d'afficher de la publicité ciblée, par exemple en fonction de vos achats précédents.

"Au départ, la Cnil avait adopté une approche pragmatique de cette directive et estimait que l'accord de l'utilisateur pouvait être implicite, développe l'avocate. Un bandeau vous informait de la présence de cookies publicitaires, et si vous ne vous rendiez pas dans un menu spécial pour les désactiver, on considérait que vous donniez votre accord à la présence de ces cookies".

Nouveau bouleversement en mai 2018 avec l'entrée en vigueur du règlement général sur la protection des données personnelles (RGPD), qui a fait voler en éclats cette notion de consentement implicite : désormais, l'internaute doit être informé de la finalité de l'installation de chaque traceur sur son appareil, et devra effectuer une action volontaire (le plus souvent un clic sur un bouton "tout accepter") pour manifester son accord.

La Cnil a toutefois attendu le mois d'octobre 2020 pour publier sa "recommandation" sur la publicité ciblée, dans laquelle elle réclame que le recueil du consentement des utilisateurs "ne comprenne pas seulement un bouton 'tout accepter' mais aussi un bouton 'tout refuser'", ou encore une possibilité de "continuer sans accepter" la présence de cookies. Après un temps d'adaptation laissé aux professionnels, la Cnil a annoncé que des contrôles de la bonne application de ces règles débuteraient en avril. Depuis la mise en œuvre du RGPD, la Commission a un argument de poids pour les faire respecter : la possibilité, pour les infractions les plus graves, de dresser des contraventions jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial de l'entreprise prise en faute.

Comment les éditeurs de sites internet ont-ils accueilli ces changements ?

La possibilité de voir les internautes refuser les traceurs tiers en un clic a provoqué des sueurs froides chez de nombreux acteurs du secteur, dont le modèle économique dépend de l'argent généré par la publicité en ligne. "On a eu peur, mais les premiers retours de l'application de la mesure nous ont rassurés : en fonction des cas, le taux d'acceptation des cookies varie entre 60 et 90%", se félicite le président de l'IAB France, qui déplore toutefois que les Cnil des autres pays européens n'aient pas harmonisé leurs directives sur le sujet.

Pour continuer à financer leurs activités grâce à la publicité, les professionnels du secteur planchent également sur des techniques qui seront proposées aux internautes qui refusent les traceurs publicitaires. "Nous continuerons à leur proposer de la publicité, mais qui sera contextuelle et non plus ciblée : des algorithmes analyseront les images ou le texte qu'ils consultent pour leur proposer quelque chose de pertinent", ajoute Nicolas Rieul.

Bertrand Gié, directeur du pôle news du Figaro et président du Geste (Groupement des éditeurs de services en ligne), redoute pour sa part que cette réglementation favorise des géants comme Google, Facebook et Amazon, qui en 2020 captaient déjà 70% des parts de marché de la publicité en ligne, comme l'indiquaient Les Echos en décembre.

"Ces plateformes demandent dans la plupart des cas à leurs utilisateurs de créer des comptes pour être utilisées. Elles vont donc continuer à récolter des données précises grâce à leurs fonctionnalités, et afficher de la publicité ciblée."

Bertrand Gié, président du Geste

à franceinfo

Le président du Geste relève en outre que la plupart des sites de ces plateformes n'ont pas encore appliqué les recommandations de la Cnil, et obligent encore les internautes à se rendre dans un menu de second niveau pour désactiver les traceurs publicitaires. Elles invoquent pour cela "une subtilité introduite par le RGPD", écrit le Journal du net : "Un organisme établi dans plusieurs pays de l'Union Européenne peut bénéficier du mécanisme du guichet unique pour avoir comme seul interlocuteur l'autorité du pays où est situé son établissement principal". Or, les entités européennes de ces géants du numérique sont souvent domiciliées pour des raisons fiscales en Irlande, où l'homologue de la Cnil n'a pas encore réclamé les mêmes changements qu'en France.

Certains sites ont-ils le droit de faire payer les internautes s'ils n'acceptent pas ces traceurs publicitaires ?

Face à la nouvelle donne de la réglementation, certains éditeurs au modèle économique historiquement basé sur la gratuité et financés par la publicité ont proposé aux internautes un choix surprenant : accepter les cookies publicitaires et continuer à accéder aux contenus habituels, ou bien sortir leur carte bleue. Certains sites internet du groupe Webedia comme jeuxvideo.com ou AlloCiné proposent aux internautes "d'accéder au site pour 2 € TTC pendant un mois sans cookies publicitaires" ou d'"accéder au site gratuitement en acceptant les cookies publicitaires".

Le site de recettes de cuisine Marmiton propose bien un bouton permettant de refuser tous les cookies, mais celui-ci ne sert qu'à afficher un message prévenant le lecteur qu'en "l'absence de revenus publicitaires, l'accès aux contenus" lui est rendu payant : 0,49 euros par mois. Le Monde a également testé une solution analogue : accepter les traceurs publicitaires, ou souscrire à un abonnement payant qui permet d'y échapper.

Du chantage aux données personnelles, on aura tout vu... pic.twitter.com/kWZ37bPmey

— Alexandre Léchenet (@alphoenix) March 25, 2021

Cette pratique, baptisée "cookie wall", est-elle licite ? Non, avait dans un premier temps répondu la Cnil. Se fondant sur la doctrine émise par le regroupement des régulateurs européens en matière de données personnelles, la Commission estimait que ce type de dispositif ne pouvait garantir à l'internaute un consentement libre, comme l'exige le RGPD. Mais le Conseil d'Etat, saisi notamment par le Geste, en a jugé autrement. Dans une décision datée du 19 juin, la plus haute juridiction administrative française a considéré que la Cnil avait outrepassé ses compétences en énonçant "une telle interdiction générale et absolue" des "cookie walls", comme le notait à l'époque Libération.

"Dans l'attente d'une clarification pérenne sur cette question par le législateur européen", la Cnil indique sur son site internet qu'elle déterminera "au cas par cas si le consentement des personnes est libre et si un cookie wall est licite ou non".

Contactée par franceinfo, l'association La Quadrature du net dit n'être "pas très inquiète" à ce sujet et estime que ces mécanismes disparaîtront bientôt. "Le Conseil d'Etat a simplement rappelé à la Cnil qu'elle n'était pas là pour établir des règles générales mais pour appliquer la réglementation à des cas concrets", commente Arthur Messaud, juriste pour cette association de défense des droits et libertés sur Internet. "Certes, le RGPD n'interdit pas noir sur blanc les cookie walls, mais l'ensemble des Cnil européennes ont bien rappelé l'importance d'obtenir un consentement libre de la part des internautes. Nous pourrions attaquer ces sites, mais il est si évident que cette pratique est illégale que nous préférons laisser la Cnil le faire."