Ces bandeaux (qui peuvent prendre de nombreuses formes) servent à informer les utilisateurs et à recueillir leur consentement. La CNIL rappelle ici quelques règles, plus ou moins respectées, mais c’est une autre histoire : permettre à l’utilisateur de consentir par un acte positif clair, de faire un choix par finalité, d’exercer ses choix avec le même degré de simplicité (c’est-à-dire accepter ou refuser) et revenir sur sa décision à tout moment.

Vous cliquez sur « Tout accepter » sans trop réfléchir ?

Les bandeaux se sont tellement fondus dans le paysage qu’il n’est pas rare de cliquer sur « Tout accepter » ou « Tout refuser » si le bouton est facilement accessible et visible, puis continuer à naviguer comme si de rien n’était. Un peu comme lorsque l’on signe/accepte des conditions générales lors d’une inscription à un service, lors d’un achat, d’un paiement en plusieurs fois, etc. Cela ne devrait pas être le cas, mais c’est une réalité.

Mais savez-vous ce qui se cache derrière ces validations en apparence relativement anodines ? Si vous avez répondu des centaines de « partenaires » des sites pour des cookies et autres traceurs publicitaires, c’était la bonne réponse. Mais en quelle quantité et pour quelle durée ? Nous avons relevé quelques chiffres qui pourraient vous surprendre.

Record du jour : 1 529 « partenaires »

Nous n’allons pas dresser une liste de l’ensemble des sites, mais évoquer les grandes lignes avec quelques exemples.

Sur le nombre de « partenaires » déjà, c’est le yoyo complet avec 0 pour certains (dont Next.ink) et jusqu’à… 1 529 chez iGen, selon nos constatations. Cowcotland est à 1 190 partenaires, puis le ventre mou se trouve à quelques centaines.

Sur certains sites, le nombre de partenaires n’est pas précisé et on ne peut autoriser ou refuser les partenaires que par lot (et/ou finalité). Chez Cowcotland, par exemple, vous aviez pendant un temps la possibilité d’ajuster vos paramètres individuellement pour chacun des près de 1 200 partenaires, alors que le tri se fait désormais en fonction de grandes catégories.

Entre 100 et 300 cookies en général

Nous avons également relevé quelques chiffres glanés lors d’une session de surf de quelques minutes seulement. Nous ne les avons pas recomptés un par un, nous avons simplement repris l’information affichée dans le bandeau, quand elle est présente. Tous les sites ne font en effet pas le décompte, certains se contentent de parler de « leurs partenaires ». Nous avons également ajouté entre parenthèses le nombre de partenaires relevés il y a quatre mois (début octobre) :

• 91 (66) chez Bouygues Telecom
• 84 (83) chez BFM TV
• 93 (stable) chez Cdiscount
• 96 (stable) chez Amazon
• 140 (141) chez SFR
• 169 (167) chez Le Monde
• 174 (175) chez 01Net
• 179 (178) chez Les Échos
• 185 (186) chez Clubic
• 190 (191) chez Frandroid et Numerama
• 190 (192) chez Journal du Geek
• 214 (210) chez Gamekult
• 228 (225) chez Le Parisien
• 265 (263) au Figaro
• 271 (276) chez Ouest-France
• 272 (278) chez Orange
• 528 (537) chez Actu.fr
• 879 (865) chez Jeux-Vidéo.com
• 1 190 (1 209) chez Cowcotland
• 1 529 (1 495) chez iGen

Des cookies valables pendant… 15 ans !

Nous avons ensuite regardé quelle était la durée de rétention des données. Cela varie évidemment suivant les partenaires, mais on a trouvé des valeurs allant d’un jour à plusieurs milliers. Notre record personnel est de 5 479 jours à l’AFP, soit la bagatelle de 15 ans, excusez du peu. Il y a peut-être pire, ce n’est ici que le résultat d’une recherche de quelques minutes.

Entre les deux, il y a un peu de tout, de quelques dizaines de jours à des centaines, visiblement sans logique particulière. Aux alentours d’un an, on a ainsi des durées de rétention de 300, 365, 386, 390, 396, 400, 403 jours, etc.

Tout accepter en gros, tout refuser en plus petit

L’acceptation des cookies se fait parfois par thématique, avec un simple bouton Oui/Non. C’est le cas d’OVHcloud, qui impose donc les cookies qu’il juge strictement nécessaires au bon fonctionnement du site (comme bon nombre de sites) et propose ensuite trois familles : performances et personnalisation, publicités ciblées et enfin partage sur les plateformes tierces.

On pourrait se dire que c’est relativement propre comme manière de faire, mais ce n’est malheureusement qu’à la seconde page du bandeau RGPD que ces informations sont indiquées. La première page du bandeau affiche un message, puis des boutons Paramétrer (pour arriver sur la seconde page) et Accepter.

• Selon les CNIL, les dark patterns sont partout
• Trackers, dark patterns : l’UFC-Que choisir monte au créneau, mais montre le mauvais exemple

Comme l’y oblige le règlement européen (RGPD), il est aussi possible de Poursuivre sans accepter, mais il faut alors cliquer sur un lien en haut à gauche, moins visible puisque le regard aura tendance à se placer en bas à droite, à la fin du texte, sur le bouton « Accepter » en blanc sur fond bleu.

Cette manière de faire avec un positionnement différent et une mise en avant bien plus prononcée pour accepter que refuser est malheureusement encore trop présente sur Internet. Accessoirement, le bandeau d'acceptation des cookies parle encore d'OVH, comme s'il n'avait pas été mis à jour depuis son changement de nom en OVHCloud, qui date pourtant de 2019.

Refuser les cookies contre quelques euros

Plusieurs médias ne proposent pas de refuser à proprement parler, mais donnent une alternative : l’abonnement payant. Pour ceux qui ont un paywall, s’abonner permet de refuser les cookies, tandis que d’autres – misant sur la publicité sous toutes ses formes pour leurs revenus – demandent de payer deux euros par mois pour refuser les cookies.

Il y a bien évidemment des sites qui mettent au même niveau les boutons pour tout accepter ou tout refuser. C’est le cas chez Free par exemple.

Et, pour rappel, des sites comme Next.ink n’affichent pas de bandeau car nous n’avons pas besoin de demander le moindre consentement puisque nous n’avons pas de « partenaires » pour les cookies et le partage de vos données.

« 1 partenaires » chez Meetic : le « s » est bon, pas le chiffre « 1 »

On tombe aussi parfois sur des sites qui ne semblent pas savoir compter. Sur Meetic par exemple, le message est clair et plutôt rassurant sur le nombre de partenaires : « Nous et nos 1 partenaires [sic] utilisons des outils pour stocker et/ou accéder à des informations sur votre appareil et traiter vos données personnelles ». Curieux, on regarde qui est ce seul partenaire.

Quand on clique sur « Liste de nos partenaires », on nous affiche la liste des « fournisseurs », mais passons sur ce changement sémantique. Il y a deux catégories : Fournisseurs IAB et Autres fournisseurs.

Dans la première catégorie, seul Google Advertising Products est présent. Le compte est bon ? Pas si vite. Dans la seconde, on trouve MSN, Compado, Outbrain, ContentSquare, Yahoo, etc. ; on vous épargne la liste complète, mais ils sont un peu moins d’une vingtaine. On est donc bien au-dessus de « 1 partenaires ».

Minute confidence : nous n’avons pas vérifié les décomptes des sites avec plusieurs centaines de partenaires, nous avons simplement repris les chiffres indiqués sur les bandeaux.

Modifier son consentement n’est pas toujours simple

La CNIL explique que vous pouvez à tout moment modifier ou retirer votre consentement. Les sites proposent donc des liens permettant de « gérer vos cookies » ; la formulation varie évidemment selon les sites. Mais nous avons à plusieurs reprises « manqué de chance » : le bouton/lien ne marchait pas ou nous n’avons pas réussi à le trouver rapidement.

Attention, il ne s’agit pas de faire une généralité, certains sites sont parfaitement respectueux des internautes et permettent un choix facile, avec un même niveau de visibilité pour tout accepter ou refuser, ainsi que modifier ses choix rapidement, etc. D’autres font comme nous et ne misent pas du tout sur les partenaires externes (publicité ou autre), c’est le cas de Reflets et de CanardPC pour ne citer qu’eux.

D’autres encore abusent clairement, que ce soit sur le nombre de partenaires, la durée de vie des cookies, la mise en avant du bouton « Tout refuser » par rapport à celui pour « Tout accepter », la possibilité de modifier son consentement, etc.

Et vous, quels sont vos pires expériences en termes de bandeau RGPD, de nombre de « partenaires » et/ou de gestion des paramètres de partage de vos données ? Faites-nous part de vos retours dans les commentaires.