Les utilisateurs de Chrome n’auront finalement pas de changement sur les cookies tiers. Le comportement actuel sera préservé, avec une acceptation par défaut et la possibilité de modifier les options pour les bloquer. Le mode Incognito, qui les bloque par défaut, continuera lui aussi de fonctionner de la même manière.

On est bien comme on est

Google a annoncé cette décision hier soir, par un billet d’Anthony Chavez, vice-président de l’entreprise et chargé de Privacy Sandbox. Il explique que le contexte a largement changé depuis les débuts de l’initiative en 2019. Il cite l’adoption croissante de technologies améliorant la protection de la vie privée, de nouvelles possibilités pour la protection et la sécurisation des expériences de navigation par l’IA, ou encore une évolution « considérable » du paysage réglementaire dans le monde.

« Compte tenu de tous ces facteurs, nous avons pris la décision de maintenir notre approche actuelle pour offrir aux utilisateurs le choix des cookies tiers dans Chrome », indique ainsi Anthony Chavez. Dans le même temps, d’autres briques de protection comme Safe Browsing, Safety Check et des mécanismes s’appuyant sur l’IA seront renforcées. Google évoque également l’arrivée d’IP Protection pour le troisième trimestre. Ce mécanisme, prévu pour le mode Incognito, veut limiter la diffusion de l’adresse IP dans les contextes tiers, en la bloquant aux sites présents dans la Masked Domain List (MDL).

Que deviendra alors la Privacy Sandbox ? Ce n’est pas très clair. De ce que l’on comprend du billet, elle va rester en place. Google indique que des entretiens auront lieu avec l’industrie dans les mois à venir, pour « recueillir des commentaires et partager une feuille de route actualisée ».

Un long fleuve pas si tranquille

Si l’annonce d’hier soir vous semble familière, c’est que Google avait préparé le terrain. En juillet 2024, elle indiquait déjà qu’elle renonçait au blocage par défaut des cookies tiers. À la place, l’éditeur indiquait réfléchir à la possibilité de poser la question à l’internaute pour lui demander quoi faire. Dans le billet d’hier soir, cette possibilité a justement été écartée, pour rester sur le comportement actuel, qui a l’avantage d’être connu par des centaines de millions de personnes.

La gestion du projet Privacy Sandbox aura cependant été riche en rebondissements. À sa présentation en 2019, il s’agissait d’un mécanisme devant permettre une meilleure approche de la confidentialité des données, tout en préservant l’efficacité des publicités personnalisées. Un numéro d’équilibrisme auquel Google s’est adonné pendant plusieurs annonces, rencontrant sur cette corde raide de nombreuses critiques.

C’était notamment le cas avec la Competition and Markets Authority (CMA) et l'Information Commissioner's Office (ICO) du Royaume-Uni, ainsi que d’une partie de l’industrie. Petit à petit, la Privacy Sandbox est devenue ce que l’on en connait aujourd’hui : un mécanisme d’envoi de statistiques groupées sur les habitudes des internautes. Il casse ainsi le suivi individuel pour se baser sur des cohortes d’internautes, dont les données sont agrégées en fonction de centres d’intérêt. La Privacy Sandbox prévoit également que les données restent locales et ne puissent pas permettre une reconstitution de l’identité.

Condamnée depuis longtemps ?

Il ne s’agissait cependant pas, comme on a parfois pu le voir, de débarrasser totalement Chrome de la collecte des données personnelles. L’objectif de la Privacy Sandbox était simplement d’en limiter la quantité. Google tire une proportion écrasante de son chiffre d’affaires des publicités et leur personnalisation représente depuis longtemps une industrie complète.

• Publicité en ligne : Google a bien construit un monopole selon la justice étasunienne

De fait, comme l’indiquait TechCrunch l’année dernière, Google s’est retrouvée prise au piège dans une ambivalence qui ne pouvait satisfaire personne. Il fallait pouvoir continuer sur les publicités comme l’entreprise l’avait toujours fait, tout en renforçant la protection de la vie privée. Le résultat peut être comparé aujourd’hui à une solution n’ayant satisfait personne. L’association noyb avait même déposé plainte contre Google, qu’elle accusait de mentir sur le fonctionnement de la Privacy Sandbox.

Dans ce contexte, la volonté affichée de collecter les avis de l'industrie sur la fonction est peut-être un vœu pieu. Mieux vaut peut-être d’ailleurs que la Privacy Sandbox disparaisse, tant elle aura attiré des problèmes à Google, entre concurrence l’accusant d’en faire une arme, critiques acerbes de plusieurs autorités nationales et erreurs manifestes pointées par le W3C.