Le règlement général pour la protection des données est entré en vigueur en France il y a quelques mois déjà. Les sites ont commencé à s'adapter, mais tous ne montrent pas de bonne volonté. Une extension change la donne.
Si le RGPD ne change pas fondamentalement le consentement en France (voir notre analyse), ce règlement européen a l'intérêt de renforcer certaines notions.
Ainsi, il dispose que l'utilisateur doit manifester « de façon libre, spécifique, éclairée et univoque son accord » par « un acte positif clair ». Ainsi, le consentement doit être propre à chaque finalité (publicité, audience, personnalisation, etc.), ne peut être actif par défaut et ne peut pas être symbolisé par le fait de simplement naviguer sur un site.
Autre point sur lequel le texte est clair (article 7) : « Il est aussi simple de retirer que de donner son consentement ». Ainsi, cette procédure ne devrait pas faire l'objet d'un « dark pattern », soit la volonté d'un éditeur de complexifier les choses par une solution anti-ergonomique. C'est pourtant ce qui est souvent mis en œuvre.
Des outils plus laxistes que le texte
Depuis le 25 mai, date d'application du texte en Europe après deux années de délai laissé aux acteurs du secteur pour se préparer, un module a symbolisé ce problème : celui de Quantcast. Utilisé par de nombreux site pour gérer leur recueil du consentement, il laisse une grande souplesse d'intégration.
Ainsi, un éditeur peut permettre à l'utilisateur d'accepter ou de refuser toutes les finalités dès l'affichage du module, ou de les personnaliser. Il peut aussi ne proposer que de tout accepter avant de renvoyer vers la personnalisation, sans refus simple, ce qui va à l'encontre du RGPD.
Certains des choix laissés par Quantcast à ses clients
Surtout que sur cette page de personnalisation, seul un bouton permettant de tout accepter est en général proposé. Sans parler des sites qui activent toutes les finalités par défaut ou indiquent qu'elles sont requises (ce ne devrait pas être le cas). On s'amusera d'ailleurs du fait que Quantcast lui-même opte pour une « mauvaise » implémentation.
Tant de mauvais choix que la société ne devrait pas forcément laisser à ses clients, Mais peut-être est-ce aussi pour cette liberté que ce module a été choisi. Ajoutons qu'il coupe la navigation de l'internaute, ce qui va à l'encontre des recommandations effectuées par le groupement des CNIL européennes.
Au final, de nombreux sites ne proposent pas le refus global, activent par défaut l'ensemble des finalités et incitent ainsi leurs visiteurs à tout accepter par recherche de simplicité. Tant de choix de leur part qui vont tant à l'encontre de l'esprit du RGPD que de son application stricte, ouvrant la voie à une sanction par la CNIL.
Une mauvaise et une bonne façons de faire. Notez que « J'accepte » reste mis en avant en bleu plutôt que blanc
Cette pratique n'est d'ailleurs pas exclusive aux sites qui utilisent le module de Quantcast et d'autres modules du même genre sont utilisés également de manière abusive, sans parler des médias qui ne demandent pas de consentement, estimant que le pistage des internautes utilisé comme source de financement entre dans le cadre de l'intérêt légitime.
Mais en l'absence de premières enquêtes et de sanctions conséquentes (pour le moment) effectuées par la Commission, il semble que certains tentent de jouer la montre.
Une extension pour commencer à changer la donne
Exaspéré par la situation, Vincent Toubiana, ancien agent de la CNIL, a développé une petite extension au fonctionnement simple : lorsqu'un module Quantcast est affiché, si le bouton de refus global n'est pas affiché, il est recréé. Ainsi, d'une simple pression, toutes les finalités sont refusées et le choix de l'utilisateur enregistré.
L'extension QookieFix est disponible en anglais et en français, sur Firefox et Chrome (ainsi que ses dérivés). Son code source est ouvert à tous et diffusé sur GitHub. Le tout tient en une trentaine de lignes de code, et peut sans doute être amélioré et renforcé par l'adaptation à d'autres modules. Les contributions sont les bienvenues.
Le problème va bien au-delà de l'expression du consentement
Mais l'utilisation de notre extension Kimetrak met en lumière un autre souci tenant à un comportement qui n'a guère changé malgré le RGPD : les scripts de pistage sont lancés avant même l'expression du consentement.
Ainsi, il suffit de se rendre sur de nombreux sites de médias pour voir le compteur continuer à relever des dizaines de requêtes avant même que l'on ait eu à cliquer sur le moindre bouton. Là aussi, il s'agit d'un choix qui va le plus souvent à l'encontre du règlement européen.
Bien entendu, ces requêtes peuvent être utilisées pour afficher des publicités en précisant que l'utilisateur n'a pas encore donné son consentement, mais est-ce le cas ? Il y a fort à parier que non, mais là aussi, seule une enquête de la CNIL pourra venir préciser la situation et inciter les éditeurs à se mettre en conformité.
Une chose est sûre : étant donné le droit français avant le RGPD, déjà très protecteur des internautes en matière de respect de la vie privée, et les nombreux articles publiés sur la question, notamment par certains sites de presse qui ne semblent toujours pas en conformité... il leur sera difficile de revendiquer la bonne foi si jamais ils venaient à se faire prendre la main dans le sac par la Commission.
Commentaires (128)
#1
Vivement les prochaines (grosses) condamnations, ça fera peut-être réfléchir ces boites à la c…
#2
Avec cette extension, cliquer sur “je refuse” vous amène directement sur les CGU et vous ne pouvez naviguer qu’en décochant tout à la main….
#3
Merci, je vais installer. Surtout que c’est pénible, mais sur certains site (avec quantcast) quand tu vas personnaliser tes choix et que tu refuses tout, et bien à chaque nouvelle visite tu as un nouveau pop-up qui te demande de revoir tes choix. Alors que si tu acceptes tout, plus jamais t’en entends parler.
Et je suis tomber sur un site l’autre fois qui ferme la page web si tu acceptes pas…
#4
Enfin , je cherchais depuis un moment ! Je suis tombés sur un paquet de site avec ce système, et dans le lot il n’y en avait qu’un seul qui désactivait tout de base (seulement si on cliquait sur Détails au lieu de Accepter, faut pas déconner).
J’espère vraiment qu’il va y avoir des condamnations maintenant, si c’est aussi peu efficace que la protection française avant le RGPD, ça n’aura pas servi à grand chose.
#5
Le problème est qu’on est passé du foutage de gueule ( +200 cookies tiers sur certain sites de presse) sans rien faire pendant des années, à l’excès inverse du jour au lendemain. Il n’y avait donc aucune chance que cela se passe bien.
Exemple : l’outils d’analyse de trafic de google ( analytic ) n’est pas compatible avec le rgpd, l’analyse du traffic n’aurait jamais du entrer dans le champ du rgpd, les sites en ont besoin et piwik est très très loin de remplacer analytic pour le suivis d’adsense/adword et tout un tas d’autres choses.
Pour moi cette situation n’est absolument pas une surprise, c’est évident que tout le monde freine des 2 pieds car le rgpd va trop loin. C’est contre productif en fait, alors qu’on en avait bien besoin….
#6
PAs ce que j’ai constaté, mais ça peut dépendre du réglage des sites, de mémoire les éditeurs peuvent renvoyer vers une page spécifique en cas de refus (mais pas interdire l’accès au site ce sera là aussi contraire au RGPD).
#7
Et au final ces popups RGPD ça rend la navigation encore plus pénible, déjà que les popup pour les cookies étaient une plaie.
Je déteste avoir un truc qui s’affiche en se rendant sur un site, surtout si c’est à l’issue d’une recherche et que je vais dessus que 30 secondes pour consulter ce que je recherchais.
Après ça part d’une bonne intention mais appliqué n’importe comment le remède est pire que le mal.
#8
Tout est fait pour qu’on clique sur “J’accepte tout” rapidement, sinon on n’accède jamais au contenu. C’est une véritable plaie de refuser, ça prend des plombes. Je vais essayer l’extension, tout initiative est bonne à prendre (mais si j’ai bien compris, cela ne fonctionnera pas avec un site n’utilisant pas Quantcast).
#9
#10
#11
#12
#13
Depuis quelques mois, régulièrement (3 fois jusqu’à présent), lorsque je me connecte à mon espace client Linky d’Enedis, j’obtiens une page de CGU avec en bas de page un joli bouton couleur anthracite “ACCEPTER”. Aucun bouton “refuser” et il faut accepter les CGU pour avoir l’occasion de pouvoir résilier son compte.
Et demander à Enedis le pourquoi du comment, s’il s’agit de nouvelles CGU ou non, etc, est peine perdue (on sait seulement répondre que Linky répond aux exigences du RGPD et de la loi de 2015 sur “la transition énergétique pour la croissance verte”).
#14
Je dois pas avoir de chance avec mes sites alors^^. Par contre je n’ai aucun doute sur le fait que ce ne soit pas légal mais là n’était pas la question.
#15
#16
#17
En ce moment un site me gonfle particulièrement, lesnumeriques pour ne pas le citer.
Pour tout devalider (comme dit dans l’article)tu as 3 pages pour avoir le fameux bouton. Et encore par moment le popup revient en bloquant la lecture du site. Si on ne retourne pas à la recherche de la liste on ne peux s’apercevoir que plusieurs choses sont à nouveau activé !
#18
#19
oui…c’est ce qui manque “les TRES fortes amendes” !!!
“ 3 mois plus tard, ET (certaines) sociétés NE SONT TJRS. PAS en conformités avec le RGPD” !
franchement, on se moque de nous (….3 mois) ! " />-
#20
#21
#22
#23
il faudrais surtout que la CNIL mettent en place un système de “dénonciation” d’un service qui ne respecte pas le RGPD.
Alors un de leur agent ouvre le site et s’il pose problème (a première vue en 5 minutes), ils envoie un avertissement (menace), a la personne ou entreprise, et ajoute le site a une liste.
Si quand il revienne X temps après il n’y a pas eu un changement positif, ou un signe de bonne volonté (oui car je suis développer une petite boite peut pas remodeler tous leur système en 20 secondes).
Dans ce cas la ils leur tombe dessus avec enquête approfondie et amende colossale comme ils en ont le secret.
Et bien evidement la CNIL devraient aussi mettre en place une amende pour dénonciation abusive (si un petit comique s’amuse a dénoncer une boite qui n’a rien fait.
#24
Sauf que la partie fréquentation de google analytics n’est qu’une façade.
La mesure de fréquentation d’un site n’est que l’excuse “acceptable” pour pratiquer un profilage des internautes au seul profit de google et de ses services publicitaire.
Et toutes les évolutions du “service” ont avant tout été misent en place pour renforcer le contrôle par google des info de fréquentation et en fournir le moins possible au site clients.
Imposer un tracking publicitaire au prétexte de faire de la mesure de fréquentation, comment dire ….
#25
LE RGPD est entré en vigueur en 2018, il faut compter encore quelques mois au minimum pour avoir les premières condamnations (une loi s’applique pour le futur, et il faut enquêter, suivre une procédure avant de condamner). En sachant que seules les infractions les plus graves et les comportements les moins collaboratifs seront sanctionnés au début.
#26
Très bon exemple, justement si le RGPD peut pousser Google à revoir la manière de fonctionner de GA c’est une bonne chose, j’ai toujours refusé d’implémenter leur solution par respect pour mes utilisateurs, même si mes stats sont moins riches, il y a déjà que quoi faire avec ce que propose matomo et consorts.
Et si cela peut pousser plus de monde à adopter des outils libres, qui laissent le choix à l’éditeur du site quant à la finalité des données plutôt qu’à Google, pourquoi pas?
#27
Aujourd’hui des outils comme Matomo permettent déjà d’approcher les stats GA, sans le profilage par google contre lequel ni l’éditeur ni l’utilisateur ne peuvent quoi que ce soit.
C’est pas parfait c’est vrai, ça risque d’obliger les boites de com qui font leur chiffre avec le référencement à se bouger les fesses et à recruter pour faire autre chose que configurer GA.
#28
#29
Personnellement je note, depuis le RGPD, une situation pire concernant les cookies.
Le panneau d’acceptation est de plus en plus grand, et gênant pour la lecture/navigation, aucun moyen de refuser, et il spécifie que la navigation vaut acceptation.
De même, sur Twitch ou Youtube (application) , un bandeau concernant les publicités est apparu pour que l’on accepte le ciblage, sans moyen de répondre OSEF.
edit: Biour donne a juste tire l’exemple les Numérique
#30
pour résoudre ce problème le RGPD aurais du prévoir un module pour navigateur NO by RGPD pour ceux qui voudrais dire non par défaut (car visiblement les lobbye on fait en sorte que ce soit pas le cas), et tout site ne le respectant pas automatiquement reporté a la CNIL par l’application, le problème des loi internet, c’est que il n’y a pas assez de main d’oeuvre pour reporté les personne qui ne la respecte pas donc peu de condamnation donc personne la suit.
#31
Paypal est un autre bon exemple de non-changement.
“Les cookies nous permettent de personnaliser votre expérience PayPal, et certains sont nécessaires pour assurer le fonctionnement de notre site. Ils nous permettent également de vous proposer des offres et des promotions personnalisées,…”
Bouton “accepter”, pas de croix.
#32
Analytics rentre dans la même catégorie que le bouton facebook et les cookies tiers partagés avec 200 000 partenaires. Pourquoi crois-tu que Google le développe et le maintient ? C’est leur meilleure pompe à données. Ces données ce sont pas celles des sites (enfin ce ne sont pas elles qui sont concernées par la RGPD) mais ce sont les données des visiteurs. Donc des données personnelles.
Et donc… pourquoi Analytics devrait être épargné ? Tu sais ce qu’ils en font après ? Tu maîtrises le pipeline ?
J’en ai rien à secouer, moi, en tant que visiteur de l’analyse du traffic… J’veux pas que la quasi intégralité de mon historique de navigation se retrouve entre les mains de Google.
#33
J’adore ce genre de plugins tout bête qui remet les choses dans l’ordre " />
#34
#35
Au passage, en parlant de google pour ceux qui veulent se débarrasser de la googleapis, tout en gardant les site actif il y a une addon qui permet de rediriger les appels de googleapis vers cloudflare api (bon c’est déjà un poil mieux niveau vie privée même si c’est pas encore vraiment ca)
firefox :https://addons.mozilla.org/fr/firefox/addon/ignore-google/
vivaldi (ou chrome) :https://chrome.google.com/webstore/detail/ignore-google-scripts/jhjnmelgpccagmnp…
#36
…..il spécifie que la navigation vaut acceptation. …
les sites se dédouanent “ainsi”—>hop RGPD conforme, c’est bon (coucou la CNIL) ! " />
#37
On peut y remédier manuellement dans les paramètres, mais au prix d’une recherche volontaire et de 3 options distinctes à désactiver une à une… pas RGPD non plus en effet.
#38
#39
Sauf que justement le RGPD interdit le blocage complet au nom justement d’un refus (qui doit être possible en plus donc RGPD non conforme amende en préparation please wait …. xD)
#40
la je ne suis pas vraiment d’accord le modèle économique de cloudflare n’est pas le tracking comme google (donc même s’il doit en faire un peu), c’est certainement pas a la même echelle que google…
#41
Surhttps://forums.jeuxonline.info par exemple c’est bien fait (par défaut tout est décoché)
#42
Firefox - > Behind The Overlay Revival
Puis pression sur Alt+Shift+X, done
#43
#44
Le gouvernement démontre que l’ont n’a pas à respecter la loi quant de l’argent est en jeu, j’espère que les cambriolages vont augmentés en France suite à cet exemple de “l’élite” politique et médiatique " />
#45
#46
ca c’est normal le propriétaire veut pouvoir vérifier que tu est capable de payer la location et que tu sait gérer ton argent, maintenant, si tu voulais faire une analogie correct ce serait, ton locataire de demande quel est ton film préféré et ta religion, ca, cela serait une analogie correct entre ce que fait analytics et ton exemple.
Analytique obligatoire, est une hérésie et ne devrais pas être autorisé, un non doit toujours prévaloir, sur le oui, en droit on dit “la liberté des un s’arrete la ou commence celle des autres”, j’ai le droit de refusé d’etre pister donc personne ne devrais pourvoir m’y contraindre
#47
Sauf que Encore une fois, ce n’est pas leur modèle économique, donc les intégristes de la vie privée ralent psk il y a analytic chez eux (comme il ralent avec toute les alternative a analitics).
De plus relis bien la page, il n’est marqué nulle part qu’il vendent ces info (encore une fois leur modèle économic payant (voir la page que tu a mis), ne nécessite pas cette vente d’info, car ses infos servent a faire fonctionner leurs produit et n’est jamais utilisé par des tiers donc Cloudflare vaut mieux que Google, et a ta réponse aucun des deux alors explique moi comment tu fait fonctionné un site qui Requier un js qu’il ne propose pas par défaut et impose celui de google ?
Car si tu a la solution magique (et me sort pas decentraleyes (qui ne prend meme pas tous les js et fait beaucoup de demande de fichier malgé tout)), partage la on attend la réponse.
Donc je réitère ma recommandation quand a cloudflare api !!
#48
En parlant de ça, je m’aperçois que Google ne respecte pas les dispositions RGPD.
Je ne trouve aucun moyen de refuser leurs cookies. Leur site oblige à s’enregistrer ou télécharger un logiciel pour arrêter les cookies… " />
C’est n’importe quoi et totalement hors la loi à mes yeux.
Nxi compte-t-il interviewer google sur le sujet pour avoir plus d’explications sur leur comportement?
Et en même temps, interviewer la CNIL sur ce point particulier?
(je suis d’ailleurs surpris qu’il n’ait pas envoyé de mise en demeure à l’égard de google… peut-être parce que la CNIL ne respecte pas ses propres recommandations)
Je sens que ça pourrais être une bonne rigolade.
#49
Ya aussi la solution du fichier host menteur qui fonctionne pas mal, même c’est c’est moins user-friendly que les addons des navigateurs.
#50
en effet, je propose simplement un outils simple pour essayer de diminuer le tracking car comme je le dit plus haut le modèle économique de cloudflare n’étant pas comme google centré sur le tracking, ils sont “moins pire” donc en attendant la solution magique, faudra faire avec cela
edit : je fais deux ou trois test pour voir s’il fonctionne correctement si on le fait fonctionner avec decentraleyes
#51
Tout à fait. Tu peux remplacer “Google” par “Facebook”, “Criteo”, “AT Internet” ou ce que tu veux. Le principe est le même.
Google et Facebook font figure d’exceptions car ils ont un trafic largement supérieurs à leurs concurrents, mais ça n’excuse pas les autres.
#52
Vu la photo bien choisie, il aurait été de bon ton de restreindre l’accès de cet article aux seuls abonnés.
#53
C’est pour ça que j’ai pris l’analogie avec une boulangerie, louer un apparte est complètement différent. Et pour les papiers que tu cite ils ont légalement le droit de les demander.
#54
La ou c’est vraiment chiant c’est sur mobile avec plus de 50 bouton à invalidé.
#55
#56
#57
#58
Suffit de refuser les cookies tiers, non?
#59
#60
#61
#62
#63
Syndrome de Stockholm …
#64
#65
#66
#67
#68
#69
J’ai la même expérience aussi, et sur d’autres sites.
Je me demande un truc con : quand on refuse tout, est-ce qu’on refuse aussi les cookies, et donc le cookie qui permet au site de se rappeler qu’on a refusé les cookies et le reste ?
#70
bha non vue que le site en question ce souvient tres bien que j’ai dit non avant….
#71
A défaut de véritable respect du RGPD, l’utilisateur peut toujours agir :
Les deux derniers points sont efficaces et ne demandent plus aucun effort une fois que c’est configuré.
#72
#73
Sur pas mal de sites les préférences sur les cookies ne sont pas sauvées en base (si tu as un compte), mais juste gérées via un cookie, car c’est plus simple et moins coûteux à développer. Le RGPD coûte assez cher aux entreprises (et aux sites de l’état), manquerait plus que ce soit intégré en respectant les internautes ^^.
Et le coup de perdre le cookie qui dit non en refusant les cookies, c’est juste une pirouette des éditeurs pour se moquer des utilisateurs :p
Ils pourraient très bien mémoriser ce cookie (qui dit non), qui au passage est un cookie technique (c’est un statut particulier selon le RGPD, donc pas les mêmes contraintes), mais certains éditeurs préfèrent miser sur l’énervement des utilisateurs pour qu’ils finissent par cliquer sur “J’accepte [tout les yeux fermés]”.
#74
On discutait de leur produit analytics et là, tu changes complètement de sujet en pointant vers la politique de coockies qu’ils appliquent sur leurs sites WEB à eux, ça n’a rien à voir.
Merci donc d’avoir confirmé que tu mélanges les sujets et que tu racontais n’importe quoi sur leur outil analytics.
Quant au fait que ce soit une boite US, c’est encore un autre sujet et ton expérience WEB doit être assez limitée si tu ne vas que sur des sites qui n’utilisent pas les services d’entreprises US.
#75
#76
#77
Ouaip pour l’enervement, mais la de mon coté c’est comme clubic, un site mort, banni de mes favoris….
#78
J’utilise AdZHosts et j’en suis très content ! " />
#79
je ne trouve pas l’extension pour Opéra, s’agit-il d’une erreur ?
#80
Installe ça : https://addons.opera.com/fr/extensions/details/install-chrome-extensions/
#81
Pas tout à fait pour le RGPD mais pour supprimer les messages “cookies ok accepter” j’ai rajouter à mon ad-block la liste “Prebake” trouvable ici :http://prebake.eu/
Ça marche plutôt pas mal.
#82
N’empêche c’est là qu’on voit que le Web est malade.
Surf PC : un navigateur avec quelques addons, le Web est lisible et fluide.
Surf smartphone : navigateur vanilla, le Web rame, plein de popup en surbrillance pour des trucs et des machins, illisible, défilement chaotique.
Résultat : j’ai banni le surf Mobile à l’exception des sites que j’estime de confiance.
#83
Sinon même chose, mais qui fait en plus cache DNS : Pi-Hole.
#84
Tu te fous donc que l’on te trace et que l’on traite tes données personnelles grâce aux cookies !
Comme on le lit sur leur pages :
By using these filters, you are allowing sites to set cookies by default, without you first being notified, and are agreeing to allow the sites you visit to set cookies.
Only use these filters if you understand the implications of allowing cookies.
C’est une tranquillité bien cher payée.
Ces outils sont des plaies pour le respect des données des utilisateurs, ils masquent le fait que l’on traite tes données et aussi la possibilité de s’y opposer et de paramétrer ce que tu acceptes. Bref, ils empêchent la prise de conscience et le refus. Ce sont donc des outils qui favorisent l’exploitation à outrance des données personnelles.
À croire qu’ils sont sponsorisés par ceux qui nous traquent.
#85
…. développer Le RGPD coûte assez cher aux entreprises…
(sans compter les 2 ans…où le RGPD a été “repoussé”, mais ils s”en doutaient bien “qu’un jour”……..)
(je serait la CNIL)–>“pas d’excuse = vlan” !!!!!!!!!!!! " />
#86
Web des années 1990 : popups partout
Années 2000 : “on rajoute un filtre anti-popup”
Web des années 2010 : popups partout (impossibles à fermer)
" />
#87
#88
Firefox Mobile et addons type uBlock Origin.
#89
Tu mélanges tout! Avant, on avait des pop-up, maintenant c’est des pop-ins, complètement différent ! " />
#90
#91
#92
Cette gestion des autorisations/refus devrait être gérée avec le navigateur :