L’Union européenne étudie une proposition qui pourrait transformer l’une des expériences les plus répétitives du web actuel : configurer la vie privée depuis le navigateur ou le système d’exploitation et faire en sorte que les pages web respectent automatiquement cette préférence. Une coalition de 19 organisations, entreprises et institutions académiques, regroupées sous la campagne Kill the Cookie Banner, réclame que ce mécanisme survive aux négociations de l’Omnibus Numérique européen.
Les clés du futur des bannières de cookies en 20 secondes
- L’article 88b propose de donner une force juridique aux signaux automatiques de confidentialité.
- Les navigateurs et autres agents pourraient transmettre le consentement, le refus, la révocation ou l’opposition.
- GPC et ADPC démontrent que cette idée dispose déjà de technologies de référence.
- La coalition souhaite des préférences différenciées selon l’entreprise et la finalité.
- Le projet est encore en négociation, et les bannières ne disparaîtront pas immédiatement.
Cette proposition est particulièrement intéressante d’un point de vue technologique car elle modifie le lieu où se produit l’interaction. Actuellement, chaque site déploie sa propre plateforme de gestion du consentement, communément appelée CMP (Consent Management Platform). L’utilisateur réagit et la page enregistre quelles catégories peuvent être activées.
Le modèle défendu par la coalition inverse une partie de ce processus.
Le navigateur, le système d’exploitation, l’application ou l’agent de l’utilisateur pourrait devenir la source d’un signal standardisé transmettant ses préférences au préalable. Lorsqu’une page recevrait ce signal juridiquement valide, elle devrait agir conformément à celui-ci sans avoir à redemander inutilement la même réponse.
Il ne s’agirait pas d’un bloqueur de cookies ni d’une option universelle pour tout rejeter. La proposition prévoit un mécanisme beaucoup plus granulaire : permettre des décisions différentes selon le responsable du traitement des données et la finalité visée.
Du CMP de chaque site à un signal transmis par le navigateur
Les bannières actuelles existent en raison d’une combinaison d’obligations légales et de choix de conception.
Les cookies strictement nécessaires à la fourniture de certains services ne requièrent pas le même traitement que ceux utilisés pour la publicité, la mesure ou le suivi. Lorsqu’une activité nécessite le consentement, celui-ci doit respecter les conditions établies par le Règlement Général sur la Protection des Données (RGPD).
La proposition de l’article 88b ne vise pas à supprimer ces exigences.
Ce qu’elle cherche à changer, c’est l’interface utilisée pour exprimer la décision.
Une implémentation simplifiée pourrait fonctionner ainsi :
Utilisateur → navigateur ou système d’exploitation → signal de confidentialité → site ou application → CMP/système de consentement
Le site recevrait la préférence avant de décider s’il doit afficher une interface supplémentaire.
La coalition Kill the Cookie Banner réclame que les signaux puissent représenter quatre actions principales : donner son accord, le refuser, retirer un consentement antérieur et s’opposer à certains traitements.
En outre, le consentement transmis de cette manière devrait continuer à respecter l’article 4.11 du RGPD. Autrement dit, automatiser la communication ne doit pas réduire les exigences juridiques rendant un consentement valable.
| Niveau | Modèle actuel | Modèle proposé |
|---|---|---|
| Navigateur | Charge la page et ses contrôles | Transmet également les préférences |
| Web | Interroge l’utilisateur | Interprète d’abord le signal |
| CMP | Collecte et stocke la décision | Peut traiter une décision antérieure |
| Utilisateur | Configure chaque site | Définit ses préférences à l’avance |
| Persistance | Dépend de chaque service | La négative reste en place jusqu’à modification |
| Finalités | Sélection dans la bannière | Pourraient s’exprimer via signal |
La différence technique semble mineure, mais pourrait entraîner une modification considérable dans le fonctionnement de l’industrie du consentement en ligne.
Les CMP ne seraient pas nécessairement amenés à disparaître. Elles pourraient évoluer pour interpréter des signaux externes, en vérifier la portée, stocker la preuve correspondante et déterminer quand une autre interaction est encore nécessaire.
GPC et ADPC anticipent déjà une partie de ce modèle
L’Europe n’aurait pas besoin de partir de zéro.
Global Privacy Control (GPC) permet aux navigateurs et autres outils de transmettre un signal indiquant certaines préférences de confidentialité de l’utilisateur.
Ce concept rappelle l’ancien Do Not Track (DNT), avec une différence cruciale : envoyer une entête technique est peu efficace si les sites ne sont pas légalement obligés de la respecter.
Ce fut l’un des grands défauts de DNT.
Actuellement, GPC jouit d’une reconnaissance juridique dans certaines juridictions américaines. La campagne européenne le cite comme preuve qu’un signal automatique de l’utilisateur peut s’intégrer dans un cadre réglementaire.
L’article 88b veut aller plus loin qu’un simple opt-out.
La lettre mentionne également Advanced Data Protection Control (ADPC), développé notamment en collaboration avec l’Université d’Économie et d’Entreprise de Vienne et des organisations comme noyb.
ADPC vise à exprimer des préférences plus complexes, y compris le consentement pour certaines finalités ou responsables spécifiques.
La coalition propose que la norme européenne future exploite le travail technique existant, tout en considérant que la signification juridique de chaque signal doit être définie par la législation de l’UE et non par le standard technologique en soi.
Les organismes de normalisation devraient traiter des questions telles que l’interopérabilité, les formats et la transmission, sans redéfinir les droits établis par la réglementation.
Le refus devrait survivre aux visites suivantes
Voici probablement le changement le plus important pour l’expérience utilisateur.
Si une personne indique via le navigateur qu’elle refuse un traitement, la coalition souhaite que ce refus reste valable jusqu’à ce que l’utilisateur décide de le modifier.
Un site ne devrait pas pouvoir l’ignorer en affichant immédiatement un autre message demandant en substance la même chose.
Les signataires demandent que la préférence ait priorité sur les demandes ultérieures concernant le même traitement, et que les entreprises ne puissent pas la contourner en modifiant l’interface, la terminologie ou en multipliant les demandes.
Cela traiterait directement un des problèmes du système actuel : la fatigue du consentement.
Lorsqu’une personne doit répondre plusieurs dizaines, voire centaines de fois, à des interfaces similaires, l’interaction devient un simple formalisme. La conception de certains bannières favorise également plus de refus que d’acceptation, ce qui est depuis des années au centre des préoccupations des autorités européennes de protection des données.
Avec un signal persistant, l’architecture serait différente. La décision serait prise dans une couche principalement contrôlée par l’utilisateur et transmise automatiquement aux services.
Chrome, Safari et Edge pourraient devenir un enjeu crucial
Transférer les préférences vers le navigateur résout un problème, mais en soulève un autre : qui contrôle le navigateur.
Google Chrome, Apple Safari et Microsoft Edge font partie de plateformes gérées par certaines des plus grandes entreprises technologiques mondiales. Android et iOS ajoutent une couche supplémentaire de contrôle lorsque la gestion de la préférence se fait via le système d’exploitation.
La lettre attire particulièrement l’attention sur ce risque.
Les signataires souhaitent empêcher que des acteurs dominants ou des gatekeepers conçoivent des signaux de manière à favoriser leurs propres intérêts commerciaux ou renforcer leur position sur le marché.
Le document cite explicitement comme exemple Google en lien avec les navigateurs et demande que les systèmes dominants permettent de transmettre les préférences sans interférences supplémentaires.
Il exige également que des applications et agents indépendants puissent les émettre.
Ce point pourrait devenir encore plus critique avec la croissance des navigateurs et agents basés sur l’intelligence artificielle. Si une partie de la navigation se fait via des assistants qui visitent des services, comparent des informations ou exercent des actions pour l’utilisateur, il restera à déterminer quelles préférences en matière de confidentialité doivent accompagner ces opérations.
Le principe technologique reste le même : la décision doit appartenir à l’utilisateur et voyager avec son agent, plutôt que dépendre de l’interface conçue par chaque site.
Le précédent de Do Not Track montre pourquoi une obligation légale est nécessaire
L’histoire d’Internet a déjà connu une tentative similaire.
Do Not Track permettait d’envoyer un signal HTTP indiquant que l’utilisateur préférait ne pas être tracé. Les principaux navigateurs l’ont supporté, mais le système n’a jamais été largement accepté.
L’un de ses défauts majeurs était que ce signal ne contraignait pas automatiquement les services à agir d’une certaine façon.
L’article 88b cherche à remédier à ce problème en établissant un lien entre le signal technique et l’obligation juridique.
La coalition souhaite que les fournisseurs et autres acteurs accédant aux données stockées sur les dispositifs soient tenus de respecter les signaux automatisés légalement valides.
Ce composant pourrait faire passer une préférence du navigateur d’un simple choix dans le menu à quelque chose de bien plus contraignant et effectif.
Les bannières n’ont pas encore de date de péremption
Ce projet est loin d’être une fonction que l’on pourrait activer demain dans Firefox, Chrome ou Safari.
L’article 88b fait partie des négociations autour de l’Omnibus Numérique et la lettre du 10 septembre montre que sa continuité n’est pas assurée.
Les signataires demandent à la présidence irlandaise du Conseil de réincorporer cet article dans ses prochains textes de négociation. Ils appellent également les États membres, le Parlement européen et la Commission à soutenir une version renforcée de cette proposition.
Il serait donc prématuré de dire que l’UE a décidé d’éliminer les bannières de cookies.
Même si cette évolution est finalement adoptée, il faudra encore définir précisément le standard, développer les implémentations et ajuster navigateurs, systèmes d’exploitation, CMP, plateformes publicitaires, applications et sites web.
Le changement pourrait être considérable, car la bannière n’est que la partie visible d’une infrastructure technique bien plus vaste.
Derrière, se trouvent des gestionnaires de balises, des plateformes publicitaires, des outils analytiques, des CMP, des APIs de consentement, et des systèmes qui enregistrent les décisions de chaque visiteur.
Kill the Cookie Banner propose de modifier le point d’entrée de toute cette chaîne.
Au lieu d’obliger chaque site à redemander à l’utilisateur ce qu’il souhaite faire, le navigateur pourrait apporter une réponse prête.
Si l’article 88b franchit finalement la négociation européenne, le changement principal ne sera pas la disparition d’une fenêtre intrusive, mais la transformation du choix de confidentialité en une signalisation interopérable qui accompagne techniquement l’utilisateur sur le web.
Source : Redes Sociales