Résumé : L’Europe a encadré les cookies, mais elle n’a pas supprimé le modèle économique fondé sur le suivi des internautes. L’industrie publicitaire développe désormais des techniques plus discrètes ( identifiants persistants, adresses e-mail hachées, fingerprinting, tracking côté serveur ou dispositifs liés au réseau souvent plus difficiles à comprendre et à bloquer.
L’article montre aussi que les bannières de consentement mélangent trop souvent publicité, profilage, mesure d’audience et financement des contenus. Pour protéger réellement les citoyens, l’Europe doit donc réguler la fonction du traçage, et pas seulement l’outil utilisé.
Pendant des années, le cookie a incarné à lui seul la surveillance publicitaire sur Internet. Les internautes ont appris à supprimer ces petits fichiers, les navigateurs ont progressivement limité les cookies tiers et les autorités européennes ont imposé des règles plus strictes. Les sites doivent désormais informer leurs visiteurs et, dans de nombreux cas, obtenir leur consentement avant de déposer ou de lire des traceurs.
Cette évolution constitue un progrès réel. Elle a rendu visibles des traitements qui se déroulaient auparavant sans que l’utilisateur en ait clairement conscience. Elle a également obligé les entreprises à justifier leurs pratiques et donné aux autorités des fondements plus solides pour sanctionner certains abus. Pourtant, la disparition progressive des cookies tiers ne signifie pas la fin du suivi publicitaire. L’industrie n’a renoncé ni à reconnaître les internautes, ni à mesurer leurs comportements, ni à relier une publicité à un achat. Elle cherche surtout de nouveaux moyens d’y parvenir.
Le débat ne porte donc plus seulement sur les cookies. Il concerne désormais les identifiants liés à un compte, les adresses électroniques hachées, le fingerprinting, le suivi réalisé côté serveur, le rapprochement de données issues de plusieurs environnements et les technologies capables d’identifier un navigateur, un appareil ou un foyer en dehors des mécanismes traditionnels. L’Europe a réglementé un outil visible, mais le modèle économique qui dépend de l’identification des consommateurs s’est adapté.
La publicité ciblée existait bien avant Internet
La publicité n’a pas attendu le Web pour chercher à atteindre les bonnes personnes. Un panneau installé sur un axe emprunté quotidiennement par des travailleurs ne visait pas le même public qu’une affiche placée dans un quartier commerçant ou à proximité d’un centre d’affaires. Les journaux spécialisés attiraient des annonceurs intéressés par leur lectorat, tandis que les programmes de radio et de télévision permettaient d’adapter les campagnes aux profils supposés de leur audience.
Les fichiers de clients, les catalogues de vente par correspondance et le marketing téléphonique ont ensuite permis d’affiner cette approche. Les cartes de fidélité ont représenté une étape supplémentaire, car elles ont donné aux enseignes la possibilité de relier des achats successifs à un même client ou à un même foyer. Elles permettaient de mesurer la fréquence des visites, la sensibilité aux promotions, les préférences et les changements d’habitudes.
Ces pratiques reposaient déjà sur une forme de profilage, mais elles restaient limitées par la qualité des données disponibles, le coût de leur traitement et la difficulté de relier plusieurs environnements. Internet a considérablement réduit ces contraintes. Les annonceurs ont pu mesurer l’affichage d’une publicité, le clic, les pages consultées, le temps passé, l’abandon d’un panier, le retour ultérieur et l’achat final. Le ciblage n’était plus seulement fondé sur l’appartenance probable à une catégorie sociale ou géographique. Il pouvait s’appuyer sur une succession de comportements individuels observés presque instantanément.
Le cookie a fourni à cette ambition un outil simple, bon marché et facilement industrialisable.
Un outil intrusif, mais relativement visible
À l’origine, le cookie répondait à un problème technique. Le protocole utilisé par le Web ne permettait pas naturellement à un site de reconnaître un visiteur d’une page à l’autre. Les cookies ont rendu possibles les paniers d’achat, les sessions de connexion et la mémorisation de certaines préférences.
L’industrie publicitaire a rapidement compris que le même mécanisme pouvait servir à suivre un navigateur dans le temps. Avec les cookies tiers, un acteur présent sur plusieurs sites pouvait tenter de reconnaître le même visiteur, rapprocher ses consultations et construire un profil de ses centres d’intérêt.
Le système était intrusif, mais il présentait une caractéristique importante : l’identifiant se trouvait généralement dans le navigateur. L’utilisateur pouvait, avec plus ou moins de facilité, le consulter, le supprimer ou le bloquer. Cette capacité de contrôle restait imparfaite, car peu d’internautes comprenaient réellement le fonctionnement de ces fichiers et leur suppression ne garantissait pas l’effacement des données déjà transmises. Le cookie demeurait néanmoins un objet identifiable, stocké à un endroit connu et accessible aux outils de protection.
Cette visibilité explique en partie pourquoi il est devenu la cible privilégiée de la réglementation et des navigateurs. Elle explique aussi pourquoi l’industrie a cherché des mécanismes moins dépendants d’un fichier que l’utilisateur pouvait supprimer.
Le consentement est devenu une industrie
L’obligation d’obtenir le consentement devait redonner du pouvoir à l’internaute. Dans la pratique, elle a également fait naître un marché composé de plateformes de gestion du consentement, de cabinets spécialisés, de standards techniques et de services chargés d’enregistrer, de transmettre et de prouver les choix des utilisateurs.
Les plateformes de gestion du consentement, ou CMP, permettent aux sites de présenter une bannière, de conserver la décision du visiteur et de la communiquer aux partenaires publicitaires. Leur rôle ne se limite pas à afficher deux ou trois boutons. Elles organisent des listes de finalités, des catégories de traitements, plusieurs bases juridiques et parfois des centaines, voire plus d’un millier, de destinataires potentiels.
Certaines interfaces transforment ainsi une obligation de transparence en inventaire pratiquement impossible à comprendre. L’utilisateur peut découvrir une longue liste d’entreprises demandant son consentement, tandis que d’autres affirment disposer d’un intérêt légitime pour poursuivre certains traitements. Il peut aussi devoir ouvrir plusieurs écrans, modifier des dizaines de paramètres et distinguer des finalités formulées dans un vocabulaire technique avant de consulter une simple page.
Le caractère exhaustif d’une liste ne garantit pas que le choix soit éclairé. Une information peut être juridiquement disponible tout en restant inutilisable pour une personne ordinaire. Lorsque la lecture complète des paramètres demanderait plusieurs heures, la transparence cesse de faciliter la compréhension et devient une forme de dissimulation par saturation.
La conception des bannières influence également la décision. Un bouton d’acceptation coloré et immédiatement visible, associé à un refus plus discret nécessitant plusieurs clics, ne présente pas deux options de manière équivalente. Les demandes répétées, les formulations ambiguës et les menus imbriqués finissent par transformer le consentement en épreuve d’endurance. Beaucoup d’utilisateurs acceptent alors non parce qu’ils souhaitent réellement être suivis, mais parce qu’ils veulent simplement faire disparaître l’interface qui les empêche d’accéder au contenu.
La fatigue du consommateur n’est plus seulement un effet secondaire du système. Elle devient un élément prévisible de son efficacité économique.
Consentir à la publicité ne signifie pas consentir au profilage
L’une des principales faiblesses des interfaces actuelles tient au mélange de choix qui devraient rester distincts. Un internaute peut accepter qu’un site affiche de la publicité afin de financer son contenu sans accepter d’être reconnu sur plusieurs sites, de voir son historique de navigation analysé ou de permettre la transmission de ses données à une longue chaîne d’intermédiaires.
Le fonctionnement strictement nécessaire d’un service constitue un premier niveau. Il comprend notamment la conservation d’une session, la mémorisation d’un panier, la sécurité ou le choix d’une langue. La mesure d’audience forme un deuxième niveau, qui peut parfois être réalisée de manière agrégée sans identifier durablement chaque visiteur.
La publicité contextuelle représente encore autre chose. Elle consiste à choisir une annonce en fonction de la page consultée, comme le faisait autrefois une publicité automobile placée dans un magazine consacré aux véhicules. Le profilage comportemental va beaucoup plus loin puisqu’il s’appuie sur l’historique de navigation, les centres d’intérêt supposés, les achats précédents ou les comportements observés sur plusieurs services.
Enfin, l’identification persistante et le partage entre partenaires ajoutent une nouvelle profondeur au suivi. L’utilisateur, son appareil ou son foyer peuvent alors être reconnus dans plusieurs contextes, parfois pendant une longue période. Ces traitements n’ont ni la même finalité, ni la même portée, ni les mêmes conséquences. Ils ne devraient donc pas être présentés comme un bloc indivisible sous un unique bouton « Tout accepter ».
La question du financement complique encore le débat. Certains sites présentent le refus du profilage comme un refus de contribuer au financement du contenu. Pourtant, la publicité et le profilage ne sont pas synonymes. Un média peut afficher des annonces contextuelles sans construire un profil détaillé de chaque lecteur ni transmettre ses comportements à des centaines d’entreprises.
Le choix réel ne devrait pas se limiter à accepter d’être suivi ou payer pour échapper au suivi. Une alternative gratuite, financée par une publicité non comportementale, devrait rester possible lorsque le modèle économique et la position de l’acteur le permettent.
L’identification se déplace hors du cookie
La limitation des cookies tiers a encouragé le secteur à investir dans d’autres solutions. Certaines reposent sur un compte connecté. Une plateforme peut reconnaître le même utilisateur sur plusieurs appareils parce qu’il utilise partout le même identifiant, la même adresse électronique ou le même numéro de téléphone.
D’autres solutions utilisent une adresse électronique hachée. Le hachage transforme l’adresse en une chaîne de caractères qui n’est pas directement lisible, mais il ne rend pas nécessairement la personne anonyme. Lorsque plusieurs partenaires appliquent la même transformation, ils peuvent comparer leurs résultats et reconnaître un même utilisateur sans échanger l’adresse en clair.
Le fingerprinting adopte une autre méthode. Il cherche à distinguer un navigateur grâce à une combinaison de caractéristiques techniques : taille de l’écran, système d’exploitation, langue, polices disponibles, capacités graphiques ou configuration matérielle. Aucun cookie classique n’est indispensable, et l’utilisateur ne dispose pas d’un fichier précis qu’il pourrait simplement supprimer.
Le suivi côté serveur déplace encore davantage le traitement. Au lieu d’envoyer directement les informations du navigateur vers de nombreux partenaires, le site collecte les données puis les retransmet depuis sa propre infrastructure. Cette organisation peut répondre à des objectifs légitimes de sécurité ou de maîtrise technique, mais elle peut aussi rendre les flux moins visibles pour l’internaute et plus difficiles à bloquer.
Les data clean rooms permettent, quant à elles, de rapprocher plusieurs ensembles de données dans un environnement contrôlé. Elles peuvent produire des statistiques utiles sans exposer directement toutes les données brutes, mais elles servent aussi à mesurer des campagnes, rapprocher des audiences et enrichir la connaissance des consommateurs.
Certaines solutions cherchent enfin à fournir des identifiants liés à la connexion ou à la relation entre un utilisateur et son opérateur télécom. Elles sont souvent présentées comme des alternatives européennes aux cookies tiers et comme des systèmes fondés sur un consentement explicite. Leur origine européenne ne suffit pourtant pas à résoudre les questions de vie privée. Il faut encore examiner la portée de l’identifiant, les données réellement traitées, le nombre d’acteurs qui peuvent l’utiliser, sa durée de validité, les possibilités de retrait et la capacité effective de l’utilisateur à comprendre ce qu’il accepte.
Une infrastructure peut être européenne, sécurisée et juridiquement sophistiquée tout en accordant un pouvoir considérable aux acteurs capables d’identifier les internautes. La souveraineté technologique ne garantit pas automatiquement une gouvernance respectueuse des citoyens.
Les outils de protection sont eux-mêmes découragés
L’utilisateur qui tente de limiter le suivi rencontre parfois d’autres obstacles. Certains sites refusent les connexions provenant d’un VPN ou d’un proxy. Ces restrictions peuvent être justifiées par la lutte contre la fraude, les attaques automatisées, le scraping ou le contournement de restrictions territoriales. Elles peuvent également exclure des internautes ordinaires qui cherchent simplement à masquer leur adresse IP ou à réduire leur exposition.
Les bloqueurs de publicité déclenchent parfois des murs empêchant l’accès au contenu. La demande de financement d’un média peut être légitime, mais le problème apparaît lorsque le site confond le blocage de publicités avec le refus de tout financement. Un lecteur peut accepter de voir des annonces contextuelles tout en refusant d’être profilé et suivi par une multitude de partenaires.
Les gestionnaires automatiques de consentement et les signaux de refus peuvent également être ignorés. L’utilisateur doit alors répéter le même choix sur chaque site, tandis que son acceptation peut être enregistrée et transmise beaucoup plus facilement. L’industrie sait automatiser la circulation d’un consentement favorable, mais elle résiste encore souvent à l’automatisation d’un refus.
Cette asymétrie réduit la portée pratique du choix. La liberté de refuser reste théorique lorsque les outils utilisés pour l’exercer provoquent une dégradation du service, une nouvelle demande de consentement ou une interdiction d’accès.
La réglementation poursuit une cible mobile
Il serait excessif d’affirmer que le RGPD ou les règles relatives aux cookies ont créé les nouvelles techniques de suivi. L’industrie publicitaire cherchait déjà à améliorer l’identification des consommateurs et à réduire l’incertitude sur l’efficacité des campagnes.
La réglementation a néanmoins modifié les contraintes du marché. Elle a rendu certaines pratiques plus visibles, plus coûteuses et plus faciles à contester. Les acteurs économiques ont adapté leurs technologies, leurs architectures et leurs justifications afin de préserver la capacité de reconnaître les utilisateurs et de relier une exposition publicitaire à une action.
Cette adaptation ne signifie pas que les règles sont inutiles. Elle montre qu’une régulation centrée sur un outil précis risque d’être dépassée par l’évolution technique. Le véritable enjeu ne réside pas dans le fichier cookie lui-même, mais dans la capacité d’un acteur à reconnaître une personne ou un foyer, à relier plusieurs comportements et à utiliser ce rapprochement pour prédire, influencer ou mesurer une décision.
Une réglementation efficace doit donc s’intéresser à la fonction du dispositif plutôt qu’au nom de la technologie. Un identifiant stocké dans un navigateur, calculé à partir d’une empreinte technique, rattaché à un compte ou généré par une infrastructure réseau peut remplir une fonction économique comparable. La profondeur du suivi, sa persistance et la capacité de l’utilisateur à y mettre fin devraient compter davantage que la méthode utilisée.
La souveraineté ne peut pas reproduire les modèles qu’elle critique
L’Europe cherche légitimement à réduire sa dépendance envers les grandes plateformes américaines. Elle souhaite développer ses propres infrastructures de données, de cloud, d’identité et de publicité. Cette ambition ne peut toutefois pas consister à reproduire localement les modèles que l’Union critique lorsqu’ils sont exploités par des entreprises étrangères.
Une technologie européenne ne devient pas éthique en raison de son seul lieu d’origine. Elle doit être évaluée selon des critères concrets : minimisation des données, transparence réelle, possibilité d’audit, durée de l’identification, nombre d’intermédiaires, proportionnalité des traitements et facilité du refus.
La souveraineté ne consiste pas seulement à savoir où se trouve le siège social d’un fournisseur ou dans quel pays ses serveurs sont hébergés. Elle concerne aussi la distribution du pouvoir entre les plateformes, les annonceurs, les éditeurs, les opérateurs et les citoyens. Une infrastructure européenne qui retire à l’utilisateur tout contrôle pratique ne crée pas une véritable autonomie collective. Elle déplace seulement le centre de décision.
Sortir du faux choix
La publicité n’a pas besoin de disparaître pour que le suivi comportemental soit limité. La publicité contextuelle peut financer des contenus en fonction de la page consultée plutôt qu’en fonction d’un historique individuel. Les mesures d’audience peuvent être agrégées, les éditeurs peuvent réduire le nombre d’intermédiaires et des alternatives proportionnées peuvent être proposées aux utilisateurs qui refusent le profilage.
Le refus pourrait également devenir automatique, durable et opposable. Un signal exprimé dans le navigateur devrait éviter de répéter la même décision sur des centaines de sites. Le retrait devrait être aussi simple que l’acceptation, et le financement d’un contenu devrait être clairement séparé du profilage, de l’identification persistante et du partage avec des tiers.
L’Europe a réussi à rendre le cookie visible. Elle doit maintenant éviter que sa disparition rende le suivi encore plus difficile à percevoir. Le problème n’a jamais été uniquement de savoir si un petit fichier était déposé dans un navigateur. Il consiste à déterminer qui peut nous reconnaître, pendant combien de temps, à partir de quelles données, dans combien de contextes et avec quelles possibilités réelles de refus.
Le business du consentement n’a pas disparu avec le recul des cookies tiers. Il a élargi son vocabulaire, déplacé ses infrastructures et développé de nouveaux moyens d’obtenir ou de contourner l’accord de l’utilisateur. La prochaine étape de la régulation européenne ne devrait donc pas être une nouvelle guerre contre une technologie particulière. Elle devrait établir un principe durable : accepter de consulter un contenu, de mesurer son audience ou de voir une publicité ne doit jamais signifier accepter d’être suivi partout ailleurs.
Vous découvrez mon travail avec cet article ?
Je suis Fabrice Willot, consultant, auteur et conférencier spécialisé dans la souveraineté numérique européenne, la gouvernance de l’intelligence artificielle et la culture numérique. Dans la newsletter EuroTechSouveraine, j’analyse les choix technologiques qui influencent l’autonomie de l’Europe, des organisations et des citoyens.
Et vous, qu’en pensez-vous ? On en discute sur LinkedIn avant de se retrouver ici la semaine prochaine.
Merci d’avoir lu cette édition jusqu’au bout.
— Fabrice | LinkedIn | Fabrice.Willot.eu
