Les bannières cookies devaient protéger votre vie privée. Elles ont empiré le pistage.

Les dark patterns sont illégaux, mais 77% des sites web les utilisent encore. Voici comment les entreprises exploitent la loi conçue pour vous protéger.

Je viens de charger un site de recettes pour savoir combien de temps faire rôtir un poulet.

Avant de pouvoir lire un seul mot, trois choses sont apparues :

1. Une bannière d'inscription à la newsletter
2. Un popup de consentement aux cookies
3. Une demande de « permission de notification »

J'ai cliqué sur « Tout accepter » sur la bannière de cookies sans la lire.

Vous savez pourquoi ?

Parce que je voulais juste cette fichue recette.

C'est ça le problème.

En 2009, l'Europe a adopté la Directive ePrivacy — une loi exigeant que les sites web demandent le consentement avant de vous pister avec des cookies. Le RGPD a renforcé l'application en 2018 avec des amendes pouvant atteindre 20 millions d'euros.

La loi était bien intentionnée. L'exécution a créé un monstre.

Les bannières de cookies sont maintenant sur plus de 90% des sites web. Et au lieu de protéger la vie privée, des designs manipulateurs piègent les utilisateurs pour qu'ils acceptent un pistage qu'ils ne veulent pas.

Laissez-moi vous expliquer comment nous en sommes arrivés là, pourquoi les entreprises s'en tirent, et ce que font réellement les cookies.

Ce que sont les cookies (et pourquoi ils existent)

Voici le truc : les cookies ont été inventés pour résoudre un problème légitime.

En 1994, un programmeur de Netscape nommé Lou Montulli a créé les cookies pour aider les sites web à se souvenir de vous entre les chargements de page.

Le cas d'utilisation original ? Les paniers d'achat en ligne.

Réfléchissez-y : HTTP (le protocole web) est « sans état » — ce qui signifie que chaque requête de page est indépendante. Sans cookies, si vous ajoutiez un article à votre panier puis cliquiez sur une autre page, le site web oublierait ce que vous venez de faire.

Les cookies ont résolu cela. Ce sont de petits fichiers texte stockés dans votre navigateur qui disent : « C'est l'utilisateur #12345, il a une chemise dans son panier. »

C'est vraiment utile.

Autres utilisations légitimes des cookies :

Cookies de session : Vous gardent connecté pendant que vous naviguez

Préférences : Se souviennent de votre langue, paramètres du mode sombre, etc.

Sécurité : Préviennent la fraude et vérifient que vous êtes le propriétaire du compte

Ceux-ci s'appellent « cookies de première partie » — définis par le site web que vous visitez pour des fonctionnalités qui vous bénéficient.

Personne n'a de problème avec ces cookies.

Le problème a commencé quand les annonceurs ont réalisé : Si les cookies peuvent se souvenir des paniers d'achat, ils peuvent se souvenir de tout le reste aussi.

Comment fonctionnent les cookies de pistage (la partie surveillance)

En 1996, DoubleClick (maintenant propriété de Google) a eu une révélation révolutionnaire :

S'ils plaçaient des publicités sur des milliers de sites web, ils pourraient pister les gens sur tout l'internet.

Voici comment ça fonctionne :

Étape 1 : Vous visitez SiteActualités.fr
Étape 2 : La page charge une pub de DoubleClick
Étape 3 : DoubleClick définit un cookie dans votre navigateur avec l'ID : User_ABC123

Étape 4 : Plus tard, vous visitez SiteRecettes.fr
Étape 5 : Cette page charge aussi une pub DoubleClick
Étape 6 : DoubleClick lit votre cookie : « Oh, c'est encore User_ABC123 »

Maintenant DoubleClick sait :

User_ABC123 lit des sites d'actualités et de cuisine

Ils ont visité à ces moments précis

Ils ont regardé ces articles spécifiques

Ils sont probablement intéressés par [suppositions basées sur le comportement]

Ceux-ci s'appellent « cookies tiers » — définis par des entreprises avec lesquelles vous n'avez pas choisi d'interagir, pour des objectifs qui ne vous bénéficient pas.

C'est de la surveillance.

En 2010, les entreprises publicitaires avaient construit des empires sur ce pistage. Google, Facebook et des centaines de courtiers en données suivaient les gens sur internet, construisant des profils, vendant l'accès aux annonceurs.

Et la plupart des gens n'avaient aucune idée que ça se passait.

Arrive la loi sur les cookies : Directive ePrivacy

En 2002, l'Union Européenne a adopté la Directive ePrivacy — une législation ciblant spécifiquement les communications électroniques et la vie privée.

L'Article 5(3) de la Directive ePrivacy est la vraie « loi sur les cookies ». Il stipule :

Les sites web doivent informer les utilisateurs des cookies qu'ils utilisent

Les utilisateurs doivent consentir explicitement avant que les cookies non essentiels soient définis

Le consentement doit être « donné librement » (pas forcé)

Les utilisateurs peuvent refuser les cookies sans être bloqués du site

Ceci a été modifié en 2009 pour exiger le consentement avant de définir les cookies, pas après.

Puis en 2018, le RGPD est entré en vigueur avec :

Une définition plus stricte de ce qui compte comme consentement valide

Les violations peuvent coûter 20 millions d'euros ou 4% du chiffre d'affaires mondial

Une application renforcée dans tous les États membres de l'UE

Le RGPD et la Directive ePrivacy travaillent ensemble : ePrivacy établit les règles sur les cookies, le RGPD établit les standards de consentement.

Les entreprises l'ont pris au sérieux. Meta a été condamné à 1,2 milliard d'euros. Amazon a reçu 746 millions d'euros.

La loi avait des dents.

Alors les sites web ont fait ce que la loi exigeait : ils ont ajouté des bannières de consentement aux cookies.

Et c'est là que les choses ont mal tourné.

Ce qui s'est vraiment passé : Les dark patterns sont illégaux mais partout

La loi disait que les sites web avaient besoin de consentement.

Elle disait aussi que le consentement doit être « donné librement » — ce qui signifie pas de manipulation, pas de pression, pas de design trompeur.

Les dark patterns sont illégaux.

Le RGPD exige explicitement que le consentement soit « donné librement, spécifique, informé et univoque ». Les dark patterns violent tous ces critères.

Les Autorités Européennes de Protection des Données ont confirmé que les dark patterns enfreignent la loi. Elles ont imposé des amendes massives :

Google : 90 millions d'euros pour des flux de consentement asymétriques

Amazon : 746 millions d'euros pour ne pas avoir obtenu un consentement donné librement

Meta : 395 millions d'euros pour consentement forcé

Alors pourquoi les voyez-vous encore partout ?

Parce que l'application est incohérente. Et les études montrent que 56-77% des sites web utilisent encore des dark patterns illégaux.

Voici à quoi ça ressemble :

Dark pattern #1 : Le gros bouton vert

╔══════════════════════════════════════╗
║  Nous respectons votre vie privée    ║
║                                      ║
║  [        TOUT ACCEPTER          ]   ║  ← Gros, brillant, évident
║                                      ║
║  [Gérer les préférences]             ║  ← Petit, gris, caché
╚══════════════════════════════════════╝

Le bouton « Tout accepter » est énorme, vert, et dit OUI.

L'option « Refuser » est enterrée dans un texte minuscule qui dit « Gérer les préférences », qui vous emmène vers un second écran avec 47 boutons que vous devez désactiver individuellement.

Personne ne fait ça.

Dark pattern #2 : Le faux choix

Nous utilisons des cookies pour améliorer votre expérience !
[ Accepter ] [ Refuser les non-essentiels ]

Ça semble raisonnable, non ?

Sauf que « Accepter » signifie « Accepter TOUT le pistage, la publicité et le partage de données. »

Et « Refuser les non-essentiels » signifie « Désactiver un peu de pistage mais pas tout, et votre expérience sera dégradée. »

Il n'y a pas de bouton qui dit « Tout refuser » en grosses lettres vertes.

Dark pattern #3 : Le mur de cases à cocher

Vous cliquez sur « Gérer les préférences » et vous voyez ça :

☐ Cookies publicitaires (127 partenaires)
☐ Cookies analytiques (43 partenaires)
☐ Cookies de réseaux sociaux (18 partenaires)
☐ Cookies fonctionnels (toujours actifs)
☐ Cookies de performance (91 partenaires)
☐ Cookies de ciblage (204 partenaires)

Ils sont tous cochés par défaut.

Pour les refuser, vous devez :
1. Faire défiler cette liste
2. Trouver chaque catégorie
3. Décocher chacune individuellement
4. Puis cliquer sur « Vendeurs » (les 483 entreprises)
5. Décocher chaque vendeur individuellement
6. Puis sauvegarder les paramètres

Ou vous pourriez juste cliquer sur « Tout accepter ».

Ce qui prend un clic.

Dark pattern #4 : Le voyage de culpabilité

Nous utilisons des cookies pour garder ce site GRATUIT pour vous ! En refusant les cookies, vous n'aurez pas de contenu personnalisé, et nous pourrions devoir commencer à facturer l'accès.

[ Je comprends, Tout accepter ] [ Refuser et tout gâcher ]

C'est de la manipulation émotionnelle déguisée en information.

Le résultat : La manipulation fonctionne malgré son illégalité

Voici ce qui se passe vraiment :

Les taux d'acceptation dépendent entièrement du design de la bannière :

Les études montrent :

Bannières équitables avec des boutons « Accepter » et « Refuser » égaux : 45% de taux de refus

Bannières manipulatrices cachant l'option de refus : moins de 10% de taux de refus

Une étude comportementale de 2024 suivant 1,2 million d'utilisateurs a trouvé :

25,4% ont accepté tous les cookies

65,5% ont ouvert les paramètres pour personnaliser (mais seulement 28,3% ont effectivement sauvegardé des changements)

34% ont complètement ignoré la bannière

Traduction : Quand le refus est rendu difficile, la plupart des gens acceptent ou abandonnent.

Une autre étude des consommateurs américains a trouvé que 43% acceptent tous les cookies — en baisse par rapport à 50% en 2021, montrant une résistance croissante au pistage.

Seulement 12% des utilisateurs lisent les avis de cookies. Le reste veut juste que la bannière disparaisse.

Le problème n'est pas que les utilisateurs ne se soucient pas de la vie privée.

81% des Américains disent qu'ils sont préoccupés par la façon dont les sites web utilisent leurs données.

Le problème est que les dark patterns exploitent la psychologie humaine.

Quand vous êtes agacé et voulez juste lire une recette, vous cliquez sur ce qui fait disparaître le popup. Les entreprises le savent. Elles conçoivent leurs bannières illégales pour exploiter ça.

Donc maintenant nous avons une situation où :

Les entreprises utilisent des designs illégaux mais le risque d'application est faible

Les utilisateurs ont l'impression d'avoir « consenti » (même si le consentement obtenu par manipulation n'est pas légalement valide)

Le pistage se produit à des taux similaires ou plus élevés qu'avant la loi

Les défenseurs de la vie privée peuvent prétendre que la loi existe

Tout le monde gagne sauf les utilisateurs que la loi était censée protéger.

Ce que « Accepter » signifie vraiment

Quand vous cliquez sur « Tout accepter » sur cette bannière de cookies, voici ce à quoi vous acceptez :

Pistage immédiat par :

Google Analytics

Google Ads

Facebook Pixel

Pistage Twitter

TikTok Pixel

Pistage LinkedIn

Publicité Amazon

Microsoft Clarity

Des dizaines de réseaux publicitaires

Données qu'ils collectent :

Chaque page que vous visitez sur ce site

Combien de temps vous restez sur chaque page

Où votre souris survole

Sur quoi vous cliquez

D'où vous venez (referrer)

Votre type d'appareil, OS, navigateur

Votre localisation approximative (adresse IP)

Votre historique de navigation (s'ils ont des cookies d'autres sites)

Ce qu'ils font avec :

Construire des profils comportementaux

Vous cibler avec des pubs sur tout l'internet

Vendre des insights à des courtiers en données

Partager avec des « partenaires » (527 entreprises dans certains cas)

Garder pour toujours sauf si vous demandez explicitement la suppression

Ce site de recettes que vous avez visité ? Le temps de cuisson du poulet que vous avez cherché ?

Enregistré. Profilé. Monétisé.

Et vous avez « consenti » à tout ça en un clic.

Pourquoi les navigateurs n'ont pas complètement réglé ça

Vous pensez peut-être : « Pourquoi les navigateurs ne bloquent-ils pas les cookies tiers par défaut ? »

Certains le font. Safari bloque la plupart des cookies tiers. Firefox a la Protection Renforcée contre le Pistage activée par défaut.

Chrome est différent.

Google a d'abord annoncé en 2020 qu'ils supprimeraient progressivement les cookies tiers « dans deux ans ».

Puis c'était 2022. Puis 2023. Puis 2024.

En juillet 2024, Google a annoncé qu'ils ne les bloqueront pas du tout — à la place ils ajouteront une invite de « choix ».

Pourquoi les retards ?

Parce que Google gagne plus de 200 milliards de dollars par an avec la publicité.

Et la publicité dépend du pistage.

Chrome a plus de 65% de parts de marché mondiales des navigateurs. Bloquer les cookies tiers perturberait massivement le business publicitaire de Google.

Donc ils continuent de « tester des alternatives » et « recueillir des retours » pendant que le pistage continue.

Pendant ce temps, les sites web se plaignent que la protection contre le pistage de Safari et Firefox « casse la fonctionnalité » — bien que la fonctionnalité « cassée » soit généralement juste le pistage publicitaire.

Ce que ça signifie pour vous

Voici la vérité inconfortable :

Le système actuel suppose que vous serez trop agacé pour vous protéger.

Les bannières de cookies ne sont pas conçues pour vous informer. Elles sont conçues pour vous faire cliquer sur « Tout accepter » aussi vite que possible.

La protection de la vie privée que vous pensez avoir ? Elle dépend entièrement de :
1. Si vous avez la patience de naviguer les dark patterns
2. Si vous comprenez à quoi vous consentez
3. Si vous faites confiance au site web pour respecter vos choix
4. S'ils respectent même la loi (beaucoup ne le font pas)

Et même si vous refusez les cookies sur un site, vous devez le refaire sur le site suivant. Et le suivant. Et le suivant.

C'est épuisant par conception.

Comment vraiment vous protéger

Si vous voulez vraiment contrôler le pistage (pas juste avoir l'impression de le faire), voici ce qui marche :

Option 1 : Utiliser des navigateurs axés sur la vie privée

Firefox avec Protection Renforcée contre le Pistage
Safari avec Prévention Intelligente du Pistage
Brave avec blocage intégré des pubs/pisteurs

Ceux-ci bloquent la plupart du pistage tiers automatiquement. Pas besoin de cliquer.

Option 2 : Installer des extensions de navigateur

uBlock Origin (bloque les pubs et les pisteurs)
Privacy Badger (apprend et bloque les pisteurs)
Cookie AutoDelete (supprime automatiquement les cookies quand vous fermez les onglets)

Ceux-ci vous donnent un contrôle granulaire sans gérer les bannières.

Option 3 : Changer vos paramètres de cookies

Dans les paramètres de votre navigateur :

Bloquer entièrement les cookies tiers
Effacer les cookies quand vous fermez le navigateur
Définir l'expiration des cookies à 30 jours maximum

Vous devrez vous connecter plus souvent, mais vous serez moins pisté.

Option 4 : Accepter simplement que la plupart des sites vous pistent

Ce n'est pas défaitiste — c'est réaliste.

À moins que vous utilisiez des outils de confidentialité, supposer que vous êtes pisté sur la plupart des sites web est probablement exact.

La question devient : est-ce que ça vous importe assez pour agir ?

Pour beaucoup de gens, la réponse est non. Et c'est OK. Ne vous faites juste pas d'illusions en pensant que cliquer sur « Tout accepter » vous protège.

La différence Snugg : Pas de pistage signifie pas de bannière

Voici pourquoi je vous raconte tout ça dans un article de blog sur le site de Snugg :

Nous n'avons pas de bannière de cookies.

Vous avez peut-être remarqué que quand vous avez chargé cette page, rien n'est apparu pour demander votre consentement.

Ce n'est pas parce que nous ignorons la loi.

C'est parce que nous ne vous pistons vraiment pas.

Pas de Google Analytics. Pas de Facebook Pixel. Pas de cookies publicitaires. Pas de pisteurs tiers.

Nous utilisons un cookie de première partie pour la gestion de session si vous vous connectez. C'est tout.

Selon la Directive ePrivacy et le RGPD, si vous n'utilisez que des cookies « strictement nécessaires » pour la fonctionnalité, vous n'avez pas besoin de bannières de consentement.

Vous devez juste informer les utilisateurs de ce que vous faites (ce que nous faisons dans notre politique de confidentialité).

Donc nous n'en avons pas.

C'est ça respecter vraiment la vie privée.

Pas une bannière avec des dark patterns illégaux conçue pour vous piéger à consentir.

Juste... ne pas vous pister dès le départ.

Quand nous construisons la plateforme sociale de Snugg, le même principe s'applique :

Pas de cookies de pistage

Pas de profilage comportemental

Pas de données vendues aux annonceurs

Pas d'infrastructure de surveillance

Nous n'avons pas besoin de demander le consentement pour vous pister parce que nous ne vous pistons pas.

La meilleure bannière de cookies est pas de bannière de cookies.

La vue d'ensemble : La vie privée ne devrait pas nécessiter d'expertise

Les bannières de cookies représentent un échec fondamental de la protection de la vie privée.

La vraie vie privée ne devrait pas nécessiter :

De lire des politiques de confidentialité de 40 pages

De comprendre la différence entre cookies de première et de tierce partie

De naviguer des interfaces délibérément trompeuses

D'installer des extensions de navigateur

De devenir un expert en vie privée

La vie privée devrait être la valeur par défaut.

Pas quelque chose pour lequel vous devez activement vous battre sur chaque site web que vous visitez.

La Directive ePrivacy et le RGPD ont essayé de réparer ça. Ils ont forcé la transparence. Ils ont créé la responsabilité. C'est mieux que rien.

Mais ils ont aussi créé un système où :

Les entreprises peuvent utiliser des designs illégaux car l'application est faible

Les utilisateurs se sentent autonomisés quand ils sont en fait manipulés

Le fardeau de la protection tombe sur les individus, pas sur les entreprises

La vie privée est traitée comme une fonctionnalité premium, pas un droit fondamental

C'est à l'envers.

Ce que vous pouvez faire

Si cela vous frustre (et ça devrait), voici vos options :

À court terme :

Utiliser des navigateurs et extensions qui bloquent le pistage automatiquement

Cliquer sur « Tout refuser » quand vous le voyez (même si c'est enterré)

Effacer vos cookies régulièrement

Soutenir les sites web et services axés sur la vie privée

À long terme :

Soutenir des réglementations de vie privée plus fortes (le RGPD est un début, pas une fin)

Voter avec votre portefeuille — payer pour des services qui respectent la vie privée

Exiger mieux des plateformes que vous utilisez

Construire ou soutenir des alternatives (comme ce que nous faisons avec Snugg)

Et si vous en avez assez des plateformes qui traitent votre vie privée comme une monnaie d'échange :

Rejoignez la liste d'attente Snugg.

Nous construisons des réseaux sociaux qui n'ont pas besoin de vous pister pour fonctionner. Pas de pubs. Pas d'algorithme. Pas de bannières de cookies.

Parce que la vraie vie privée ne devrait pas vous obliger à cliquer à travers des dark patterns sur chaque site web que vous visitez.

Ça devrait juste être comme les choses fonctionnent.