Un quart des sites Web contournent le consentement aux cookies avant que l'utilisateur ne clique
Sommaire
En bref
- Une analyse de 13 712 sites européens révèle que 24% d'entre eux activent le suivi publicitaire avant même que l'utilisateur n'interagisse avec la banneau de consentement.
- Sur ces sites, Meta, Google Ads, TikTok et d'autres plateformes reçoivent déjà les informations de visite alors que la banneau attend une réponse.
- Le problème est particulièrement flagrant chez les sites affichant des bannaux apparemment restrictifs : même après avoir cliqué « Refuser tout », le suivi persiste.
- Il s'agit d'une violation directe du Règlement général sur la protection des données (RGPD) qui exige le consentement avant le suivi, pas après.
Ce que dit la source
Chris McCabe présente une analyse empirique montrant que les sites Web contournent systématiquement les exigences légales de consentement. L'auteur a chargé 13 712 sites dans un navigateur vierge sans interaction utilisateur, et a documenté quels appels réseau se produisaient avant que l'utilisateur ne clique sur la banneau. La constatation principale : 1 662 sites (24%) avaient déjà envoyé des données de suivi à des tiers publicitaires ou stocké des cookies d'identification publicitaire, alors que la banneau attendait toujours une décision. L'article présente cela comme une violation systémique du RGPD et un exemple de mauvaise foi : les sites offrent une illusion de choix tout en exécutant le suivi sans consentement.
- Meta Pixel et Google Ads sont les plus courants parmi les trackers qui se déclenchent sans consentement, suivis de TikTok, LinkedIn et les plateformes publicitaires programmatiques.
- Sur 1 512 sites, une plateforme publicitaire a reçu un appel explicite ; sur 150 autres, seul un cookie d'identifiant publicitaire (comme le _fbp de Meta) a été stocké, sans appel enregistré.
- Les banneaux restrictifs affichant « Refuser tout » ne suffisent pas : même après ce clic, le suivi continue sur environ une visite sur quatre avec banneau.
- Environ 95% des sites testés qui suivent en font de manière incorrecte selon un consultant intervenant dans le débat ; investir dans une implémentation conforme coûterait quelques centaines d'euros mais éviterait les violations.
- Consent-O-Matic et des outils similaires du côté navigateur existent, mais n'offrent qu'une solution palliatrice tant que les sites continuent de charger les trackers en premier.
Dans les commentaires
Débat limité mais pertinent. Les commentateurs reconnaissent le problème factuel (suivi sans consentement) mais divergent sur sa cause : certains rejettent la responsabilité sur les propriétaires de sites, d'autres soulignent que le modèle technique rend l'application du RGPD compliquée en pratique.
- Un commentateur souligne l'absurdité : si un site n'utilise pas de cookies pour la publicité ou le suivi, il n'a pas besoin d'afficher de banneau, le problème vient des choix des propriétaires de sites, pas de la technologie elle-même.
- Plusieurs notent que l'UI du consentement devrait être standardisée au niveau du navigateur (comme pour la géolocalisation ou le microphone), plutôt que laissée à chaque site, ce qui permettrait une application réelle des préférences.
- Un consultant signale que le suivi est généralement mal implémenté (95% des cas selon lui), et que les sites pourraient se conformer légalement en investissant modestement dans une configuration correcte.
Alternatives citées : Consent-O-Matic (extension navigateur pour contrôle centralisé des cookies), Cookiebot (banneau mentionné dans l'analyse, non testé sur efficacité de respect du choix utilisateur)
Notre lecture
L'article documente une violation systémique bien réelle du RGPD : le choix du timing n'est pas accidentel, c'est une pratique de facto qui compte sur l'inertie réglementaire. Le débat HN reste peu approfondi, mais révèle une tension de fond : techniquement, rien n'oblige les sites à charger les trackers en premier, c'est un choix délibéré pour maximiser la collecte de données. Les entreprises qui se conforment vraiment (refuser de tracer sans consentement explicite) perdent en concurrence par rapport à celles qui contournent. Pour une DSI, cela signifie vérifier que les trackers tiers intégrés sur votre site respectent vraiment l'ordre legal (consentement, puis tracking), et pas l'inverse. Des outils d'audit existent, mais la vraie solution requiert une volonté politique interne : refuser les contrats publicitaires qui font du suivi sans consentement. À surveiller dans le contexte réglementaire : les autorités (CNIL, ICO) commencent à verbaliser ces pratiques.