Les avis de cookies ne sont plus conformes au RGPD

Une cour d'appel de l'UE a confirmé dans un arrêt que le mécanisme appelé "Transparency and Consent Framework" (TCF) - ou Cadre de transparence et de consentement - qui permet le suivi et, par conséquent, la publicité en ligne basée sur le suivi - n'est pas compatible avec la pierre angulaire de la législation européenne en matière de protection des données : le RGPD.

En rendant cet arrêt, la Cour a confirmé la position de l'Autorité belge de protection des données, qui était parvenue à la même conclusion sur la légalité du TCF en 2022.

Sur le papier, cela semble être une grande victoire pour la vie privée, c'est ce qu'ont pensé les défenseurs de la vie privée, les utilisateurs et les services axés sur la protection de la vie privée tels qu'AdGuard. Bien que la décision ne s'applique qu'à l'Union européenne, c'est une évolution positive.

Il reste à voir comment elle affectera les grandes entreprises technologiques, telles que Google, Amazon, Microsoft, Adobe et Meta, qui sont responsables de la plus grande partie de ce type de suivi. La société Interactive Advertising Bureau (IAB), qui a créé le TCF, devra payer une amende et y apporter des modifications. Les régulateurs européens superviseront ces changements.

Pourquoi c'est important

Cela peut sembler être un tas de termes juridiques sans rapport avec la réalité, mais ce n'est pas le cas. Les gens ordinaires sont concernés parce qu'ils interagissent quotidiennement avec ce système, à leur insu. Ce système est à l'origine de ces fenêtres pop-up de consentement aux cookies bien agaçantes qui demandent (de manière implicite) l'autorisation de pister les utilisateurs. La nouvelle décision signifie en fait que ce modèle n'est plus acceptable.

L'avis de consentement relatif aux cookies va-t-il disparaître et être remplacé par quelque chose d'autre ? Le système subira-t-il des changements fondamentaux ou seule la formulation sera-t-elle modifiée ? Nous ne le découvrirons que lorsque les décisions commenceront à prendre effet. En attendant, nous continuerons à bloquer les notifications de cookies pop-up pour les utilisateurs d'AdGuard - tant que cela ne perturbe pas le site. Et si le blocage de la notification pose des problèmes, nous mettrons en œuvre des techniques alternatives pour garantir que le suivi du processus de consentement aux cookies est réduit au minimum.

Comment AdGuard gère les avis de cookies

Chez AdGuard, le filtre Avis de cookies existe depuis un certain temps, et nous bloquons les boîtes de dialogue de cookies provenant de diverses Plateformes de gestion du consentement (CMP - Consent Management Platforms) - des outils qui aident les sites Web à recueillir et à gérer le consentement des utilisateurs - conformément à notre politique de filtrage.

Ce filtre est conçu pour bloquer à la fois les avis de cookies en pop-up et les requêtes CMP sous-jacentes. Dans la plupart des cas, il suffit de bloquer ou de masquer les scripts correspondants. Mais dans des situations plus complexes, par exemple lorsqu'un site n'affiche pas de contenu tant qu'une décision de consentement n'a pas été prise, nous appliquons des techniques plus avancées :

• utilisation de scriptlets pour contourner la requête,
• la mise en place de cookies ou de clés localStorage pour simuler un choix, ou
• simulation de l'interaction avec l'utilisateur, par exemple en cliquant sur le bouton "Rejeter" (notre option préférée) ou "Accepter" (en dernier recours seulement).

Chaque fois que nous simulons un choix, en particulier "Accepter", nous nous assurons de bloquer tout script analytique chargé en conséquence, en utilisant notre filtre de Protection contre le suivi

Voici comment notre directeur technique et cofondateur d'AdGuard, Andrey Meshkov, voit cette décision et ses implications:

Notre point de vue a toujours été le suivant : même si une boîte de dialogue sur les cookies apparaît, les utilisateurs d'AdGuard choisissent clairement de se protéger contre le pistage, par exemple en activant le filtre de protection contre le suivi. Donc, même lorsque nous laissons une boîte de dialogue s'ouvrir, nous ne permettons pas le suivi. Soit nous refusons le consentement automatiquement, soit nous bloquons carrément les traqueurs. De notre point de vue, cette approche a toujours été techniquement saine et conforme. Cela dit, nous sommes depuis longtemps préoccupés par le fait que les plateformes CMP suivent souvent le comportement de l'utilisateur dans le cadre du processus de consentement lui-même - avant même que le consentement ne soit donné. Maintenant qu'il a été confirmé que le cadre actuel du TCF ne répond pas aux normes du RGPD, nous pensons que les sites web devraient commencer à considérer le blocage d'un CMP comme un signal valide et clair que l'utilisateur refuse son consentement. Nous espérons que cette décision permettra aux utilisateurs de gérer plus facilement et plus sûrement leur consentement sans avoir à naviguer dans des pop-ups confus ou manipulateurs à chaque fois qu'ils vont en ligne.