Un guide pratique de bannieres de consentement aux cookies

Une bannière est censée offrir un vrai choix, mais les bannières de consentement aux cookies trompeuses font l'inverse : un bouton « Tout accepter » lumineux, un lien de paramètres discret, des partenaires précochés et un refus en trois clics.

Une bannière de cookies est censée donner aux gens un véritable choix. De nombreuses bannières font le contraire : un bouton lumineux « Tout accepter », un lien de paramètres faible, des partenaires présélectionnés et un chemin de rejet qui prend trois écrans.

Ce n’est pas seulement un design ennuyeux. Cela peut rendre le consentement invalide.

Qu’est-ce qui constitue une conception trompeuse ?

Le FTC décrit les modèles sombres comme des interfaces qui trompent ou manipulent les utilisateurs dans des choix qu'ils ne feraient pas autrement. Son rapport Bringing Dark Patterns to Light couvre des tactiques telles que cacher des termes clés, rendre l'annulation difficile et inciter les consommateurs à partager des données.

Les bannières de cookies ont leurs propres modèles communs :

• Accepter se fait en un clic, rejeter est enterré.
• Les boutons de rejet utilisent des étiquettes à faible contraste ou trompeuses.
• Les finalités non essentielles sont présélectionnées.
• Les bascules prêtent à confusion ou sont inversées.
• La bannière indique « nous accordons de l'importance à votre vie privée » tout en poussant le suivi.
• Le bouton de fermeture signifie consentement plutôt que licenciement.
• Les vendeurs se cachent derrière de longues listes sans véritable résumé.
• Le site répète la bannière après refus jusqu'à ce que l'utilisateur abandonne.

Ce qu’ont dit les régulateurs européens

Le groupe de travail sur les bannières de cookies du EDPB a examiné les pratiques courantes en matière de bannières après des plaintes coordonnées. Son rapport aborde des problèmes tels que l'absence de bouton de rejet sur la première couche, les cases pré-cochées, les couleurs de boutons trompeuses et les conceptions d'intérêt légitime qui obscurcissent les droits d'opposition. Consultez le rapport du groupe de travail sur les bannières de cookies de EDPB.

Les directives de consentement du EDPB expliquent également que le consentement doit être librement donné, spécifique, éclairé et sans ambiguïté, et que les cases pré-cochées ou l'inactivité ne créent pas un consentement valide. Voir Lignes directrices 05/2020 sur le consentement.

La norme pratique est simple : refuser un suivi non essentiel devrait être aussi simple que de l’accepter, et l’interface ne doit pas faire pression, confondre ou cacher des informations importantes.

Pourquoi un consentement invalide coûte cher

Si le consentement est invalide, tout ce qui en dépend est exposé. Cela peut inclure des cookies d'analyse, des pixels publicitaires, la synchronisation d'audience, la personnalisation, les tests A/B et le partage de données en aval.

Un consentement invalide crée plusieurs risques :

• Plaintes réglementaires et application.
• Obligations de suppression des données collectées illégalement.
• Confiance brisée avec les visiteurs.
• Problèmes de contrat avec les fournisseurs.
• Des analyses polluées basées sur des données que vous n’auriez pas dû collecter.

Pour les équipes d’analyse, il existe également un problème de qualité des données. Une bannière manipulatrice peut augmenter les opt-ins, mais ce nombre ne constitue pas une mesure de la véritable préférence de l'utilisateur. C'est une mesure de pression.

Une liste de contrôle de bannière conforme

Utilisez ceci comme un examen pratique :

Meilleure copie

Mauvaise copie : "Pour améliorer votre expérience, nous et 742 partenaires utilisons des cookies. Acceptez pour continuer."

Meilleure copie : "Nous utilisons les cookies nécessaires au fonctionnement de ce site. Avec votre permission, nous utilisons également des cookies d'analyse pour comprendre l'utilisation globale du site et des cookies de marketing à des fins publicitaires. Vous pouvez accepter, refuser ou choisir des objectifs."

La meilleure version indique ce qui est nécessaire, ce qui est facultatif, pourquoi les cookies facultatifs existent et quels sont les choix dont dispose l'utilisateur.

La meilleure bannière est celle dont vous n'avez pas besoin

De nombreux sites Web disposent d'une bannière de cookies uniquement parce qu'ils ont installé des outils d'analyse et de publicité qui définissent des identifiants. Si vous supprimez ces outils ou les remplacez par des analyses sans cookies et non identifiantes, vous pouvez simplifier ou supprimer la bannière en fonction de votre juridiction et des technologies restantes.

C'est souvent mieux pour tout le monde :

• Les visiteurs ne sont pas interrompus.
• Les analyses sont moins biaisées par les décisions de consentement.
• Les opérations juridiques sont plus simples.
• Les pages se chargent plus rapidement.
• La marque ne demande pas plus de données qu’elle n’en a besoin.

Auditez votre bannière actuelle

Ouvrez votre site dans un profil de navigateur propre et enregistrez ce qui se passe :

1. Avant tout choix, vérifiez si les cookies ou pixels non essentiels se déclenchent.
2. Essayez de rejeter tout suivi et vérifiez que le choix est honoré.
3. Rechargez et confirmez que la bannière ne réapparaît pas immédiatement.
4. Ouvrez les paramètres et confirmez que les bascules sont désactivées par défaut.
5. Examinez les demandes du réseau pour les analyses, les publicités, les cartes thermiques, les widgets de discussion et les gestionnaires de balises.
6. Vérifiez si la conception mobile masque les contrôles de rejet ou de paramètres.
7. Confirmez que la politique de vie privée correspond aux outils réellement chargés.

Le consentement aux cookies n’est pas une décoration. C'est une interface juridique. Si la conception est conçue pour inciter les gens à accepter le suivi, le consentement que vous recueillez est faible et le coût de la confiance est bien réel.

La conception mobile est importante

De nombreuses bannières semblent acceptables sur ordinateur et manipulatrices sur mobile. Les contrôles de rejet tombent en dessous de la ligne de flottaison, les fenêtres de paramètres sont difficiles à faire défiler et de minuscules icônes de fermeture sont confondues avec un refus. Testez sur de vraies fenêtres mobiles, des lecteurs d'écran, la navigation au clavier et des paramètres à contraste élevé. L’accessibilité et le consentement valide sont liés : un choix qui ne peut être trouvé ou exploité n’est pas un choix significatif.

Que mesurer après avoir réparé une bannière

Attendez-vous à ce que les taux d'adhésion changent lorsque l'interface devient honnête. Ce n'est pas un échec. Surveillez la vitesse des pages, les rebonds, les conversions globales et les plaintes d'assistance. Si la couverture analytique diminue, utilisez des mesures axées sur la vie privée pour les rapports agrégés au lieu de réintroduire la pression dans le flux de consentement.

Suivi de l'audit de bannière

Après avoir repensé une bannière, vérifiez le comportement plutôt que de vous fier à l'interface. Testez avant tout choix, après rejet et après acceptation. Inspectez les cookies, le stockage local et de session, les pixels, les déclencheurs du gestionnaire de balises, les appels réseau et les événements côté serveur.

Si des analyses ou des publicités facultatives se déclenchent toujours avant un choix valide, la bannière est cosmétique. Si vous comptez sur une exemption d'analyse, documentez la configuration exacte : mesure d'audience limitée, pas de suivi inter-sites, pas de réutilisation de la publicité, rétention courte, informations utilisateur claires et aucune réorientation du fournisseur au-delà des besoins de mesure de l'éditeur.

Questions fréquentes

Qu'est-ce qui rend une bannière de cookies trompeuse plutôt que simplement mal conçue ?

Le rapport de la FTC sur les dark patterns décrit des interfaces conçues pour tromper ou manipuler les utilisateurs vers des choix qu'ils ne feraient pas autrement. Les bannières de cookies qui cachent le bouton de refus ou présélectionnent le suivi correspondent exactement à cette description. C'est l'intention du design qui compte, pas seulement son apparence.

Une case de cookies précochée compte-t-elle comme un consentement valide ?

Non. Les Lignes directrices 05/2020 du CEPD sur le consentement précisent que les cases précochées et l'inaction ne remplissent pas les critères de libre, spécifique, éclairé et univoque. Une case que personne n'a cochée activement ne peut représenter une vraie décision.

Pourquoi certaines bannières de cookies cachent-elles le bouton de refus ?

Cacher ou enterrer le bouton de refus pousse les gens vers l'option par défaut "Tout accepter". Le groupe de travail du CEPD sur les bannières de cookies a relevé exactement ce point dans son examen des plaintes, avec des couleurs de boutons trompeuses et l'absence de bouton de refus sur la première couche. Cela gonfle le taux d'acceptation sans refléter ce que les gens veulent réellement.

Quelles données restent exposées quand le consentement aux cookies s'avère invalide ?

Tout ce qui dépendait de ce consentement reste exposé, y compris les cookies d'analyse, les pixels publicitaires, la synchronisation des audiences, la personnalisation, les tests A/B et le partage de données avec des tiers. Cela peut créer des obligations de suppression pour des données collectées sans base légale.

Une bannière manipulatrice change-t-elle vraiment le nombre de personnes qui acceptent ?

Une bannière manipulatrice peut augmenter le taux d'acceptation, mais l'article considère ce chiffre comme une mesure de pression, pas de préférence réelle. Les données analytiques construites sur ces acceptations sont faussées, car le consentement qui les sous-tend ne reflète pas un vrai choix.

Que doit réussir une bannière de cookies conforme ?

La liste de contrôle demande une visibilité égale entre accepter et refuser, aucune finalité présélectionnée, un langage clair et des choix séparés pour l'analyse, la publicité, la personnalisation et les cookies fonctionnels. Elle demande aussi un retrait facile, des fournisseurs nommés, aucune pénalité en cas de refus et aucune répétition forcée de la bannière. L'absence d'un seul de ces points constitue un schéma déjà signalé par les régulateurs.

Un site peut-il légalement se passer de bannière de cookies ?

Supprimer les outils qui déposent des identifiants, ou les remplacer par une analyse sans cookies et non identifiante, peut simplifier ou retirer la bannière, selon la juridiction et les technologies restantes. Un site sans identifiant non essentiel a d'emblée moins de raisons de demander un consentement.

Comment formuler l'option de refus par rapport à celle d'acceptation ?

L'exemple de meilleure formulation indique clairement ce qui est nécessaire, ce qui est optionnel, pourquoi les cookies optionnels existent et quels choix la personne a. Il ne présente pas l'acceptation comme le seul moyen de continuer. Une formulation comme "Acceptez pour continuer" à côté de "742 partenaires" met la pression au lieu d'informer.

Pourquoi le design mobile compte-t-il pour le consentement aux cookies ?

Sur petit écran, les contrôles de refus peuvent tomber sous la ligne de flottaison, les fenêtres de paramètres peuvent être difficiles à faire défiler, et de minuscules icônes de fermeture peuvent être confondues avec un refus. Chacun de ces cas rend le choix plus difficile à trouver ou à utiliser. Un choix qu'on ne peut ni trouver ni actionner n'est pas un vrai choix, sur mobile ou ailleurs.

Que devrait changer après la correction d'une bannière de cookies ?

Il faut s'attendre à ce que les taux d'acceptation évoluent dès que l'interface cesse de faire pression, et ce n'est pas un échec. L'article recommande de surveiller la vitesse de la page, le taux de rebond, les conversions agrégées et les plaintes du support, et d'utiliser une mesure respectueuse de la vie privée pour les rapports agrégés si la couverture analytique diminue.