Au cours de ces dernières années, un nouveau type de format bien particulier, mentionnant la présence de cookies, est apparu : le « pop-up ». Les internautes y sont constamment confrontés. Ces pop-ups existaient déjà auparavant, notamment pour faire passer des publicités. Mais plus récemment, un nouveau genre de pop-up est apparu, dit « cookie wall », et lié quant à lui à l’élaboration d’un choix pour établir la gestion des données personnelles avec le fameux “j’accepte” ou “je refuse les cookies”. La collecte et le traitement de données à caractère personnel sont un enjeu majeur de ces dernières années. Depuis avril 2021, les sites web ont dû se conformer aux exigences de la CNIL, et est alors apparu une averse de pop-up liée à ce traitement des données personnelles dont l’objectif est de permettre à l’internaute d’avoir le choix d’accepter ou de refuser les cookies et de les paramétrer à leur guise. Cependant, les contraintes liées au RGPD pourraient rendre l’expérience des internautes plus complexe voire même pénible. Ce règlement a de nombreux impacts, que ce soit sur les systèmes d’informations, l’organisation interne des entreprises, et les parcours utilisateurs. Sous quelles formes les retrouve-t-on et sur quel type de device et en quoi tous ces dispositifs impactent-ils les utilisateurs du web ?
Le cas des Cookies Walls
La pratique des « cookies walls » (ou murs de traceurs) consiste à conditionner l’accès aux contenus d’un site internet ou d’une application mobile au consentement préalable de l’utilisateur aux cookies. Si ce dernier refuse, l’accès au site internet ou à l’application mobile lui est interdit. La CNIL n’interdit pas la pratique du cookie wall dès lors qu’il n’est pas porté atteinte à la liberté du consentement. Elle considère que la légitimité de cette pratique doit s’analyser au cas par cas. En particulier, la CNIL rappelle que pour déterminer si le consentement est donné librement au sens du RGPD, il convient d’apprécier :
- Si l’exécution d’un contrat, tel que la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui sont nécessaires à l’exécution du contrat ; et
- Si la personne concernée est en mesure de refuser ou de retirer son consentement sans subir de préjudice. Dans tous les cas, l’information fournie à l’utilisateur doit « clairement indiquer les conséquences de ses choix et notamment l’impossibilité d’accéder au contenu ou au service en l’absence de consentement ».
Dans son projet initial, la CNIL s’y opposait d’ailleurs, considérant que les « cookie walls » entravent le RGPD dans le sens où il s’agirait d’un chantage aux données personnelles à la limite de la légalité car bloquer l’accès à un site en cas de refus des cookies reviendrait à mettre la pression à l’internaute pour qu’il les accepte. La CNIL a finalement indiqué dans la nouvelle version de ses lignes directrices que la légalité des « cookie walls » devait être appréciée « au cas par cas ».
En d’autres termes, depuis le 1er avril, les sites web sont tenus d’informer les utilisateurs sur la finalité des cookies à travers un pop-up et doivent permettre aux visiteurs de les accepter ou de les refuser. Désormais, l’utilisateur doit faire un choix pour pouvoir accéder au contenu du site. Dans un premier temps, ces « pop-up » surgissent en plein milieu de l’écran obligeant ainsi l’internaute à agir avant de pouvoir consulter le site et ne sont plus sous forme de bandeau en pied de page comme ce fut le cas auparavant. Vient ensuite une brève explication brève de l’utilité des cookies comme nous le montre cet exemple :
Avec la possibilité de “continuer sans accepter” les cookies, “accepter et fermer” la pop up de consentement ou de paramétrer les cookies, obligeant ainsi les internautes à faire un choix avant de pouvoir consulter le site. Tant que le choix n’a pas été exprimé, le visiteur en quête d’informations ne pourra pas éponger sa soif de connaissance et sera bloqué à l’entrée du site.
Certains cookies sont exemptés de consentement et sont d’office paramétrés comme acceptés car ils sont indispensables au bon fonctionnement du site (comme par exemple : pour mémoriser le contenu de votre panier). Cependant d’autres pratiques ne semblent pas faire l’unanimité.
Payer pour éviter les cookies
Jeux-video.com : Un exemple qui a surpris grand nombre d’internautes ! En effet, le site web français spécialisé dans le jeu vidéo depuis 1997, a défrayé les chroniques depuis sa mise en place d’un cookie wall qui demandent depuis quelques mois aux internautes de choisir entre payer pour ne pas avoir affaire aux cookies ou d’accepter les cookies et naviguer gratuitement sur son site. Sur la page d’attérissage du site on y lit deux choix possibles : « accéder au site pour 2€ TTC pendant 1 mois sans cookie publicitaire » ou « accéder au site gratuitement en acceptant les cookies publicitaires » :
La question de la légitimité se pose ici. Certains diraient qu’il s’agit d’un « chantage aux données personnelles » , d’autres se demandent si ce n’est pas une entrave au Règlement général sur la protection des données (RGPD) car l’internaute ne doit pas subir de préjudice s’il donne ou retire son consentement. mais actuellement, il est quasi impossible de donner une appréciation générale.
C’est donc sans surprise que le sentiment des internautes à l’égard de ces murs de traceurs est amère. Bien que les acteurs du web soient de bonnes fois, cherchant à conjuguer protection des données et apport d’affaires, l’agacement des internautes reste à craindre.
La stratégie des Paywalls
Si le paywall ne vous dit rien, il a permis de sauver de nombreux journaux en perdition ! Créée à la base pour la presse format papier, elle fut le remède miracle contre la perte de ressources financières.Cette solution a permis de sauver de très nombreux journaux en permettant la mise en place d’une rémunération en ligne régulière. Depuis 2000, la presse papier est de plus en plus délaissée par les abonnés au profit de la presse gratuite sur internet. C’est pour pallier à ce manque de revenu que cette solution a vu le jour pour pouvoir rémunérer justement les journalistes et continuer à créer des reportages de qualité.
En sommes, il s’agit d’un système de blocage de contenu tant que l’utilisateur n’a pas réalisé une action obligatoire qui est de payer un abonnement mensuel ou annuel au média ou de payer une somme modique pour l’accès à l’article. C’est le cas par exemple du Figaro qui propose de payer 1€/mois pour lire la suite des articles :
Désormais on laisse le choix à l’internaute entre un abonnement récurrent au journal en ligne ou l’achat d’un accès à un seul exemplaire de la parution en ligne. Il existe différents types de paywall :
- Les hard paywalls : tous les contenus sont accessibles à l’internaute uniquement si celui-ci prend un abonnement. Pratique dangereuse qui peut voir son trafic baisser drastiquement puisque les internautes iront chercher les informations sur d’autres sites gratuits.
- Les softs paywalls (ou freemium) : un mélange entre le contenu gratuit et payant. Les visiteurs peuvent lire des articles gratuitement, seuls les articles premium nécessitent un abonnement. Cela permet une rémunération tout en maintenant du trafic. C’est la forme la plus utilisée dans le milieu de la presse.
- Les metered paywalls : donnent accès aux articles gratuitement dans une certaine limite de visionnage. En général l’internaute peut lire jusqu’à 3 articles par semaine puis payer pour en voir plus.
- Les paywalls dynamiques : s’adaptent au comportement des visiteurs. Ils récoltent les données sur le nombre de visites de chaque internaute, le nombre d’articles qu’ils lisent et la fréquence de lecture, analysent ces chiffres et déterminent le meilleur moment où un internaute est le plus susceptible de payer un abonnement.
- Les paywalls basés sur le don :les contenus sont gratuits, cependant, en fin d’article ou sous forme de pop-up, un message informe du temps que le rédacteur a pris pour rédiger cet article, généralement sous forme humoristique, et invite l’internaute à verser un don pour soutenir l’auteur et l’aider à créer de nouveaux contenus.
Mais il existe de nos jours, d’autres types d’actions à effectuer pour avoir accès aux articles, tels que des questionnaires à remplir, le déblocage d’un adBlocker ou le visionnage d’une publicité.
Afin de ne pas perdre de trafic tout en ayant une source de revenu, il est conseillé d’installer un paywall qui laisserait le choix aux internautes de se limiter à quelques articles et de leur proposer un abonnement à un prix très attractif, leur permettant ainsi de continuer à avoir un accès à des articles de qualité sans pour autant se ruiner et tout en rémunérant les créateurs de contenus.
Les applications iOS/Androïd et leur pédagogie vers les utilisateurs mobiles
Si vous vous demandez si les entreprises doivent traiter des données personnelles de personnes situées sur le territoire européen au travers des application mobile, la réponse est oui ! Car comme le dit la CNIL « dès lors que l’application collecte ou traite des données personnelles et qu’elle propose des fonctionnalités permettant d’assurer un service à distance à son utilisateur ou qu’elle comporte une connexion extérieure (ex : sauvegarde des données dans le cloud), le RGPD s’applique ».
Le RGPD désigne comme Responsable du traitement, la personne physique ou morale qui détermine les finalités de l’application mobile et la nature des services qu’elle assure. Il s’agit donc le plus souvent du « propriétaire de l’application ». Son rôle est de s’assurer que le traitement des données personnelles réalisé au sein de l’application mobile est conforme au RGPD.
La collecte des données personnelles via une application mobile est donc soumise à la même réglementation que celle des sites web.
Plus de contrôle pour Apple
Pour sa propre plateforme publicitaire, celle qui permet à Apple d’afficher de la publicité personnalisée dans l’App Store, Apple News ou dans l’app Bourse, la célèbre pomme ne demande pas l’autorisation de l’utilisateur. Pour celà, l’utilisateur doit lui même aller dans les réglages Confidentialité > Publicité Apple pour désactiver les « annonces personnalisées ». Ces annonces sont donc activées par défaut, sauf si l’utilisateur fait les réglages pour les désactiver. Une pratique douteuse qui ne plaît pas à la CNIL qui reconnaît qu’ Apple ne prend pas en compte la lecture et l’écriture de données sur l’appareil et devrait donc recueillir le consentement de l’utilisateur pour être en conformité avec le RGPD.
Mais avec la sortie de l’iOS 14, le porte parole d’Apple a expliqué que la confidentialité était bâtie dans les publicités distribuées sur sa plateforme et affirme que l’encadrement du suivi publicitaire inscrit dans la politique de l’App Tracking Transparency, qui va afficher dans iOS 14.5 un message demandant l’autorisation de suivi de l’utilisateur.
Face à une plainte déposée par une association de start-ups du numérique français : France Digitale, qui l’accusent d’avoir violé le RGPD concernant le droit d’opposition et la directive ePrivacy (avec notamment l’App Tracking Transparency,) l’Autorité de la concurrence a finalement décidé de ne pas prononcer de mesure conservatoire à l’encontre d’Apple, estimant que cette pratique « n’apparait pas comme une pratique abusive ».
Le SDK et les applications Androïd
Pour rappel, « SDK » ou « Software Development Kit » est une suite logicielle intégrée dans des applications mobiles (les « Applications »), en exécution de contrats conclus entre les éditeurs de celle-ci et les Sociétés, permettant généralement la géolocalisation puis l’analyse des déplacements de leurs utilisateurs, à des fins d’études marketing et d’envoi de publicités ciblées.
Il se compose donc d’un outil logiciel intégré dans le code des applications mobiles des éditeurs d’applications mobiles.
Le SDK collecte la localisation du mobinaute par rapport à des POIs (des points d’intérêts qui correspondent à des points de vente physiques). Le croisement des POIs à l’identifiant publicitaire permet à l’éditeur de SDK d’établir un profil, en fonction des habitudes de déplacement du mobinaute, qui sert à l’affichage de publicités ciblées d’annonceurs.
Les cookies et SDK se ressemblent en ce qu’il s’agit d’outils de traçage permettant d’associer des informations, pour la plupart indirectement identifiantes, à un terminal utilisé par une personne physique. Les données collectées servent notamment à la constitution de profils sociodémographiques ou pour inférer les centres d’intérêts et les intentions d’achat de la personne physique utilisatrice du terminal. Ces données sont ensuite utilisées ou commercialisées par ceux qui les collectent à des fins publicitaires pour afficher des publicités ciblées. Ainsi, pour la CNIL la nature même des opérations réalisées par les éditeurs de SDK induit la qualification de responsable de traitement. Le volume important des données traitées et leur sensibilité (notamment lorsqu’il s’agit de données de géolocalisation) sont également des critères pris en compte. En cas de non conformité au RGPD, l’addition peut être salée ! C’est le cas notamment de DailyMotion, la plateforme d’hébergement vidéo, qui a été condamné à une amande de 50 000 euros, pour atteinte à la sécurité des données de leurs utilisateurs.
Pour éviter une telle mésaventure, nous vous recommandons donc de vérifier la conformité RGPD de vos applications mobiles existantes (si elles traitent des données personnelles) et de prévoir d’inclure dans le cahier des charges de vos futures applications mobiles, lorsqu’elles traitent des données personnelles, les principes clés du RGPD car c’est un moyen de renforcer la confiance de vos clients envers votre marque et dans la qualité des services que vous leur offrez.
La privacy SandBox ou l’alternative aux cookies publicitaires
La privacy SandBox de Google est une solution qui permet de se substituer aux cookies publicitaires, notamment en passant par l’utilisation des signaux anonymisés que laisse l’utilisateur au sein du navigateur. Cela permet d’éviter les solutions de contournement non sécurisées pour les utilisateurs, comme le fingerprinting par exemple. En d’autres termes, celle solution garantira l’anonymat, et ce à des fins publicitaires.
L’initiative Privacy Sandbox développe des alternatives innovantes et centrées sur la confidentialité pour les principaux besoins des entreprises en ligne, y compris la diffusion d’annonces pertinentes.
Au final, l’utilisateur sera mieux protégé sans pour autant être déstabilisé car son expérience du web pourrait finalement être très proche de celle qu’il vit déjà aujourd’hui. Cependant, même si l’utilisateur pourra choisir ses préférences de ciblage publicitaire au sein du navigateur, il est possible que sa perception d’être traqué ne change pas.
Désormais, les pop-up publicitaires font partie intégrante du quotidien des internautes. Ce qui pourrait sembler être une forme d’agression pour certains, ne l’est pas pour d’autres qui se sentent rassurés de choisir de ne pas être tracké à tout va. Cependant, certaines conditions doivent être respectées afin d’établir une relation de confiance entre l’internaute, le site et l’annonceur tout en étant aux normes. Si le recours à ces fenêtres de consentement préserve en quelque sorte le confort de navigation, qu’en est-il du côté des acteurs du marketing qui voient tout leur mode de fonctionnement bouleversé ?
Sources :
http://master-ip-it-leblog.fr/cookies-walls-remise-en-question-du-consentement-libre-des-internautes-face-a-linfluence-du-design/
https://www.cnil.fr/fr/maitriser-vos-bibliotheques-et-vos-sdk