Bandeaux cookies : les dark patterns dans le viseur des autorités

Les dark patterns (interfaces trompeuses) des bandeaux cookies sont des choix de design qui poussent les visiteurs à accepter les cookies : masquer l’option de refus, pré-cocher des cases, associer un bouton « Accepter » éclatant à un lien « Paramètres » à peine visible, ou considérer le défilement comme un accord. Les autorités européennes jugent non valable le consentement obtenu de cette manière, car le RGPD exige qu’il soit libre, spécifique, éclairé et univoque, et aussi simple à retirer qu’à donner.

Pourquoi les autorités s’intéressent-elles au design des bandeaux ?

Parce que la validité du consentement dépend de la manière dont vous l’avez recueilli. L’article 4(11) du RGPD définit le consentement comme une manifestation de volonté libre, spécifique, éclairée et univoque, exprimée par un acte positif clair. L’article 7 ajoute que vous devez être en mesure de démontrer le consentement, et que le retirer doit être aussi simple que le donner.

Un bandeau qui incite les internautes à cliquer sur « Accepter » ne remplit pas ces conditions. Dans ce cas, chaque cookie non essentiel déposé par la suite l’a été sans consentement valable, ce qui enfreint les règles ePrivacy, et les traitements fondés sur ces données sont dépourvus de base légale. Les violations graves du RGPD sont passibles d’amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

L’exemple le plus connu reste celui des décisions rendues par la CNIL en décembre 2021 contre Google (150 millions d’euros) et Facebook (60 millions d’euros). L’autorité française a constaté que refuser les cookies sur leurs sites était plus difficile que de les accepter. Pour d’autres cas et les enseignements à en tirer, consultez ce que les sanctions en matière de cookies enseignent aux éditeurs de sites.

Quels dark patterns les autorités ciblent-elles le plus ?

Les pratiques qui attirent le plus l’attention rendent le refus plus difficile, moins visible ou moins clair que l’acceptation. Ce tableau résume les principales et la manière de les corriger.

Dark pattern	À quoi il ressemble	Pourquoi il pose problème	Correction
Pas de refus au premier niveau	Uniquement « Tout accepter » et « Gérer les paramètres »	Refuser demande plus d’efforts qu’accepter	Placer « Tout refuser » à côté de « Tout accepter »
Cases pré-cochées	Interrupteurs de mesure d’audience et de marketing déjà activés	Pas un acte positif clair	Désactiver par défaut tous les interrupteurs non essentiels
Asymétrie visuelle	Bouton d’acceptation coloré et en gras, simple lien gris pour refuser	Oriente le choix par le design	Donner aux deux options la même taille, la même graisse et le même contraste
Consentement implicite	« En poursuivant votre navigation, vous acceptez »	Naviguer ou faire défiler la page n’est pas un acte positif clair	Ne rien déposer de non essentiel avant un véritable choix
Cookie walls	Contenu bloqué tant que le visiteur n’accepte pas	Le consentement n’est généralement pas libre	Permettre l’accès sans accepter les cookies non essentiels
Formulations vagues ou trompeuses	« Nous respectons votre vie privée » avec un simple bouton « OK »	Le consentement n’est pas éclairé	Nommer les finalités en langage clair
Retrait caché	Impossible de rouvrir les paramètres après avoir choisi	Le retrait doit être aussi simple que le consentement	Ajouter un lien permanent « Paramètres des cookies »
Harcèlement	Le bandeau réapparaît après chaque refus	Pousse les internautes à accepter	Mémoriser les refus pendant une durée raisonnable

La règle sur les cases pré-cochées découle de l’arrêt Planet49 de la CJUE (C-673/17, 2019), selon lequel une case pré-cochée que l’utilisateur doit décocher pour refuser ne permet pas d’obtenir un consentement valable. Les lignes directrices du CEPD sur le consentement ajoutent que faire défiler ou balayer une page ne vaut pas consentement, et que subordonner l’accès au contenu à l’acceptation des cookies signifie généralement que le consentement n’est pas libre.

Un bouton « Tout refuser » est-il légalement obligatoire ?

Le RGPD ne parle pas de boutons, mais les autorités exigent que le refus soit aussi simple que l’acceptation, et le moyen le plus simple de respecter cette exigence est de proposer une option de refus dès le premier niveau. Un bandeau qui permet d’accepter en un clic mais impose plusieurs étapes pour refuser est la pratique la plus susceptible de donner lieu à une sanction.

Le bouton n’a pas besoin d’indiquer « Tout refuser » mot pour mot. « Refuser », « Refuser les cookies non essentiels » ou « Continuer sans accepter » peuvent convenir si l’option est clairement visible, se situe au même niveau que le bouton d’acceptation et aboutit effectivement à ce qu’aucun cookie non essentiel ne soit déposé. Un minuscule lien « continuer sans accepter », peu contrasté et relégué dans un coin, a peu de chances d’être jugé conforme.

Qu’en est-il du bouton de fermeture et du niveau des paramètres ?

Un bouton de fermeture, souvent un « X », ne doit jamais être interprété comme une acceptation. Si vous en proposez un, considérez la fermeture du bandeau comme un refus, ou au moins comme une absence de décision, et ne déposez rien de non essentiel.

Le second niveau mérite la même vigilance. Surveillez ces pratiques plus subtiles :

• Des interrupteurs intitulés « intérêt légitime », activés par défaut et nécessitant une opposition distincte.
• Un bouton « Tout accepter » bien visible dans le panneau des paramètres, alors que « Enregistrer mes choix » se trouve sous une longue liste de fournisseurs.
• Des descriptions de catégories qui minimisent le suivi, par exemple en qualifiant les cookies publicitaires de cookies de « performance ».
• Des boîtes de dialogue de confirmation qui demandent « Êtes-vous sûr ? » uniquement lorsque la personne refuse.

Comment auditer mon propre bandeau à la recherche de dark patterns ?

Testez le bandeau comme le ferait un visiteur sceptique, sur ordinateur comme sur mobile, puis passez en revue cette checklist :

1. Les options d’acceptation et de refus figurent toutes deux au premier niveau et demandent le même nombre de clics.
2. Les deux options ont une taille, un poids visuel et un contraste équivalents.
3. Aucun interrupteur non essentiel n’est activé par défaut.
4. Aucun cookie ni aucune balise non essentiels ne se déclenchent avant un choix, ce que vous avez vérifié dans une session de navigation vierge.
5. Fermer ou ignorer le bandeau ne vaut pas acceptation.
6. Les finalités sont décrites en termes précis et clairs.
7. Un lien permanent permet aux visiteurs de modifier ou de retirer leur consentement à tout moment.
8. Les refus sont mémorisés et ne donnent pas lieu à une nouvelle sollicitation immédiate.

Pour les conditions juridiques complètes qui sous-tendent ces vérifications, consultez les conditions d’un consentement aux cookies valable selon le RGPD. Pour des recommandations de design constructives plutôt qu’une liste de choses à éviter, lisez comment concevoir un bandeau cookies conforme et agréable à utiliser.

Les règles sur les dark patterns s’appliquent-elles hors de l’UE ?

Oui, sous différentes formes. Au Royaume-Uni, l’ICO fait respecter le UK GDPR et les PECR avec des exigences de consentement très proches de celles de l’UE, et a publiquement exhorté les sites web à rendre le refus des cookies aussi simple que leur acceptation. La LGPD brésilienne exige elle aussi un consentement libre, éclairé et univoque.

La Californie suit une approche d’opposition (opt-out), mais le CPRA précise qu’un accord obtenu au moyen de dark patterns ne constitue pas un consentement, et la réglementation de la California Privacy Protection Agency exige une symétrie des choix. Un parcours d’opt-out plus difficile à suivre que l’alternative soulève les mêmes préoccupations qu’un bandeau européen sans bouton de refus. Consultez CCPA et CPRA : ce que le droit américain de la vie privée implique pour les cookies pour en savoir plus.

En résumé

Les autorités jugent un bandeau à ses effets : un visiteur peut-il refuser aussi facilement qu’il accepte, et le refus met-il réellement fin au suivi ? Supprimez tout élément de design qui fait pencher la balance, vérifiez que le comportement technique correspond aux boutons, et documentez ce que vous avez modifié et pourquoi. Des outils comme Cookiesh peuvent automatiser le scan des cookies et conserver des journaux de consentement immuables, ce qui vous aide à démontrer ce que les visiteurs ont réellement choisi.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.