Cette semaine, on vous parle de cookies, et on a décidé de le faire sans y mettre de blague. Pas de gag visuel impliquant un biscuit sablé aux pépites de chocolat, pas de mème à l’ancienne sur une photo de Vladimir Poutine ou de son équivalent fictionnel – non, rien de tout ça. Déjà parce qu’en ce domaine, en fait de blagues, il y a longtemps qu’on a fait le tour (et l’on plaidera volontiers coupable d’y avoir cédé nous-mêmes à l’occasion), mais aussi, il faut bien le dire, parce que les cookies ne sont plus tellement un sujet de rigolade.
Le sac de nœuds de la réglementation
Ils ne font plus trop rire le juriste, d’abord. Cousin turbulent de la réglementation des traitements de données à caractère personnel, le corps de règles applicables aux cookies (et aux traceurs assimilés) n’est aujourd’hui qu’un désespérant sac de nœuds. Fruit d’une directive vieille de près de vingt ans, déjà révisée en 2009, à moitié transposée (la notion de « faciliter » la communication électronique, pour les cookies exemptés de consentement, ayant ainsi survécu de manière assez inexplicable dans la loi Informatique & Libertés, y compris à sa dernière réécriture), le cadre juridique applicable fait l’objet d’une double interprétation par la CNIL et le CEPD (ci-devant le G29), sur bien des points contradictoire, ou à tout le moins mal alignée.
Témoignent de cette impasse les atermoiements de ladite CNIL, dont la position historique sur le consentement par poursuite de la navigation, contra legem (il faut bien le dire) depuis l’entrée en application du RGPD (et cependant partagée par l’autorité espagnole), lui aura récemment valu une procédure contentieuse. Quant au projet de règlement dit « e-Privacy », censé venir remettre un peu d’ordre (et d’unité) dans ces transpositions et pratiques nationales de l’actuelle directive, initialement attendu pour une entrée en vigueur concomitante à celle du RGPD, il semble être resté coincé quelque part dans le tunnel législatif, au beau milieu d’une interminable bataille de lobbys.
Que faire alors, que conseiller ? Anticiper le nouveau régime du « consentement conforme RGPD » ? Encore faudrait-il savoir à quoi ce dernier peut ressembler en matière de cookies. Même les bannières et splash screens les plus détaillés, fièrement affichés par les sites désireux de se mettre à la pointe, ne font probablement pas grand-chose pour la vie privée, lorsqu’une décision éclairée prendrait plus de temps, à ce compte, que la lecture de l’article de presse dissimulé derrière l’interface – de l’importance de la forme des choix, certes, mais un choix, quel qu’il soit, requiert de fait un temps qui n’est que rarement celui d’Internet. Voici donc un juriste un peu usé, un peu miné, en tous cas pas bien jovial ni très confiant.
Le monde du traçage en péril
Mais ils ne font plus rire les internautes non plus, les cookies, ni même les éditeurs de sites – et surtout pas ceux de la presse en ligne. Quoi qu’on en pense, après la défaite cuisante des droits voisins, les revenus publicitaires générés via la monétisation des données des visiteurs demeurent le dernier nerf de la guerre pour les sites d’information et de divertissement, auxquels le prix d’un abonnement paraît de fait insuffisant à fonder un vrai modèle économique pour la majorité.
Problème : les internautes n’en veulent plus, de ce traçage, et s’y opposent à grands coups d’ad blockers. Solution : leurrer les ad blockers ? Il y en a qui ont essayé : ils ont eu des problèmes (faute de blagues cookies, on se reporte vers les valeurs sûres de l’humour à la française) – le site d’investigation Reflets dénonçait ainsi récemment le cas du site Libération, dont l’annonce spectaculaire du retrait total des traceurs dissimulait en réalité un simple trucage d’URL, ouvertement revendiqué par la Data Management Platform sous-traitante dudit journal. Et vous trouvez ça drôle ? Il faut reconnaître qu’on voit difficilement, à ce jour, de quels financements pourront se prévaloir les sites éditoriaux lorsque l’application du « vrai » consentement RGPD sera exigée, sans tomber dans le pur financement d’Etat ni le pur « mécénat » privé, également contestables en démocratie. Peut-être le marché s’adaptera-t-il, une donnée qualifiée, devenue plus rare, devenant plus chère ; peut-être un tout autre modèle émergera-t-il, pour l’heure encore inconnu.
En attendant, la patate chaude revient à notre juriste maussade. Le projet de règlement e-Privacy (encore lui) a été amendé, dans sa dernière version, pour indiquer que les cookies utilisés par les sites dont le modèle économique dépend directement de la monétisation de données relatives à leurs internautes (tels que ceux de la presse en ligne) peuvent être considérés comme « nécessaires à la fourniture d’un service à la demande de l’utilisateur », et, à ce titre, non pas exemptés de consentement, mais du moins sujets à un consentement simplifié. Une évolution audacieuse, quand on sait que le CEPD excluait clairement, il y a peu, l’application de la base légale de l’article 6.1.b) du GPDR à de tels cas de nécessité « financière ». Rira bien qui rira le dernier ?
Au fait, savez-vous pourquoi les cookies s’appellent cookies ? La théorie la plus répandue voudrait qu’il s’agisse d’une référence aux magic cookies, aussi appelés fortune cookies, qui contiennent, à l’instar de ceux qui nous intéressent, de courts messages textuels sibyllins ; ils auraient été ainsi baptisés par d’anciens programmeurs Unix. Même cette histoire n’est pas très drôle, finalement – alors on va compter sur vous : si vous avez une vraie bonne blague sur les cookies, vous savez où nous écrire ; nous publierons la meilleure dans la prochaine Maj.
