Recueil du consentement : les éditeurs français sont encore loin des standards de la CNIL

Article mis à jour le 3 décembre à 11h : loi cookie de 2013, intérêt légitime invoqué comme base légale.

Depuis le 25 mai 2018 et l’entrée en vigueur du RGPD, les éditeurs doivent obtenir un consentement “libre, spécifique, éclairé et univoque” de leurs internautes pour recueillir et traiter leurs données personnelles. Le 23 novembre, mind Media a passé en revue 65 sites web (la liste des url est disponible ici) d’une soixantaine d’éditeurs médias premium français, pour la plupart membres d’organisations professionnelles comme Le Geste et le SRI, afin de connaître la façon dont ils recueillent, sur desktop, le consentement de leurs visiteurs.

La majorité des éditeurs se contentent encore d’une bannière

Premier constat : près des deux-tiers de ces sites (68 %), se contentent encore d’une bannière d’information indiquant à l’internaute qu’en poursuivant sa navigation sur le site, il accepte l’utilisation de cookies. Rien d’anormal à cela, puisque “au-delà de la lecture et du dépôt de cookie à des fins publicitaires, qui nécessite un consentement depuis la loi cookie de 2013, la plupart des éditeurs ont choisi l’intérêt légitime comme base légale pour le traitement de données”, note Frédéric Grelier, le CDO de Weborama. En outre, un simple scroll sur la page suffit, en France, à recueillir valablement un consentement internaute, comme l’expliquait mi-novembre à mind Media Armand Heslot, ingénieur au service de l’expertise technologique de la CNIL (lire l’entretien sur notre site).

Du moins “sous réserve que les cookies ne soient pas déposés avant cette action positive et que l’éditeur du site web fournisse aux internautes un moyen d’opposition efficace”, soulignait ce responsable, ajoutant que cette position “est propre à la CNIL en France et pourrait être amenée à changer dans les mois qui viennent, par le biais d’une uniformisation de notre doctrine avec nos homologues européens et des évolutions à venir sur ePrivacy”.

Des consent walls encore rarement équilibrés

 32 % des sites étudiés ont anticipé cette évolution en optant pour un “consent wall” : l’internaute est obligé de préciser son consentement avant d’accéder aux contenus.

Mais, selon nos constats, au 23 novembre, un seul site avait rendu aussi facile le refus que l’accord, en proposant un bouton “Je refuse” au même niveau et à la même taille que “J’accepte”. Il s’agit de Skyrock.fr (voir image). Cliquer sur “Je refuse” donne un accès aussi direct au site que “J’accepte”.

Pas de bouton “Je refuse”, en revanche, sur les pop-up incontournables des 19 concurrents de Skyrock. A côté des boutons “J’accepte”, “Accepter”, “Ok, continuer vers le site”, “Ok”, “Ok, tout accepter” ou “Accepter et fermer”, les formules varient : “Afficher toutes les utilisations prévues” (nrj.fr, euronews.fr, eurosport.fr, francesoir.fr, lalsace.fr, melty.fr, slate.fr, topito.com), “Gérer les options” (Yahoo.fr), “Personnaliser” (telestar.fr), “En savoir plus” (lamontagne.fr, nicematin.com, marieclaire.fr), “Options” (letudiant.fr), “Modifier le paramétrage” (latribune.fr), “Paramétrez vos préférences” (challenges.fr) et “Paramétrer les cookies” (ladepeche.fr, lesnumeriques.com).

Aucun de ces boutons ne donne accès au site aussi rapidement que celui par lequel l’internaute donne son consentement. C’est seulement à partir du deuxième écran que l’option “Tout refuser” apparaît parfois. Lorsque cela arrive, il faut encore souvent cliquer sur “Valider et quitter” pour que le choix soit définitivement pris en compte. Sur lamontagne.fr et ladepeche.fr, il faudra même cliquer cinq fois sur “refuser” et une fois sur “enregistrer”.

Dans notre entretien, Armand Heslot, responsable au sein de la Cnil, soulignait pourtant l’une des exigences de bases du RGPD : “Donner son consentement doit être aussi facile que de ne pas le donner ou le retirer”.

Près de la moitié des éditeurs se sont équipés d’une CMP

Selon nos constats à partir de l’analyse du code des pages des éditeurs, 46 % des sites étudiés disposent d’une Consent management platform (CMP). Un chiffre proche de ce que constatait l’IAB France début novembre dans son baromètre de l’adoption des CMP (lire sur notre site). 

Cela ne signifie pas nécessairement que ces CMP soient déjà actives ou connectées aux régie publicitaires des éditeurs. Quantcast est la CMP qui a été choisie par le plus grand nombre de sites (13), devant Didomi (6). Et six sites s’appuient sur la CMP développée par leur éditeur (Oath, Rossel, Sipa Ouest France, Planet Media, Purch, Groupe Sud Ouest).

Plus de détails sur les CMP sur notre site.

Les CMP choisies par les sites d’information français – au 23 novembre 2018