💻 computer science

A history of GDPR cookie banner compliance: the roles of publishers, regulators and CMPs

Cet article analyse l'évolution historique de la conformité des bannières de cookies au RGPD sur 11 364 sites web, révélant une augmentation significative des options « tout refuser » principalement impulsée par les actions des éditeurs et la pression réglementaire, tout en soulignant la nécessité d'une orientation unifiée de l'UE et d'une surveillance des plateformes de gestion du consentement pour renforcer davantage la confidentialité des utilisateurs.

Auteurs originaux : Yana Dimova, Vincent Toubiana, Tom Van Goethem, Lieven Desmet, Wouter Joosen

Publié 2026-07-01

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Yana Dimova, Vincent Toubiana, Tom Van Goethem, Lieven Desmet, Wouter Joosen

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez l'internet comme un immense marché en pleine effervescence. En 2018, un nouvel ensemble de règles appelé le RGPD a été introduit pour protéger les acheteurs (les utilisateurs) contre le pistage sans leur permission. L'outil principal utilisé pour faire respecter ces règles est la Bannière de Cookies — ce cadre contextuel que vous voyez sur presque tous les sites web et qui vous demande : « Voulez-vous que nous vous pistions ? »

Ce document est comme un documentaire de six ans (2018–2024) qui observe comment ces fenêtres surgissantes ont évolué, qui est réellement à l'origine de ces changements, et si les règles sont respectées. Les chercheurs ont examiné plus de 11 000 sites web dans 30 pays européens pour raconter cette histoire.

Voici la décomposition de l'histoire en utilisant des analogies simples :

1. Les trois personnages principaux

Le document identifie trois groupes qui influencent l'apparence et le comportement de ces fenêtres surgissantes :

Les Éditeurs (Propriétaires de sites web) : Considérez-les comme les Commerçants. Ils possèdent les sites web et sont légalement responsables de demander la permission.
Les Régulateurs (DPA) : Considérez-les comme les Agents de police. Ils écrivent les règles, donnent des conseils et infligent des amendes (des contraventions) aux commerçants qui enfreignent la loi.
Les CMP (Plateformes de gestion du consentement) : Considérez-les comme des Distributeurs automatiques de pop-up. Beaucoup de commerçants ne construisent pas leurs propres fenêtres ; ils achètent une « machine » préfabriquée auprès d'une entreprise (comme OneTrust ou Cookiebot) qui affiche automatiquement la bannière. Les chercheurs voulaient voir si ces entreprises de distributeurs automatiques aidaient les commerçants à respecter les règles.

2. La grande histoire : Les choses s'améliorent, mais lentement

Au tout début (2018), la situation était désordonnée. Seulement environ 3 % des sites web possédaient un bouton « Tout refuser ». La plupart n'avaient qu'un gros bouton « Accepter », incitant ainsi les gens à dire oui par ruse.

En 2024, la situation s'est considérablement améliorée. Désormais, environ 30 % des sites web possèdent un bouton « Refuser » clair. C'est un bond énorme, mais cela signifie que 7 sites sur 10 ne sont toujours pas totalement conformes.

L'effet de ricochet des policiers :
Le document a trouvé un lien fort entre les « Agents de police » (Régulateurs) et le fait que les commerçants fassent les choses correctement.

Exemple : En France, le régulateur (la CNIL) a sanctionné Google et Meta pour avoir des fenêtres qui rendaient difficile le fait de dire « Non ».
Le résultat : Immédiatement après les amendes, les sites web en France (et même dans d'autres pays) ont commencé à ajouter des boutons « Refuser ». C'est comme quand un policier commence à mettre des contraventions pour non-port de la ceinture de sécurité ; soudain, tout le monde commence à s'attacher.
Le contraste : Dans les pays où les régulateurs étaient silencieux ou n'émettaient pas beaucoup d'amendes (comme la Lituanie ou la Pologne), les sites web sont restés paresseux et n'ont pas ajouté de boutons « Refuser ».

3. La surprise : Les « Distributeurs automatiques » n'ont pas beaucoup aidé

Les chercheurs avaient une théorie : ils pensaient que les entreprises vendant les logiciels de pop-up (les CMP) mettraient à jour leurs machines pour être plus respectueuses de la vie privée automatiquement lorsque les lois changeraient.

Le test de réalité :
L'étude a révélé que cela ne s'est pas produit.

Certains « Distributeurs automatiques » (comme Cookiebot) ont mis à jour leurs designs pour inclure des boutons « Refuser » pour environ 55 % de leurs clients.
D'autres « Distributeurs automatiques » (comme Cookies Consent) n'ont fait cela que pour environ 13 % de leurs clients.
La conclusion : Les CMP se sont surtout contentés de rester là. Ils n'ont pas forcé leurs clients à changer. Au lieu de cela, ce sont les Commerçants (Éditeurs) qui sont réellement allés modifier les réglages, ont ouvert la machine et ont manuellement changé les paramètres pour être plus conformes. Le document suggère que si un site web possède un bon bouton « Refuser », c'est parce que le propriétaire du site a choisi de le mettre, et non parce que la société de logiciel le lui a dit.

4. L'état actuel du marché

Consolidation : Le marché de ces machines à pop-up se réduit à quelques grands acteurs. De grandes entreprises comme OneTrust et Cookiebot sont désormais utilisées par la majorité des sites web.
Le problème : Comme ces grandes entreprises définissent les paramètres par défaut, et qu'elles ne font pas toujours les choix les plus respectueux de la vie privée par défaut, de nombreux sites web se retrouvent avec de mauvais pop-ups, à moins que le propriétaire ne les corrige manuellement.

5. La conclusion finale

Le document conclut que, bien que l'internet devienne légèrement plus respectueux de la vie privée des utilisateurs, cela se produit parce que les Commerçants écoutent enfin la Police, et non parce que les entreprises de Distributeurs Automatiques sont utiles.

Les auteurs suggèrent que pour rendre l'internet véritablement sûr pour tout le monde, nous avons besoin de :

Des règles plus uniformes : Tous les « Agents de police » à travers l'Europe doivent s'accorder sur ce que sont exactement les règles, afin que les commerçants ne soient pas confus.
Une surveillance accrue des « Distributeurs Automatiques » : Les entreprises vendant les logiciels de pop-up devraient être tenues davantage responsables. Si ce sont elles qui définissent les paramètres par défaut, elles devraient être responsables de s'assurer que ces paramètres sont légaux et équitables.

En bref : les règles fonctionnent, mais seulement quand la police surveille de près, et les outils utilisés pour les suivre ont besoin d'une mise à niveau sérieuse.

Résumé technique : Une histoire de la conformité des bannières de cookies au RGPD

Énoncé du problème
Depuis la mise en œuvre du Règlement général sur la protection des données (RGPD) en mai 2018, les bannières de cookies sont devenues l'interface principale permettant aux utilisateurs d'exprimer leur consentement concernant le suivi en ligne et la publicité. Cependant, le paysage de ces bannières a été caractérisé par des interfaces non conformes, des conceptions manipulatrices (dark patterns) et une variation significative selon les régions géographiques. Bien que des recherches antérieures aient documenté la prévalence de la non-conformité et l'existence de dark patterns, l'accent a été mis de manière limitée sur les motivations derrière l'amélioration de la conformité au fil du temps. Plus précisément, les rôles de trois acteurs clés — les éditeurs (propriétaires de sites web), les régulateurs (Autorités de protection des données ou APD) et les plateformes de gestion du consentement (CMP) — dans la progression ou l'entrave de la conformité restent insuffisamment explorés dans un contexte longitudinal. Cet article cherche à analyser l'évolution historique des bannières de cookies pour déterminer quels acteurs sont responsables des tendances de conformité et comment les actions réglementaires influencent les choix de conception.

Méthodologie
Les auteurs ont mené une analyse longitudinale de 11 364 sites web dans 30 pays de l'Espace économique européen (EEE) sur une période de six ans (septembre 2018 à septembre 2024).

Sources de données : Pour surmonter les limites de l'exploration en direct (live crawling) et assurer la reproductibilité, l'étude a utilisé une approche de double archive combinant HTTPArchive (suivant la composition web depuis 2012) et la Wayback Machine. Cela a permis de rejouer rétrospectivement des instantanés de pages web historiques.
Mécanisme de relecture : Les chercheurs ont développé une méthode pour rejouer les instantanés archivés en interceptant le trafic via un proxy HTTP. Les ressources manquantes (fréquentes dans les archives en raison des limites de coupure) étaient récupérées dynamiquement via l'API de la Wayback Machine, tandis que les images et les polices de caractères étaient omises pour se concentrer sur la logique de mise en page de la bannière. Cela a assuré une relecture hors ligne et cohérente du contenu dynamique.
Sélection des sites web : L'échantillon a été dérivé de la liste Chrome User Experience Report (CrUX), filtrée par les domaines de premier niveau (ccTLD) pour garantir que les sites ciblent des audiences européennes. 500 sites web ont été sélectionnés de manière aléatoire par pays (lorsque disponible), ce qui a donné un ensemble de données total de 11 364 domaines uniques.
Détection et analyse : Un outil automatisé, étendu à partir de celui de Bouhoula et al., a été utilisé pour détecter les bannières. Le cadre employait un filtrage HTML, une inspection de l'indice z (z-index) et un modèle de langage pour identifier les termes liés aux cookies avec une précision de 100 % et un rappel de 86,9 %. L'outil classait les options de la bannière (Accepter, Refuser, Paramètres) et détectait la présence ou l'absence d'un bouton « Refuser ».
Proxy de conformité : L'étude s'est concentrée sur la présence d'un bouton « Refuser » aussi accessible que le bouton d'acceptation comme proxy primaire de la conformité au RGPD. Cette mesure objective évite les jugements juridiques subjectifs concernant les « murs de cookies » ou les interprétations nationales spécifiques, en se concentrant sur l'exigence fondamentale selon laquelle décliner le consentement doit être aussi facile qu'accepter.
Corrélation de l'activité des APD : Les auteurs ont corrélé les taux de conformité avec l'activité des APD, en extrayant des données sur les sanctions, les amendes et les directives réglementaires à partir de « GDPRhub » et du « Consent Banner Report ».

Principales contributions

Analyse longitudinale : L'article fournit une évaluation historique de six ans de l'évolution des bannières de cookies, allant au-delà des instantanés statiques pour révéler les tendances de conception respectueuses de la vie privée.
Impact réglementaire transfrontalier : Il offre une analyse granulaire des différences de conformité entre 30 pays, quantifiant la corrélation entre l'application et les directives des APD et les taux de conformité.
Évaluation de l'influence des CMP : L'étude examine 18 CMP distinctes (classées en catégories : Complètes, Plugins et Open-source) pour mesurer leur contribution spécifique à la conformité, en comparant les bannières fournies par les CMP aux solutions internes.

Résultats

Tendance générale de la conformité : Il existe une évolution positive, bien que lente, des pratiques de confidentialité. Le taux de sites web présentant à la fois des options « Accepter » et « Refuser » est passé de 2,94 % en 2018 à 30,66 % en 2024.
Changements temporels : Deux périodes significatives d'amélioration ont été identifiées :
- 2022 : Une augmentation de 7,5 % de l'adoption du bouton de refus, coïncidant avec l'action de la CNIL contre Google et Meta concernant le placement des boutons de refus.
- 2024 : Une augmentation de 8,82 %, potentiellement liée aux directives de l'EDPB et à la poursuite des mesures d'application.
Variations par pays : Les taux de conformité varient considérablement. Le Danemark, la France et l'Autriche affichent systématiquement les taux les plus élevés. À l'inverse, la Lituanie, la Pologne et la Bulgarie présentent les taux les plus bas.
Corrélation réglementaire : Une forte corrélation positive ( $r=0,62$ ) existe entre la publication de directives réglementaires et la conformité. Une corrélation positive modérée ( $r=0,42$ ) existe entre les mesures d'application (amendes/cas) et la conformité. Les pays dotés d'APD actives (ex. France, Espagne) présentent une conformité plus élevée que ceux ayant une activité limitée.
Performance des CMP :
- L'adoption des CMP est passée de 11,60 % (2018) à 40,29 % (2024), avec une consolidation du marché autour de grands acteurs comme OneTrust, Cookiebot et Google Funding Choices.
- Divergence : Les taux de conformité varient radicalement entre les CMP. En 2024, Cookiebot présentait un taux de conformité de 55,16 % (bouton de refus présent), tandis que Cookies Consent n'affichait que 13,39 %.
- Moteur de changement : L'étude a constaté que les CMP réagissaient peu à la pression réglementaire. Les améliorations de la conformité étaient principalement portées par les propriétaires de sites web (éditeurs) qui choisissaient activement de configurer ou de passer à des paramètres plus conformes. Les clients nouveaux et existants des CMP présentaient des tendances de conformité similaires, suggérant que les changements provenaient des éditeurs et non des configurations par défaut des CMP.

Signification et affirmations
L'article affirme que les améliorations observées de la conformité au RGPD ne sont pas le résultat d'une norme industrielle unifiée ou d'un comportement proactif des CMP, mais plutôt d'un processus réactif piloté par l'application réglementaire et l'initiative des éditeurs.

Rôle des régulateurs : Les auteurs soulignent que l'activité des APD est un moteur critique. Les « effets de ricochet » des cas de haut profil (comme CNIL contre Google/Meta) démontrent qu'une action réglementaire peut forcer des changements de conception rapides dans tout l'écosystème.
Rôle des CMP : L'étude remet en question l'hypothèse selon laquelle les CMP sont la solution principale pour la conformité. Elle souligne que les CMP ont peu contribué à l'amélioration des taux de conformité et fournissent souvent des interfaces par défaut divergentes, voire non conformes. Les auteurs soutiennent que les CMP manquent actuellement d'incitation suffisante pour privilégier les réglages par défaut respectueux de la vie privée plutôt que la rétention des clients ou l'« optimisation du consentement ».
Responsabilité partagée : L'article conclut que la conformité est une responsabilité partagée. Bien que les éditeurs soient les agents ultimes du changement, l'absence de surveillance réglementaire sur les CMP permet la persistance de conceptions manipulatrices. Les auteurs préconisent :
- Une collaboration et des directives plus uniformes entre les régulateurs de l'UE pour réduire la divergence d'interprétation.
- Une surveillance réglementaire des CMP, potentiellement par la clarification de la « coresponsabilité » ou en imposant des signaux de consentement techniques (par exemple, via les navigateurs) pour contraindre les interfaces de bannières non conformes.

Ce travail sert de fondation aux universitaires, aux régulateurs et aux acteurs de l'industrie pour développer des stratégies visant à mieux motiver les acteurs clés et améliorer la vie privée des utilisateurs, tout en notant que si les progrès sont positifs, des défis importants concernant la conception manipulatrice et le choix de l'utilisateur subsistent.