Cookie wall : évaluer la liberté du consentement

Un cookie wall subordonne l’accès à un service à l’acceptation de traceurs. Une variante propose de payer pour accéder au contenu sans consentir à la publicité comportementale. En France, ce modèle ne bénéficie pas d’une autorisation générale : l’éditeur doit démontrer que le choix reste libre dans sa situation concrète. Ajouter un bouton payant ne suffit pas. Si l’alternative, son prix ou ses conséquences ne sont pas défendables, il faut revoir le modèle avant de lancer le mur.

Pour un DPO ou un dirigeant de média, la bonne décision porte sur l’offre complète : contenu accessible, données utilisées, parcours de refus et possibilité de revenir sur son choix. Le dessin du bandeau vient ensuite.

Ce que la décision de 2020 permet réellement de conclure

Le Conseil d’État, décision n° 434684 du 19 juin 2020, point 10, a censuré l’interdiction générale et absolue des cookie walls formulée par la CNIL dans un instrument de droit souple. Cette décision ne valide pas chaque dispositif particulier. Les exigences du consentement continuent à s’appliquer.

L’article 82 de la loi Informatique et Libertés exige l’accord préalable aux opérations sur le terminal qui ne bénéficient pas d’une exemption. Le financement publicitaire d’un site ne transforme pas les traceurs commerciaux en opérations strictement nécessaires au service expressément demandé.

L’Art. 7(4) du RGPD demande de tenir le plus grand compte du fait que l’accès au service est conditionné à un consentement pour des traitements qui ne sont pas nécessaires au contrat. L’Art. 7(3) garantit le retrait, aussi simple que le recueil. Ces règles imposent d’examiner les conséquences réelles du choix ; une phrase « vous consentez librement » ne les remplace pas.

Les critères français et la portée de l’avis européen

Les critères CNIL publiés en 2022 portent notamment sur une alternative réelle et équitable, le déséquilibre entre les parties et le caractère raisonnable d’un éventuel tarif. Aucun montant universel ne garantit la licéité. La CNIL demande aussi de limiter les finalités imposées à celles justifiant le financement retenu. Accepter la publicité ciblée ne doit pas entraîner mécaniquement l’acceptation d’une personnalisation éditoriale distincte.

L’avis 08/2024 du CEPD vise les modèles des grandes plateformes en ligne. Dans sa présentation officielle, le Comité estime que, dans la plupart des cas, un choix seulement binaire entre paiement et publicité comportementale ne permet pas un consentement valable. Il souligne l’importance d’une alternative équivalente gratuite sans cette publicité et d’une appréciation des contraintes subies par les personnes.

Cet avis ne constitue ni une validation des petits éditeurs ni une interdiction identique de tout abonnement. Une PME doit appliquer les règles du consentement à son propre service. L’analyse des grandes plateformes ne se transpose pas en recopiant leurs écrans ou leurs tarifs.

Cas pratique : un média de conseils de réparation

Prenons un éditeur français fictif qui publie des guides de réparation de vélos. Il envisage deux voies : accepter le suivi publicitaire ou souscrire un abonnement. Le même bouton accepterait aussi les recommandations d’articles selon la navigation et l’inscription à la newsletter. L’éditeur affirme que ce regroupement est nécessaire pour financer les contenus, mais ne possède aucune analyse du prix ni des alternatives pour ses lecteurs.

Le DPO ne valide pas ce projet. Le consentement aux courriels et la personnalisation éditoriale ont été ajoutés à un choix portant initialement sur la publicité. Le dossier ne démontre pas non plus que le paiement constitue une alternative acceptable dans ce contexte.

La direction retient une autre conception à évaluer : un accès gratuit avec annonces contextuelles, un accès avec publicité personnalisée choisi séparément et une formule payante sans publicité. Les mêmes guides restent disponibles dans les trois voies. C’est une décision propre au scénario, pas une obligation d’offrir exactement trois boutons à tous les sites. Elle supprime ici la nécessité de payer simplement pour refuser le profilage publicitaire.

Le tableau ci-dessous est la fiche de conception retenue, sans essai réel ni prix commercial inventé :

La campagne de lancement attend que ces critères puissent être démontrés. Le besoin de revenus est réel dans l’hypothèse ; il n’autorise pas à présenter comme acquis un choix dont l’exécution technique demeure inconnue.

Constituer le dossier avant de fixer une formule payante

Si l’éditeur veut revenir à une offre binaire, il doit rouvrir la décision. Le dossier ne peut pas se limiter au prix pratiqué par un concurrent. Il doit expliquer le service offert, les publics concernés, la fréquence de consultation et ce qu’une personne perd effectivement en refusant. Un tarif annuel et un usage ponctuel ne produisent pas les mêmes contraintes.

Dans notre cas, le responsable financier peut calculer les coûts et les revenus attendus à partir de ses données internes, sans transmettre les profils individuels des lecteurs au DPO. Le responsable éditorial décrit les contenus inclus et les différences entre les voies. Le DPO confronte ensuite l’offre aux conditions du consentement. Des éléments financiers documentent le modèle économique ; ils ne prouvent pas seuls que le consentement est libre.

Si l’entreprise ne dispose pas des informations permettant cette appréciation, la conclusion est « offre binaire non approuvée », et non « conformité probable puisque le montant paraît faible ». Elle conserve la voie gratuite prévue dans le scénario ou reporte le changement. Il faut pouvoir identifier quelle preuve manque et quelle personne est chargée de la fournir.

Écrire un écran qui annonce les effets réels

Le premier écran doit permettre de comprendre ce qui finance chaque voie et ce qui change pour les données. Dans le scénario, une formulation de travail serait : « Lire avec des annonces liées au contenu de la page, sans profil publicitaire », « Choisir des annonces personnalisées selon ma navigation » et « Consulter l’offre sans publicité ». Ce sont des intitulés à adapter, pas une notice juridique complète.

Les détails accessibles avant le choix doivent expliquer les destinataires, données, durées et droits correspondant réellement à chaque option. Les Art. 12 et 13 du RGPD, chapitre III, encadrent cette information. L’équipe évite « continuer gratuitement » si cette action dissimule un accord au suivi et évite de rendre l’alternative illisible sur téléphone.

La procédure du bandeau cookies décrit les contrôles du recueil. L’examen des dark patterns aide à repérer les chemins trompeurs. Un taux d’acceptation élevé ne démontre ni la compréhension ni la liberté des lecteurs.

Contrôler l’abonnement, les contenus tiers et le retrait

Payer ne signifie pas supprimer tout traitement : l’éditeur peut avoir besoin de gérer l’accès, la facturation et la sécurité sur les fondements appropriés. En revanche, l’abonnement ne vaut pas consentement au suivi publicitaire. L’Art. 5(1)(b) et (c) impose de maintenir des finalités définies et des données limitées au nécessaire.

La CNIL envisage des demandes de consentement ponctuelles pour certains contenus tiers choisis, par exemple une vidéo utilisant des traceurs non nécessaires. Ce choix doit rester spécifique, éclairé et retirable ; il ne réactive pas tous les partenaires du site. Cette possibilité figure dans ses critères d’évaluation.

Le retrait publicitaire doit être accessible sans résilier artificiellement toute relation avec l’éditeur. Dans notre scénario, il ramène à la voie gratuite contextuelle, sans supprimer les favoris ou le compte. Pour un modèle binaire différent, les conséquences sur l’accès doivent être annoncées et examinées dans l’analyse de liberté ; on ne peut pas continuer le traitement retiré au motif qu’aucune nouvelle formule n’a été achetée.

Les parcours de connexion après refus des cookies méritent une attention particulière. L’état « abonné » et l’état « consentant à la publicité » sont deux informations différentes. Les confondre annule la promesse faite au lecteur.

Recette remplie : que faire si le compte réactive le suivi ?

L’agence prépare des comptes fictifs pour les trois voies. Elle compare les opérations sur le navigateur et les transmissions serveur avant choix, après refus, après accord puis après retrait. Elle contrôle aussi une nouvelle connexion et une page contenant un contenu tiers. Une simple capture de l’écran ne démontre pas l’absence d’envoi publicitaire.

Dans notre exemple, la voie payante ne déclenche rien au premier accès, mais la connexion restaure une ancienne préférence publicitaire. La directrice refuse la livraison. L’agence bloque ce rétablissement automatique, corrige la séparation des états et examine les files d’envoi déjà alimentées. Tant que l’anomalie subsiste, le module concerné reste désactivé et la lecture sans profil reste disponible.

Le contrôle suivant doit montrer qu’un compte fictif payé conserve son refus après reconnexion, que la consultation d’une vidéo n’ouvre pas toutes les finalités et que le retrait stoppe les usages annoncés. Si des lecteurs réels ont déjà été concernés, l’éditeur traite séparément les données transmises et documente les mesures prises auprès des destinataires. La correction du prochain écran ne régularise pas rétroactivement les anciens accords.

Enfin, le dossier garde la version de l’offre, les paramètres et les constats nécessaires à la décision. Il limite les données personnelles présentes dans les preuves. Un changement de prix, de finalité ou de contenu accessible entraîne un nouvel examen des éléments touchés, sans prétendre que toute correction typographique invalide automatiquement tous les consentements.

Ce qu’il faut retenir

• Une option payante ne démontre pas à elle seule un choix libre.
• La décision française de 2020 n’a pas validé tous les cookie walls.
• Distinguez le cadre des grandes plateformes de votre analyse concrète.
• Refus, paiement, connexion et retrait doivent produire les effets annoncés.

FAQ

Un abonnement ordinaire est-il un cookie wall ?

Un accès payant n’est pas, à lui seul, un mur de traceurs. Le problème étudié ici vient de l’alternative conditionnant l’accès à un consentement au suivi.

Un tarif très bas garantit-il la conformité ?

Non. Il faut apprécier l’offre complète et le contexte. Un prix faible ne corrige pas une information trompeuse ou une finalité imposée sans justification.

La publicité contextuelle est-elle toujours sans traceurs ?

Non. Le choix des annonces peut reposer sur le contenu tandis que des fonctions annexes suivent les visiteurs. Dans le cas proposé, ces fonctions doivent être examinées et maîtrisées avant d’annoncer une voie sans profil publicitaire.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.