Cookies : tout refuser en trente secondes sans perdre son panier

Le bandeau tombe avant même que la page ait fini de charger. D’un côté un gros bouton coloré, de l’autre une ligne grise qui ressemble à une note de bas de page. On clique sur le gros, parce qu’on voulait juste voir la robe. C’est précisément le calcul.

Refuser prend en réalité une trentaine de secondes, et cela ne vide pas le panier. Voici où appuyer, écran par écran, et ce que le refus recouvre vraiment.

La règle française tient en une phrase

Refuser doit être aussi simple qu’accepter. C’est la formule de la CNIL elle-même, reprise dans sa recommandation sur les cookies et dans les mises en demeure qu’elle a adressées à des dizaines de sites depuis 2021.

Concrètement, l’autorité considère qu’un bouton de refus placé au premier niveau du bandeau, au même endroit et avec la même apparence que le bouton d’acceptation, constitue un moyen clair d’exprimer son choix. À l’inverse, elle pointe comme non conformes la mise en avant visuelle de l’acceptation par la couleur ou la taille, un refus noyé dans le texte d’information, ou des formulations alambiquées du type « je décline les finalités non essentielles » à la place d’un simple « Refuser » ou « Continuer sans accepter ».

Autre point utile à connaître : un bandeau conforme laisse accéder au site même après un refus. Si une page vous bloque parce que vous avez dit non aux traceurs publicitaires, ce n’est pas vous qui avez mal cliqué.

Pourquoi votre panier survit au refus

C’est la crainte qui fait cliquer sur « Tout accepter » : perdre les vingt minutes passées à remplir un panier. Elle n’a pas lieu d’être, et la raison est dans le texte.

L’article 82 de la loi Informatique et Libertés soumet au consentement le dépôt de traceurs sur votre appareil, mais il en exempte une catégorie : ceux qui sont strictement nécessaires à la fourniture du service que vous avez demandé. Le cookie qui retient votre panier en fait partie, au même titre que celui qui garde votre session de connexion, celui qui mémorise la langue et ceux qui sécurisent le paiement.

Autrement dit, « Tout refuser » ne parle pas de ces cookies-là. Il parle de la publicité personnalisée, du reciblage, de la mesure d’audience non exemptée et des modules de réseaux sociaux. Ce qui vide un panier, c’est une autre manipulation : effacer les données du site dans les réglages du navigateur. À ne pas confondre.

Quand le bouton « Tout refuser » n’existe pas

Il reste des bandeaux à deux boutons seulement, « Tout accepter » et « Paramétrer ». Dans ce cas, le refus se joue au deuxième écran, et c’est là qu’on perd du monde.

Cherchez d’abord un interrupteur global en haut de la fenêtre : beaucoup de plateformes en proposent un, souvent nommé « Tout refuser » ou « Désactiver tout ». S’il n’y en a pas, les catégories se décochent une à une, en général quatre ou cinq : publicité et marketing, mesure d’audience, personnalisation du contenu, réseaux sociaux, partenaires. Les cookies dits nécessaires restent grisés, et c’est normal.

Le geste que tout le monde rate est le dernier. Après avoir décoché, il faut appuyer sur « Enregistrer mes choix » ou « Confirmer », pas sur le bouton d’acceptation qui reste souvent le plus visible de la fenêtre. Un choix non enregistré est un choix qui n’existe pas.

L’onglet « intérêt légitime », celui qu’on ne voit pas

Sur les bandeaux qui utilisent le cadre publicitaire commun à beaucoup de sites, chaque catégorie comporte deux onglets : consentement d’un côté, intérêt légitime de l’autre. Le second est presque toujours activé par défaut, et il n’apparaît qu’en dépliant une section.

Or, selon la FAQ publiée par la CNIL sur les cookies et autres traceurs, la publicité ciblée relève du consentement : l’intérêt légitime ne peut pas servir de base pour déposer un traceur publicitaire. Balayez donc aussi cet onglet-là avant d’enregistrer. C’est vingt secondes de plus, et c’est la moitié de l’affaire.

Dans une application, ce n’est plus un cookie

Une application mobile ne dépose pas de cookies. Elle s’appuie sur l’identifiant publicitaire du téléphone, un numéro que le système attribue à l’appareil et que les régies utilisent pour relier vos usages entre applications. Le réglage n’est donc pas dans l’application mais dans le système.

Sur iPhone, cela se passe dans Réglages, puis Confidentialité et sécurité, puis Suivi : désactiver l’autorisation générale empêche les applications de demander à vous suivre. Sur Android, le chemin passe par Réglages, Google, puis la section consacrée aux annonces, où l’on peut supprimer l’identifiant publicitaire. Les préférences de notifications, elles, se règlent dans l’application, et certaines valent le détour pour d’autres raisons que la vie privée.

Revenir sur son choix, plus tard

Un refus n’est pas définitif, et une acceptation non plus. La plupart des sites gardent en pied de page un lien « Gérer les cookies » ou « Préférences de confidentialité » qui rouvre exactement la même fenêtre.

Le choix lui-même est stocké dans un cookie qui a une durée de vie : la CNIL recommande de redemander l’avis de l’internaute au bout de six mois. C’est pour cela que le bandeau réapparaît sans que vous ayez rien fait, et aussi pourquoi il revient dès que vous changez de navigateur ou passez en navigation privée.

En résumé

Refuser les traceurs est un droit, pas une faveur, et la règle française veut que ce refus soit aussi accessible que l’acceptation. Le panier ne disparaît pas au passage, parce que le cookie qui le retient appartient à la catégorie exemptée de consentement. Quand le bouton de refus manque au premier écran, il se trouve derrière « Paramétrer », avec un onglet « intérêt légitime » à ne pas oublier et un bouton d’enregistrement à ne pas manquer. Et dans une application, le même arbitrage se joue dans les réglages du téléphone, sur l’identifiant publicitaire.