Une nouvelle offensive contre les bannières de cookies non conformes

Les militants de la protection des données personnelles qui ont fait tomber Google Analytics ont envoyé 270 projets de plaintes aux opérateurs de sites web qui utilisent des bannières de cookies non conformes au RGPD vendredi 4 mars.

Il s’agit de la deuxième série de plaintes déposées par NOYB, une ONG dirigée par Max Schrems, l’activiste autrichien devenu célèbre pour avoir lancé les procédures judiciaires qui ont fait tomber les accords de transfert de données entre l’UE et les États-Unis dans le cadre de deux procès successifs.

Les activistes de la protection des données personnelles ont récemment remporté une grande victoire, puisque deux de leurs plaintes ont incité les autorités autrichiennes et françaises chargées de la protection des données à déclarer Google Analytics illégal pour avoir transféré indûment les données personnelles de résidents de l’UE vers les États-Unis.

La bataille de NOYB contre les bannières de cookies non conformes a commencé en mai 2021, lorsque l’organisation a présenté plus de 500 plaintes. Les militants accordent aux entreprises un délai de grâce de 60 jours pour mettre leur bannière en conformité avec les exigences du règlement général sur la protection des données (RGPD).

« Nous voulons assurer la conformité, idéalement sans déposer de plainte. Si une entreprise continue toutefois à violer la loi, nous sommes prêts à faire valoir les droits des utilisateurs », a déclaré M. Schrems dans un communiqué.

Le RGPD prévoit que refuser le consentement au traitement des données personnelles ne doit pas être plus difficile que de le donner. L’initiative vise à contrer ce qu’on appelle les « dark patterns », c’est-à-dire la pratique consistant à extorquer le consentement de l’utilisateur, par exemple avec la conception d’une certaine interface.

En d’autres termes, les sites web non conformes ne proposent pas une option « oui ou non », mais font en sorte qu’il soit si difficile pour les utilisateurs de refuser leur consentement qu’ils acceptent les cookies contre leur gré. NOYB estime que 90 % des utilisateurs cliquent pour accepter dans ces cas-là, alors que seulement 3 % d’entre eux le voudraient.

Selon les militants, lors de la première série de plaintes, 42 % des entreprises ont essayé d’apporter des solutions pertinentes dans un délai d’un mois, mais l’écrasante majorité n’était toujours pas conforme.

456 plaintes ont été officiellement déposées auprès de 20 autorités de protection des données différentes, coordonnées par un groupe de travail ad hoc du Conseil européen de la protection des données (EDPB), l’organe de l’UE chargé de rationaliser l’application du RGPD.

Pour NOYB, la première série de plaintes a eu un effet dissuasif important sur d’autres sites web non conformes, qui, même s’ils ne sont pas directement concernés, ont ajusté leurs bannières pour éviter une plainte, probablement sur les conseils des fournisseurs de logiciels de bannières de cookies.

« Nous avons constaté un effet d’entraînement évident. De nombreux sites web que nous n’avons pas encore contactés ont rapidement amélioré leurs paramètres, une fois que nous avons commencé à déposer des plaintes. Cela signifie que notre approche garantissait la conformité au-delà des cas individuels », a déclaré Ala Krinickytė, avocate spécialisée dans la protection des données chez NOYB.

L’organisation a déclaré qu’elle continuerait à analyser et à examiner les bannières de cookies de près de 10 000 sites web dans les mois à venir.