Vous ouvrez un site d’information. Avant même que le contenu ne s’affiche, une fenêtre surgit : « Nous respectons votre vie privée, veuillez indiquer si vous acceptez les cookies. » Vous jetez un coup d’œil distrait et cliquez sur le plus gros bouton : Tout accepter. Vous n’êtes pas le seul. Selon les statistiques de l’association européenne de défense de la vie privée noyb, à l’ère des bannières, 90 % des utilisateurs cliquent sur « Accepter », alors que seuls 3 % souhaitent réellement être pistés. Les 87 points de pourcentage de différence sont le pur fruit d’un design manipulatoire.
En juillet 2026, plus d’une dizaine d’organisations de la société civile européenne (dont noyb, EDRi, l’EFF et l’organisation de consommateurs BEUC) ont lancé une campagne : #KillTheCookieBanner — au sens propre, supprimer les bannières de cookies. Moins d’un mois après son lancement, les débats enflamment déjà Hacker News et Lobsters, comptabilisant plus de 80 points et 16 commentaires, suscitant encore plus de remue-ménage que les bannières elles-mêmes.
Figure : Visuel principal du site officiel « Stop the tracking circus » — comparant l’industrie du pistage à un cirque. Source : killthecookiebanner.eu
Les bannières ne sont pas nées avec le RGPD
La plupart des gens s’imaginent que les bannières de cookies sont une création directe du RGPD. En réalité, l’addition remonte à plus loin.
Dès 2002, l’Union européenne adopte la directive ePrivacy (directive sur la protection de la vie privée dans le secteur des communications électroniques), qui encadre le stockage d’informations sur vos appareils. En 2009, une révision y ajoute une règle fondamentale : un site web doit obtenir votre consentement préalable avant de déposer des cookies sur votre terminal (ce qui revient à glisser un ticket nominatif dans votre poche). La loi existe donc depuis 2009, mais personne ne s’en souciait — les autorités de contrôle ne vérifiaient rien, et les sites faisaient comme si de rien n’était. Et ce silence a duré huit ans.
Le 25 mai 2018, le RGPD (Règlement général sur la protection des données) entre en vigueur, prévoyant des amendes pouvant atteindre 4 % du chiffre d’affaires mondial d’une entreprise. Pris de panique, les sites web de toute l’Europe ont ajouté à la hâte des fenêtres contextuelles du jour au lendemain. Une idée reçue persiste dans le monde de la tech : cette vague de bannières aurait été imposée par le RGPD. Sur Lobsters, le développeur senior chrismorgan remet les pendules à l’heure : les premières bannières apparues vers 2017 découlent en fait de cette ancienne loi de 2009 ignorée pendant huit ans. Le RGPD n’a été que le réveil-matin qui a soudainement rappelé à tout le monde l’existence de la règle.
Pour filer la métaphore : le panneau de limitation de vitesse était là depuis huit ans sans aucun contrôle, jusqu’au jour où la police de la route a débarqué avec de lourdes amendes. Tous les conducteurs se sont alors mis à piler — mais selon qui finance les aménagements, la route s’est retrouvée couverte soit de ralentisseurs, soit de péages.
C’est à cet instant précis qu’a débuté le bras de fer entre les sites web et les utilisateurs.
Figure : Illustration officielle, tirée de la section « Les bannières cookie sont conçues pour vous piéger et vous faire renoncer à vos droits ». Source : killthecookiebanner.eu
Comment naissent les 90 % de « consentement »
À l’origine, l’esprit de la loi était limpide : « interdiction du pistage par défaut, demande d’autorisation explicite avant tout suivi ». Mais l’industrie a vite repéré la faille : la manière de demander peut s’avérer redoutablement stratégique.
« Tout accepter » s’affiche sous la forme d’un gros bouton coloré parfaitement mis en évidence, tandis que « Refuser » se résume à un petit texte gris enfoui dans un sous-menu. Certaines bannières ne proposent même aucun choix de refus direct. Bombardés quotidiennement par des dizaines de fenêtres intempestives, les utilisateurs développent un réflexe pavlovien : cliquer les yeux fermés sur le plus grand bouton.
D’un point de vue ingénierie, une bannière de cookies n’est rien d’autre qu’une machine d’optimisation du taux de conversion (CRO), conçue selon le même savoir-faire que les pages d’e-commerce rendant le bouton « Ajouter au panier » irrésistiblement voyant. De leur côté, les régulateurs ont réagi avec une lenteur effarante : chrismorgan dénonce le fait que les autorités de contrôle ont passé environ cinq ans à « inviter poliment » les sites non conformes à se corriger, plutôt que d’infliger de vraies sanctions.
L’écart entre 90 % de personnes qui acceptent et 3 % qui souhaitent réellement être pistées constitue le modèle économique de toute l’industrie des bannières.
La solution européenne : déplacer le consentement au niveau du navigateur
À l’automne 2025, la Commission européenne a intégré la révision des règles sur les cookies au sein d’un paquet législatif global (le Digital Omnibus, plan de réforme numérique globale). Parmi les mesures, l’article 88b proposait une solution simple : transférer la gestion du consentement du site web vers le navigateur.
Il vous suffirait d’indiquer une fois pour toutes dans les paramètres de votre navigateur « Je ne souhaite pas être pisté », et chaque site lirait automatiquement ce signal, faisant définitivement disparaître les bannières intempestives. Sur le plan technique, l’idée n’a rien de révolutionnaire : votre navigateur communique déjà automatiquement votre langue ou votre fuseau horaire sans jamais afficher la moindre bannière. Aux États-Unis, sous la loi CCPA de Californie, il existe déjà un précédent fonctionnel : le Global Privacy Control (GPC), pris en charge depuis longtemps par des navigateurs comme Firefox ou Brave. La proposition européenne prévoyait d’ailleurs une certaine souplesse : l’utilisateur pouvait accorder des exceptions à des sites spécifiques, et les médias d’information bénéficiaient d’une exemption globale.
Offensive et contre-offensive dans les couloirs du lobbying
C’est alors qu’ont surgi les oppositions.
Google a publié un rapport affirmant qu’un signal au niveau du navigateur aurait un impact négatif majeur sur les revenus de la publicité en ligne, équivalant à un refus en bloc des publicités par les utilisateurs. Les documents de lobbying de l’industrie ont même évoqué un enjeu commercial de 40 à 50 milliards d’euros de revenus publicitaires — un chiffre avancé par les industriels qu’il m’est impossible de vérifier. Mais quelle que soit la précision de ce montant, l’orientation était claire : la publicité comportementale (axée sur votre historique de navigation) est le carburant de tout cet écosystème.
Le lobbying s’est avéré redoutablement efficace. Plusieurs États membres, dont l’Allemagne, la France et la Pologne, ont fait pression au sein du Conseil de l’Union européenne pour retirer la disposition. Le 18 juin 2026, le Conseil a publié sa position officielle : l’article 88b en a été purement et simplement supprimé. Max Schrems, fondateur de noyb, écrivait le 23 juin sur LinkedIn : « On ne pourrait pas l’inventer : Google, l’Allemagne et la France font du lobbying pour préserver les bannières de cookies, alors même que la Commission européenne a proposé une solution simple basée sur un signal unique. Un lobbying mené contre la volonté de la grande majorité des citoyens — et qui, en plus, a porté ses fruits. »
La riposte citoyenne a débarqué en ligne au mois de juillet sous le nom #KillTheCookieBanner mentionné au début. Un détail mérite d’être clarifié : cette initiative n’emprunte pas la voie officielle de l’« Initiative citoyenne européenne » (ICE), laquelle requiert un million de signatures pour déboucher sur un projet de loi. La campagne appelle directement chaque citoyen à écrire aux députés nationaux et européens. Même l’auteur du billet sur Lobsters s’en étonnait : « Ce n’est pas vraiment une pétition, mais plutôt une invitation à contacter son député, sans objectif d’action clairement verrouillé. »
Figure : Illustration officielle, tirée de la section « Le lobbying de l’industrie du suivi pour sauver les bannières ». Source : killthecookiebanner.eu
Les voix dissonantes ne viennent pas toutes des régies publicitaires
Ce débat n’est pas manichéen, et les sceptiques avancent eux aussi des arguments crédibles.
| Position | Représentants | Argument clé |
|---|---|---|
| Pour l’éradication des bannières | Organisations de vie privée, majorité des utilisateurs | Les bannières sont un harcèlement orchestré ; 90 % des consentements sont fictifs ; les régulateurs auraient dû sévir depuis longtemps |
| Industrie publicitaire | Google et acteurs du secteur | La publicité comportementale finance la gratuité des contenus ; le signal du navigateur équivaut à condamner toute l’industrie |
| Transfuge du secteur | rkaw92 (professionnel de l’AdTech) | La seule issue est l’interdiction totale de la publicité comportementale ; le consentement n’a jamais été libre, poser la question est déjà une insulte |
| Sceptiques de la technique | Sharparam | Si les sites ne respectent même pas la préférence linguistique, pourquoi respecteraient-ils un signal de vie privée |
| Voix singulière parmi les opposants | casperin | J’aime les bannières : elles me rappellent en permanence qu’un trop grand nombre d’entreprises agissent de manière indigne |
Le témoignage le plus frappant est celui de rkaw92. Travaillant lui-même dans les technologies publicitaires (AdTech), il aurait dû défendre son secteur. Il se montre pourtant plus virulent que les défenseurs de la vie privée : le consentement pour la publicité comportementale n’a jamais été accordé librement. Il prend l’exemple de la page d’accueil de Google : lorsque vous ouvrez Google Recherche au sein de l’UE, une longue liste de paramètres de consentement s’affiche, imposant de faire défiler la page un bon moment avant de trouver le bouton « Refuser » — une méthode encore plus vicieuse que le piège des cases à cocher, destinée à rendre le refus difficilement accessible. Il formule également une prédiction inquiétante : si les bannières disparaissent, les sites se tourneront vers les murs de connexion (login walls) — vous voulez lire une info ? Connectez-vous d’abord à votre compte Google. Or, le système d’identification des grandes plateformes constitue en lui-même le plus vaste des traqueurs.
L’inquiétude des sceptiques techniques est tout aussi légitime : si les sites ignorent régulièrement les préférences linguistiques transmises par le navigateur, quelle raison aurions-nous de croire qu’ils respecteront de simples signaux de confidentialité ? Un texte de loi ne s’applique pas tout seul ; il nécessite un contrôle régulateur strict. Et personne ne sait à quelle vitesse les autorités réagiront cette fois-ci.
Si les bannières disparaissent, les données s’évaporeront-elles pour autant ?
Si la proposition finit par être adoptée : vous définissez votre choix une fois pour toutes, les bannières s’éteignent, les sites doivent respecter vos préférences et votre navigation perd au moins un canal de collecte d’informations.
Si la proposition échoue : les bannières perdureront, tout comme la récolte forcée de vos « consentements ». De plus, les données elles-mêmes ne s’évanouiront pas miraculeusement avec la fin des bannières — les éditeurs pourront simplement étendre la définition des « cookies strictement nécessaires », imposer des murs de connexion ou inciter aux abonnements par e-mail pour arriver au même résultat. La bannière n’est qu’un outil ; le pistage reste le véritable objectif.
En attendant, deux actions concrètes sont à notre portée. La première consiste à installer des extensions pour navigateur : Consent-O-Matic permet de régler vos préférences une fois pour toutes et s’occupe de fermer automatiquement les fenêtres selon vos choix ; uBlock Origin permet quant à lui de filtrer directement la grande majorité des bannières. La seconde, si vous résidez dans l’UE, est d’envoyer un message à vos représentants — les initiateurs de la campagne ont pré-rédigé des modèles de lettres.
La bataille n’est pas encore terminée : le Parlement européen ne s’est pas encore prononcé, et la décision finale pourrait s’étaler jusqu’à la fin de l’année 2026. Le fait que le Conseil ait supprimé l’article ne signifie pas son arrêt définitif : le Parlement conserve toute latitude pour le réintroduire.
L’auteur de ces lignes n’habite pas dans l’Union européenne et ne vit pas de la publicité comportementale. Si ce sujet méritait d’être documenté, c’est parce que la bannière de cookies représente sans doute le seul sujet du web sur lequel tous les internautes tombent d’accord : personne ne la supporte. Mais entre « détester les bannières » et « savoir comment les éliminer », il y a une longue traversée des couloirs du lobbying.
Les bannières ne sont que la partie émergée de l’iceberg. Le véritable enjeu est de savoir si le mot « consentement » a encore de la valeur. Nous devrions être fixés d’ici la fin de l’année.
Liens de référence :
- Initiative citoyenne Kill the Cookie Banner (initiée par des organisations de la société civile européenne)
- Discussion sur Lobsters (lobste.rs/s/aftrcr)
- GDPR Local : analyse de la réforme des bannières de cookies
- Proposition d’UE Digital Omnibus (Article 88b)
- Cybernews : couverture du mouvement anti-bannières de cookies
