Vous visitez une boutique en ligne, vous regardez des baskets et, plus tard, vous trouvez des publicités similaires sur d’autres pages. Il est facile de tout attribuer aux « cookies », comme s’il s’agissait de petits programmes capables d’observer chaque mouvement. Le mécanisme réel est plus limité — et aussi plus intéressant — : un cookie est une donnée que le navigateur enregistre et peut renvoyer à un serveur lors de requêtes ultérieures.
Lorsque cette donnée est utilisée pour reconnaître un navigateur et relier son activité au fil du temps, on parle de cookie de suivi. Tous les cookies ne remplissent pas cette fonction et toutes les formes de suivi ne dépendent pas d’eux. Comprendre cette différence permet d’évaluer leurs avantages, leurs risques pour la vie privée et les options disponibles sans tomber dans de fausses promesses d’anonymat.
Idée clé : Un cookie ne surveille pas à lui seul. Il stocke des informations qui, combinées avec des serveurs, des scripts et d’autres données, peuvent servir à reconnaître un navigateur et à relier de l’activité.
Du site au navigateur : ce qui se passe en pratique
Les pages web ont besoin de conserver un certain état entre une requête et la suivante. Sans cette ressource, un site pourrait oublier que l’utilisateur s’est connecté, quelle langue il a choisie ou ce qu’il a ajouté au panier. Les cookies HTTP offrent un moyen de maintenir cette continuité : le serveur envoie des informations au navigateur, celui-ci les enregistre et les renvoie ultérieurement lorsque certaines règles de portée sont respectées. MDN décrit cet échange et ses différents usages.
Le suivi apparaît lorsque l’information fonctionne comme un identifiant relativement stable. Supposons qu’une boutique intègre un service externe de mesure ou de publicité. Ce tiers peut attribuer un identifiant au navigateur. Si le même service est intégré sur d’autres sites, il peut le reconnaître à nouveau et associer plusieurs visites au même identifiant. C’est ainsi que se construit une séquence d’activité pouvant servir à la mesure, à la personnalisation ou à la publicité.
Cela ne signifie pas que le cookie contienne le nom d’une personne ni une liste complète de tout ce qu’elle a fait. En principe, il permet de reconnaître un navigateur dans une certaine limite de portée. Relier cet identifiant à une identité civile nécessite des informations supplémentaires, par exemple un compte ou un achat.
Trois classifications qu’il convient de ne pas confondre
Les cookies sont généralement classés selon des catégories qui répondent à des questions différentes. Les confondre conduit à des conclusions telles que tout cookie persistant est publicitaire ou que tout cookie tiers est malveillant.
- Internes ou de tiers : ils indiquent la relation entre le site visité et l’origine qui dépose ou reçoit le cookie. Un cookie interne est déposé dans le contexte du site visité ; un cookie tiers provient d’un autre domaine intégré à la page. Cette seconde conception peut faciliter la reconnaissance entre sites, mais sa finalité n’est pas déterminée uniquement par son origine.
- De session ou persistants : ils décrivent la durée pendant laquelle ils restent actifs. Les premiers disparaissent généralement à la fin de la session ; les persistants peuvent être conservés jusqu’à une date d’expiration ou jusqu’à ce que l’utilisateur les supprime. La durée ne révèle pas à elle seule leur finalité d’utilisation.
- Fonctionnels, analytiques ou publicitaires : ils expriment une finalité. Un cookie peut maintenir la connexion, mémoriser des préférences, mesurer l’utilisation d’une page ou aider à sélectionner des publicités. Ces fonctions peuvent se chevaucher et doivent être évaluées avec des informations sur le contexte concret.
Les axes se croisent. Un cookie interne peut être utilisé pour de l’analyse ; un cookie persistant peut mémoriser une préférence ; et un service tiers peut remplir une fonction nécessaire, comme le traitement d’une transaction. La question pertinente n’est pas seulement « quel type de cookie est-ce ? », mais aussi qui l’utilise, pendant combien de temps, dans quel but et avec quelles données on le combine.
Distinction utile : « Tiers », « persistant » et « publicitaire » ne sont pas trois termes désignant la même chose. Ils renvoient, respectivement, à l’origine, à la durée et à la finalité.
Ce qui est observé et ce qui est déduit ne sont pas la même chose
Un système de suivi peut enregistrer qu’un identifiant a visité certaines pages, a cliqué sur un lien ou est revenu plusieurs fois. À partir de ce comportement, il peut déduire des centres d’intérêt, des habitudes ou une intention d’achat probable. L’Agence espagnole de protection des données indique que les cookies peuvent fournir des informations sur les visites, les préférences et les habitudes de navigation.
Mais une déduction n’est pas un fait biographique avéré. Visiter une page sur une maladie ne prouve pas que le visiteur en souffre ; consulter un produit ne prouve pas qu’il va l’acheter. Il peut aussi y avoir des appareils partagés, des intérêts passagers ou des classifications erronées. Les profils sont des estimations construites à partir de signaux partiels, bien que ces estimations puissent influencer les publicités ou les contenus qu’une personne voit.
Cette différence importe parce que le débat sur la vie privée ne se résume pas à savoir si une entreprise connaît un nom. Un profil peut orienter des décisions concernant un identifiant sans révéler l’identité civile. Dans le même temps, qualifier d’« identification personnelle » toute forme de reconnaissance technique exagérerait ce que chaque cookie révèle à lui seul.
Vie privée, choix et responsabilité
La publicité et la mesure peuvent financer des services, aider à mieux connaître les audiences et rendre certaines offres plus pertinentes. Reconnaître cette valeur économique n’oblige pas à accepter des pratiques opaques. Un choix véritable nécessite une explication compréhensible des finalités, des tiers concernés et des conséquences raisonnables de l’acceptation ou du refus.
Dans le cadre espagnol et européen, l’AEPD soutient que le consentement doit être libre et éclairé et qu’accepter et refuser doivent être présentés avec une visibilité équivalente. Ce critère relève d’un contexte juridique précis, il ne s’agit pas d’une règle légale universelle. En tant que principe éditorial plus large, il renvoie toutefois à une question d’autonomie : l’utilisateur a besoin d’une information suffisante pour décider, et les entreprises ont la responsabilité de ne pas dissimuler des choix importants derrière des textes confus ou des interfaces manipulatrices.
Idée clé : Le fait qu’une pratique présente une utilité commerciale n’annule pas l’obligation de l’expliquer clairement ; le fait qu’elle implique un suivi ne détermine pas non plus à lui seul ce que doit être la réaction de chaque utilisateur.
Ce que l’on peut contrôler et ce qui y échappe
Les navigateurs permettent de supprimer les cookies, de limiter leur durée, de bloquer ceux de certains sites ou de restreindre les cookies tiers. De nombreux sites proposent également des panneaux pour distinguer les cookies nécessaires, de préférences, analytiques et publicitaires. Ajuster ces paramètres peut réduire la reconnaissance fondée sur les cookies, mais il convient d’en anticiper les coûts : déconnexions de sessions, paniers vidés ou perte de préférences enregistrées.
La mesure appropriée dépend de l’objectif visé. Toute personne souhaitant réduire la personnalisation publicitaire peut refuser les catégories non essentielles ; quiconque partage un appareil préférera peut-être effacer les données ; et qui a besoin de conserver des sessions actives aura des raisons de maintenir les cookies fonctionnels. Aucune configuration ne maximise simultanément vie privée, confort d’utilisation et compatibilité.
De plus, bloquer les cookies n’équivaut pas à éliminer tout suivi. La Federal Trade Commission des États-Unis énumère d’autres technologies, telles que les pixels, les identifiants publicitaires et le fingerprinting (empreinte numérique). Un pixel peut indiquer qu’une page a été chargée ; le fingerprinting combine des caractéristiques du navigateur ou de l’appareil pour tenter de le distinguer. Des paramètres dans les liens et les redirections peuvent également intervenir. Supprimer un cookie n’efface pas ces signaux.
Avertissement pratique : Refuser ou supprimer les cookies réduit certaines formes de suivi, mais ne rend pas le navigateur anonyme et ne neutralise pas toutes les autres techniques.
Une meilleure décision commence par une meilleure question
Se demander si « les cookies sont bons ou mauvais » rassemble sous une même étiquette des fonctions et des risques distincts. Il s’avère plus utile de se demander quelles informations sont stockées, qui peut les recevoir, à quelles fins elles sont utilisées, combien de temps elles sont conservées et ce qui se passe en cas de refus. Ces questions permettent de distinguer un cookie qui maintient une session d’un autre qui aide à relier les visites entre plusieurs sites.
Les cookies de suivi sont un élément d’une infrastructure plus vaste, et non un observateur omnipotent ou un détail sans importance. Comprendre leur portée permet d’utiliser les paramètres de contrôle avec des attentes réalistes et d’exiger des explications claires de la part de ceux qui collectent et croisent les données. L’autonomie numérique ne consiste pas à tout accepter ni à tout bloquer par réflexe, mais à être en mesure de choisir en connaissant les avantages, les coûts et les limites de chaque option.
Partager