Un site peut compter combien de fois une page a été ouverte sans savoir qui l’a visitée. Il peut aussi tenter de reconnaître que plusieurs visites appartiennent à la même personne, même s’il n’enregistre aucun cookie dans son navigateur. Ces deux pratiques sont souvent présentées comme du pistage sans cookies, mais elles ne signifient pas la même chose et n’ont pas les mêmes conséquences pour la vie privée.
L’expression décrit, à proprement parler, l’absence d’un mécanisme technique concret. Elle ne garantit pas qu’aucune donnée ne soit collectée, que personne ne puisse relier des activités ou que le visiteur soit anonyme. Pour évaluer un système, il faut examiner l’ensemble : ce qu’il observe, dans quelle finalité, pendant combien de temps il conserve les informations et s’il crée un historique individuel.
Idée clé : « Sans cookies » ne signifie pas automatiquement « sans données », « sans identification » ni « sans pistage ».
Ce que fait un cookie
Un cookie HTTP est une petite donnée qu’un serveur envoie au navigateur. Le navigateur la stocke et la renvoie généralement lors des requêtes ultérieures adressées au même site. De cette façon, un site web peut maintenir une session ouverte, mémoriser une préférence ou reconnaître un navigateur qui était déjà revenu.
Selon sa configuration, un cookie peut disparaître à la fin de la session ou subsister pendant une période déterminée.
Les cookies ne sont pas mauvais par définition. Certains permettent des fonctionnalités demandées par l’utilisateur, comme conserver le contenu d’un panier d’achat. D’autres sont employés pour l’analyse d’audience, la personnalisation ou la publicité. Le problème de vie privée ne dépend pas seulement de l’existence d’un cookie, mais de la finalité, des données associées, de la durée de conservation et de qui peut y avoir accès.
Le supprimer ferme une voie de reconnaissance. Cela ne les ferme pas toutes.
Deux manières très différentes de mesurer sans cookies
La première consiste à mesurer des événements sans créer d’identité persistante. Un site peut enregistrer qu’une page a été consultée, qu’une erreur s’est produite ou qu’une personne est arrivée depuis une source donnée. Il peut ensuite additionner ces événements pour répondre à des questions générales : quels contenus intéressent, quelles pages connaissent des défaillances ou combien de visites reçoit une rubrique.
Imaginons un média qui compte les lectures par article, écarte rapidement les données techniques et ne tente pas de reconnaître le même visiteur à des jours distincts. Il obtient des informations utiles sur le fonctionnement du site, mais renonce à reconstituer des parcours individuels détaillés.
La seconde manière se passe de cookies, mais fait appel à une autre ressource pour distinguer et corréler des utilisateurs ou des appareils. Un service peut relier des événements au moyen d’un compte connecté, d’un identifiant géré sur le serveur, d’un lien balisé ou d’une combinaison de signaux techniques. Dans ce cas, c’est l’instrument qui change, pas nécessairement la capacité de suivi.
C’est pourquoi il convient de séparer trois niveaux :
- Mesure agrégée : recherche des totaux, des tendances ou un rendement général.
- Identification ou individualisation : tente de distinguer une personne, un compte ou un appareil des autres.
- Profilage : rassemble des observations pour déduire des intérêts, des habitudes ou des caractéristiques et prendre des décisions sur la base de ce profil.
Une interface qui ne montre que des chiffres agrégés ne prouve pas à elle seule que les données d’origine étaient anonymes. Le système pourrait avoir d’abord traité des registres détaillés et les conserver ailleurs.
Comment une visite peut être reconnue sans cookies
Toutes les techniques n’ont pas la même portée ni la même précision. Les plus notables sont les suivantes :
Empreinte du navigateur
Le fingerprinting combine des caractéristiques observables du navigateur ou de l’appareil — comme les configurations, les capacités et d’autres traits techniques — pour tenter de le distinguer. La concordance peut permettre de corréler l’activité entre plusieurs sessions sans déposer de cookie.
Ce n’est pas une identification infaillible : les appareils changent, certaines configurations sont courantes et les navigateurs peuvent limiter les signaux. Malgré tout, le W3C explique que l’empreinte peut contribuer à identifier ou réidentifier des utilisateurs et qu’il est difficile de l’atténuer totalement.
Adresse IP et données de réseau
L’adresse IP fait partie normale de la communication sur Internet. Elle peut aider à détecter des abus, à estimer une localisation approximative ou à regrouper des requêtes. Mais elle ne correspond pas nécessairement à une personne : elle peut être dynamique, partagée par plusieurs personnes ou appartenir à un réseau intermédiaire.
Son effet dépend de la question de savoir si elle est conservée complète, raccourcie, combinée à d’autres signaux ou utilisée pour relier des événements. Une adresse IP isolée et rapidement écartée n’offre pas la même capacité qu’une adresse IP enregistrée avec des horaires, des pages, un compte et des caractéristiques de l’appareil.
Comptes, liens et identifiants du serveur
Lorsque quelqu’un se connecte à un compte, le compte lui-même permet de relier les actions. Un lien envoyé par courriel peut contenir un paramètre unique. Le serveur peut également attribuer des identifiants et associer des événements successifs, même si le navigateur n’enregistre aucun nouveau cookie.
Déplacer le traitement du navigateur vers le serveur ne fait pas disparaître ses conséquences. La question pertinente reste de savoir si le système peut reconstituer le comportement d’une personne et avec quelles limites.
Avertissement : remplacer le nom par un code ne rend pas les données anonymes si ce code permet encore de reconnaître, d’individualiser ou de relier à nouveau quelqu’un.
Ce que l’on gagne et ce que l’on perd
Une analyse conçue pour ne pas maintenir d’identifiants persistants peut réduire la capacité de reconstituer l’activité d’une personne. Si elle limite en plus les données recueillies, évite les recoupements avec d’autres sources et conserve les informations pendant peu de temps, elle diminue le risque pour la vie privée individuelle.
Cette décision entraîne un coût fonctionnel. Sans identifiant stable, il devient plus difficile de savoir si deux sessions appartiennent au même visiteur, de reconstituer de longs parcours ou d’attribuer une action à un contact antérieur. Les chiffres peuvent être moins détaillés, mais ils servent toujours pour répondre à des interrogations raisonnables sur l’audience, la performance et le contenu.
Il existe aussi des usages légitimes qui nécessitent d’observer des signaux techniques, comme la sécurisation d’un compte ou la détection de fraudes. Cela n’annule pas l’impact sur la vie privée. Sécurité et vie privée sont des objectifs liés, mais distincts : une mesure peut améliorer l’une tout en exigeant, dans le même temps, des limites et des explications pour protéger l’autre.
Il n’existe donc pas de frontière morale simple entre « avec cookies » et « sans cookies ». Un système doté d’un cookie de session courte et d’une finalité claire peut être moins intrusif qu’un autre système sans cookies qui construirait une empreinte persistante et la partagerait avec des tiers.
Comment évaluer un outil ou un site
Au lieu d’accepter une étiquette commerciale, il convient de formuler des questions concrètes :
- Quelles données recueille-t-il : pages vues, adresse IP, caractéristiques de l’appareil, compte ou localisation ?
- Compte-t-il des événements ou tente-t-il de reconnaître le même utilisateur d’une session à l’autre ?
- Croise-t-il les informations avec d’autres sites, services ou bases de données ?
- Transmet-il des données à des tiers ou les utilise-t-il à des fins supplémentaires ?
- Pendant combien de temps conserve-t-il les registres détaillés ?
- Permet-il de refuser l’utilisation non nécessaire sans dégrader le service sans justification ?
- Explique-t-il ses pratiques de manière compréhensible et propose-t-il des contrôles réels ?
Ces questions aident également à distinguer l’anonymisation de la pseudonymisation. Les données anonymes ne devraient pas permettre d’identifier une personne par des moyens raisonnables. Les données pseudonymisées ne font que remplacer les identifiants directs et peuvent encore être associées ou réidentifiées sous certaines conditions.
Les obligations de consentement et de transparence varient selon la juridiction, la finalité et la technique employée. C’est pourquoi affirmer qu’une solution « sans cookies » ne nécessite pas de consentement est une affirmation trop générale. Des autorités comme la CNIL française réservent des régimes spécifiques aux mesures d’audience ayant une finalité limitée, sans croisements indus et avec une conservation restreinte ; ces conditions ne doivent pas être généralisées automatiquement à d’autres pays.
La question de fond est le contrôle
La valeur de la vie privée ne consiste pas à empêcher toute mesure. Elle consiste à limiter les observations inutiles et à préserver un espace dans lequel les personnes peuvent agir sans être soumises à un profil opaque. Quand une organisation en sait beaucoup sur un individu et que celui-ci en sait peu sur l’organisation, il apparaît une asymétrie qui réduit sa capacité de choisir.
De ce point de vue, la minimisation, la transparence et les choix effectifs comptent davantage que le nom de la technologie. Le droit à la vie privée perd de sa portée pratique si la seule information disponible est un label ambigu et que l’utilisateur ne peut pas comprendre ce qui se passe.
Critère pratique : une mesure respectueuse ne se définit pas seulement par ce qu’elle élimine, mais par ce qu’elle choisit de ne pas déduire, de ne pas conserver et de ne pas partager.
Le pistage sans cookies peut être une amélioration réelle lorsqu’il évite les identités persistantes et réduit les données au minimum nécessaire. Il peut aussi être une substitution cosmétique s’il conserve la capacité de suivre et de profiler les personnes par d’autres voies. La différence ne se situe pas dans l’étiquette : elle réside dans l’architecture complète et dans le degré de contrôle qui demeure entre les mains de l’individu.
Partager