Depuis plusieurs années, certains acteurs du numérique développent des alternatives aux cookies « tiers » pour le ciblage publicitaire. À l’origine, les cookies ont été créés pour permettre la tenue de sessions de navigation, en conservant par exemple à disposition de l’internaute un panier d’achat. Lorsqu’un utilisateur visite un site web, il consulte en pratique un « domaine » qui se termine en général par une extension de type .com ou .fr (par exemple monsite.com est un domaine). Les contenus du site visité peuvent être transmis depuis le domaine que l’utilisateur visite, ou bien via d’autres domaines qu’il n’a pas lui-même visité, et qui appartiennent à des tiers. En effet, chaque cookie est associé à un domaine et envoyé ou reçu à chaque fois que le navigateur va « appeler » ce domaine.
Les cookies « internes » sont déposés par le site consulté par l’internaute, plus précisément sur le domaine du site. Alors que les cookies « internes » ne permettent un suivi de l’internaute que sur le site web qui les dépose, les cookies « tiers » permettent de tracer le comportement de l’internaute sur tous les sites qui les intègrent. Cela en fait un outil largement utilisé par les nombreux acteurs de l’industrie publicitaire en ligne. Ces informations peuvent ensuite servir à créer et enrichir un profil, parfois très détaillé et intrusif, de cet utilisateur.
De nombreux sites web tirent une grande partie de leurs revenus de la vente d’espace de publicités ciblées. La réalisation de ces transactions fait intervenir une multitude d’acteurs et a conduit au développement d’un nouveau pan du secteur de la publicité, généralement dénommée « AdTech » (pour « advertising technologies » ou technologies publicitaires). L’utilisation des cookies « tiers » est aujourd’hui remise en cause par certains navigateurs qui cherchent à limiter les possibilités de traçage des acteurs publicitaires.
Le précurseur en la matière fut le navigateur Safari d’Apple qui, avec le lancement en 2017 de son programme ITP (« Intelligent Tracking Prevention » » ou « prévention intelligente de pistage » en français), a développé des fonctionnalités du navigateur spécifiquement conçus pour limiter certaines pratiques des réseaux publicitaires. Fin 2018, c’est au tour de Firefox de lancer une initiative similaire dénommée « ETP » (« Enhanced Tracking Protection » ou « prévention améliorée de pistage » en français). Enfin, en août 2019, Google, dont le navigateur Chrome dispose d’une part de marché d’environ 70 % en 2021, a également annoncé le lancement de son projet « Privacy Sandbox » (« bac à sable vie privée » en français) dont l’objectif est de limiter le recours aux cookies pour la publicité et de proposer une série de solutions techniques pour conserver les fonctionnalités publicitaires qui nécessitent aujourd’hui des cookies.
Toutefois, la fin du recours aux cookies tiers ne signifie pas que les individus ne seront plus tracés sur le web, notamment à des fins publicitaires. Les données sensibles sont particulièrement protégées par le RGPD : leur collecte et leur traitement, en principe interdits, appellent donc à la plus grande vigilance. Internet fait partie intégrante de notre vie quotidienne. Pour de nombreuses personnes, naviguer sur le web est une activité courante. Au quotidien, les Français y consacrent 2 h 18 par jour en moyenne. Chaque site visité collecte des informations sur notre activité en ligne via ce que l’on appelle des cookies. Leur utilisation soulève souvent des questions en matière de confidentialité ou encore de sécurité.
Les cookies propriétaires et les cookies tiers
Les cookies propriétaires ou first-party sont déposés directement par l’éditeur du site parcouru par l’internaute, sur le domaine du site. Ils servent à garantir le bon fonctionnement du site, à récolter des données à caractère personnel, à suivre le comportement des utilisateurs et à servir à des fins publicitaires. Des exemples de cookies propriétaires incluent les cookies de session, les cookies de préférences et les cookies d’authentification.
Les cookies tiers ou third-party sont déposés par des domaines autres que celui visité. Ils permettent des suivis intersites, des statistiques sur les pages visitées et des usages publicitaires (retargeting, ad-serving, mesures d’audience). Ils peuvent aussi aider au partage sur les réseaux sociaux et à l’analyse comportementale.
En pratique, les cookies tiers permettent un suivi intersites quasi illimité et une personnalisation publicitaire plus poussée, mais ils suscitent des inquiétudes en matière de confidentialité. Le RGPD encadre leur utilisation et impose un consentement explicite avant leur dépôt, avec des mécanismes de gestion du consentement (bandeau, CMP, etc.).
Tableau comparatif simplifié
| Type | Création | Accessibilité | Utilisations typiques |
|---|---|---|---|
| Premier parti | Du domaine visité | Limité au domaine principal | Fonctionnement, préférences, authentification |
| Tierce partie | Par des domaines externes | Accessible sur tous les sites chargeant le script du tiers | Publicité ciblée, analyses croisées, réseaux sociaux |
Les cookies tiers ont permis le développement d’un écosystème AdTech complexe. La majorité des navigateurs ont commencé à restreindre leur utilisation, et Google a annoncé des évolutions via Privacy Sandbox. Cependant, Google Chrome n’a pas encore supprimé les cookies tiers de manière universelle, et la décision varie selon les annonces et les périodes de test. Face à ces évolutions, les acteurs du marketing s’orientent vers des données propriétaires et des approches sans cookies tiers, comme le ciblage contextuel et les mesures d’attention.
CONCRETEMENT, C'EST QUOI UN COOKIE ?
La CNIL rappelle que les dispositifs doivent toujours respecter les règles relatives à la protection des données, en mettant l’accent sur le consentement et les droits des personnes. Les données propriétaires, recueillies directement auprès des internautes via les canaux d’acquisition, permettent une connaissance approfondie des utilisateurs et de leurs comportements sans dépendre des services tiers externes. Le fingerprinting, encore controversé, reste soumis à des préoccupations de conformité RGPD, car il peut distinguer les individus de manière similaire aux cookies.
Pour une gestion efficace des cookies, il est important de connaître la différence entre cookie tiers et cookie propriétaire. Les bandeaux de consentement doivent être clairs, et le recours au consentement explicite reste impératif avant le dépôt des cookies tiers. Des solutions comme le blocking des cookies tiers et l’implémentation de cookies propriétaires via le suivi côté serveur peuvent aider à maintenir une expérience utilisateur fluide tout en respectant la vie privée.
Quelles perspectives pour les cookies tiers ?
Les navigateurs web cherchent à limiter les cookies tiers; les annonces publiques évoquent une disparition progressive, mais la réalité varie. Google avait annoncé vouloir les supprimer, mais a ensuite réaffirmé le maintien de certains cookies tiers sur Chrome selon les périodes. Les alternatives et les cadres réglementaires, notamment le RGPD, encouragent les data strategies centrées sur le consentement et sur les données propriétaires, tout en explorant des méthodes de mesure publicitaire axées sur l’attention et les signaux contextuels.
La CNIL rappelle que ces dispositifs doivent respecter les règles relatives à la protection des données et, surtout, le consentement et les droits des personnes. Le suivi côté serveur, les données zero-party et first-party, et les technologies comme CHIPS ou d’autres solutions de confidentialité seront amenés à jouer un rôle croissant dans les stratégies marketing.
Bonnes pratiques et mises en œuvre
Comment ajouter des cookies tiers à un site web de manière conforme ?
Comprendre les bases juridiques, définir une bannière de consentement, préciser les objectifs, intégrer les scripts et tester l’implémentation sont des étapes essentielles. Des outils professionnels peuvent aider à auditer les cookies déposés, à évaluer les risques et à assurer la conformité RGPD.
Comment savoir si vos cookies sont des cookies tiers ? La console de développement et des scanners en ligne permettent d’identifier le domaine d’origine de chaque cookie et de les classer par catégorie. Pour bloquer les cookies tiers, les navigateurs proposent des paramètres de confidentialité et des protections renforcées contre le pistage intersite. Le blocage peut toutefois impacter certaines fonctionnalités, comme le chat en ligne ou les boutons de partage sur les réseaux sociaux.