Dark patterns des bandeaux cookies : le design trompeur selon le CEPD

Un dark pattern dans un bandeau cookies est tout choix de conception qui pousse les visiteurs à accepter plus qu’ils ne le feraient si les options étaient présentées loyalement : un bouton « Accepter » vif à côté d’un lien gris, un refus caché deux écrans plus loin, un bandeau qui revient à chaque page, des catégories précochées, l’étiquette « essentiel » collée sur des cookies publicitaires. Le Comité européen de la protection des données (CEPD) a donné une taxonomie à ces pratiques dans ses lignes directrices 03/2022 sur les interfaces trompeuses (deceptive design patterns), adoptées dans leur version finale le 14 février 2023, et sa task force « bandeaux cookies » a dit en janvier 2023 lesquelles rendent le consentement invalide. Les autorités ont depuis sanctionné des entreprises pour la plupart d’entre elles.

La taxonomie du CEPD

Les lignes directrices ont été écrites pour les interfaces des réseaux sociaux, mais les catégories décrivent la conception d’interface en général, et le CEPD utilise le terme « deceptive design patterns » (interfaces trompeuses) pour ce que d’autres appellent dark patterns. Elles s’appuient sur les principes de loyauté et de transparence posés à l’article 5, paragraphe 1, point a), du RGPD, sur l’obligation d’informer clairement (article 12) et sur la protection des données dès la conception et par défaut (article 25). Les six familles, avec les définitions du CEPD et leurs formes dans un bandeau cookies :

Surcharge (overloading) : les utilisateurs font face à « an avalanche of requests, information, options or possibilities », une avalanche de demandes, d’informations, d’options ou de possibilités qui les pousse à partager davantage. La sollicitation continue (continuous prompting), c’est le bandeau qui réapparaît à chaque page ou à chaque visite jusqu’à ce que vous acceptiez. Le labyrinthe de confidentialité (privacy maze), c’est le centre de préférences enfoui sous des couches de liens. Trop d’options (too many options), c’est un premier écran avec quarante fournisseurs et douze finalités à régler, où « Tout accepter » est la seule sortie raisonnable.

Omission (skipping) : l’interface fait que les utilisateurs « forget or do not think about », oublient ou ne pensent pas aux aspects de protection des données. Le confort trompeur (deceptive snugness), c’est la catégorie précochée : le réglage le plus intrusif est activé par défaut. Regardez ailleurs (look over there), c’est un bandeau qui parle de votre expérience formidable et du contenu gratuit pendant que le choix est relégué dans un coin.

Incitation (stirring) : le design « affects the choice users would make by appealing to their emotions or using visual nudges », il influence le choix en jouant sur les émotions ou par des incitations visuelles. La manipulation émotionnelle (emotional steering), c’est « nous avons besoin des cookies pour que ce site reste gratuit » ou un visage triste à côté de « Refuser ». Caché à la vue de tous (hidden in plain sight), c’est une option de refus stylée pour passer inaperçue : petite, grise, un lien texte au milieu du texte.

Entrave (obstructing) : les utilisateurs sont bloqués ou ralentis « in their process of getting informed or managing their data », dans leur démarche pour s’informer ou gérer leurs données. L’impasse (dead end), c’est un lien de confidentialité qui ne mène nulle part. Plus long que nécessaire (longer than necessary), c’est cinq actions pour refuser contre une pour accepter, le design qui a coûté 150 millions d’euros à Google et 60 millions d’euros à Facebook dans les décisions de la CNIL du 31 décembre 2021. L’action trompeuse (misleading action), c’est un bouton dont le libellé fait l’inverse de ce que le visiteur attend.

Inconstance (fickle) : l’interface est « inconsistent and not clear », incohérente et peu claire. L’absence de hiérarchie (lacking hierarchy), c’est une information répétée sous plusieurs formes avec des formulations différentes. La décontextualisation (decontextualising), c’est un réglage des cookies placé là où personne ne le cherche. La discontinuité linguistique (language discontinuity), c’est un bandeau en anglais pour un public français, ou une politique qui change de langue en cours de route.

Dissimulation (left in the dark) : l’interface cache des informations ou des commandes. Les informations contradictoires (conflicting information), c’est un bandeau qui dit « nous respectons votre choix » pendant que la politique indique que le suivi est actif quoi qu’il arrive. La formulation ambiguë (ambiguous wording), c’est « essentiel » ou « strictement nécessaire » appliqué à des cookies publicitaires, la pratique que la task force appelle cookies essentiels mal classés.

Ce que la task force « bandeaux cookies » a ajouté

Le rapport de la task force du 17 janvier 2023 transforme une partie de la taxonomie en positions de contrôle. Une large majorité d’autorités considère qu’un bandeau avec un bouton d’acceptation et sans option de refus sur la même couche constitue un manquement. Des cases précochées ne produisent jamais un consentement valable. Une option de refus qui est un lien inséré dans un paragraphe, ou placé hors du bandeau, sans mise en évidence visuelle suffisante pour attirer l’attention, ne produit pas non plus de consentement valable. Sur les couleurs et le contraste, les autorités ont refusé d’imposer une norme mais ont convenu qu’un bouton dont le texte est illisible sur son fond est manifestement trompeur, tout le reste s’appréciant au cas par cas. Présenter des interrupteurs « intérêt légitime » dans une seconde couche, de sorte que les visiteurs pensent devoir refuser deux fois, a été jugé source de confusion. Notre résumé du rapport couvre le reste.

Les sanctions, avec les dates

• 31 décembre 2021, CNIL : Google (150 millions d’euros) et Facebook (60 millions d’euros). Un clic pour accepter ; refuser exigeait d’ouvrir « Personnaliser » et d’effectuer au moins cinq actions. Entrave, plus long que nécessaire.
• 29 décembre 2022, CNIL : TikTok (5 millions d’euros). Plusieurs clics pour refuser contre un pour accepter, jusqu’à l’ajout d’un bouton « Tout refuser » en février 2022 ; une première couche ne donnant « qu’une description générale et approximative des finalités ». Entrave et dissimulation.
• 12 décembre 2024, CNIL : mises en demeure de plusieurs éditeurs de sites dont l’option de refus était un lien dont la couleur, la taille de police et le style favorisaient l’acceptation, noyé dans le texte environnant sans espacement, tandis que l’option d’acceptation apparaissait plusieurs fois. Incitation, caché à la vue de tous. Les mises en demeure citent le rapport de la task force.
• 12 mars 2025, California Privacy Protection Agency : American Honda (632 500 $), en partie pour un outil de confidentialité qui « failed to offer Californians their privacy choices in a symmetrical or equal way », c’est-à-dire qui ne proposait pas les choix de confidentialité de façon symétrique. Même principe, modèle de l’opposition (opt-out).
• 1er septembre 2025, CNIL : Google (325 millions d’euros), en partie parce que les utilisateurs créant un compte « étaient incités à choisir des cookies liés à l’affichage de publicités personnalisées » et n’étaient pas clairement informés que les accepter conditionnait le service. Incitation et dissimulation.
• Janvier à juillet 2026, CNIL : une partie des 23 sanctions de la procédure simplifiée concernait des bandeaux où « Tout accepter » était immédiat et où refuser exigeait de passer par un écran « personnaliser ». Entrave, encore.

Pourquoi ces pratiques persistent

Parce qu’elles fonctionnent. Nouwens et ses collègues ont mesuré en 2020 que retirer le bouton de refus de la première page augmente le consentement de 22 à 23 points ; Utz et ses collègues ont constaté que les boutons mis en avant et les cases précochées ont un effet important, et que dans une configuration de consentement préalable propre, moins de 0,1 % des visiteurs autorisaient les cookies pour toutes les finalités. Un écart de 20 points de consentement représente beaucoup de revenus publicitaires, et c’est pourquoi les autorités traitent l’écart lui-même comme la preuve que le consentement n’était pas libre. Ce qu’un bandeau conforme obtient est plus bas, et réel.

Un bandeau sans dark patterns

• « Tout accepter » et « Tout refuser » sur le premier écran, même taille, même poids, même nombre de clics.
• « Personnaliser » sur le même écran ; derrière, les catégories désactivées par défaut, sauf les nécessaires.
• Une phrase simple sur les finalités ; la liste complète à un clic.
• Aucune étiquette « essentiel » sur ce dont le site peut se passer.
• Le choix mémorisé environ six mois, sans nouvelle sollicitation avant.
• Un moyen visible de se rétracter plus tard, avec la même facilité.
• La même langue que la page ; la même formulation dans la politique.

C’est ainsi que le bandeau Cookiequiet est construit par défaut : des boutons égaux, aucune catégorie optionnelle précochée, quatre catégories derrière « Personnaliser », un choix mémorisé, 24 langues, et des libellés modifiables si vous préférez dire « Refuser » plutôt que « Tout refuser ». La loyauté du design dépend ensuite des couleurs et des mots que vous choisissez, ce que la liste ci-dessus couvre.