Consentement préalable
Le consentement préalable signifie que le consentement est recueilli avant qu’un cookie soit déposé ou qu’un traceur s’exécute, de sorte que rien de non essentiel n’est stocké ni lu sur l’appareil tant que le visiteur n’a pas fait un choix positif.L’article 5, paragraphe 3 de la directive ePrivacy n’autorise le stockage d’informations sur un appareil, ou l’accès à ces informations, qu’à condition que l’utilisateur ait donné son consentement. L’ordre fait partie de la règle : l’information, puis le choix, puis les cookies. Un bandeau qui s’affiche alors que les balises de mesure d’audience et de publicité se déclenchent déjà ne recueille pas un consentement préalable, même si le visiteur clique ensuite sur Accepter.
La Cour de justice de l’Union européenne (CJUE) a confirmé dans l’arrêt Planet49 (2019) que le consentement doit être actif et que les cases précochées ne valent pas, et les lignes directrices 05/2020 du CEPD (Comité européen de la protection des données) ont écarté le consentement par défilement ou par poursuite de la navigation. Le consentement implicite, autrefois courant au Royaume-Uni, n’est plus accepté nulle part dans l’UE ni par l’ICO pour les cookies non essentiels.
Techniquement, le consentement préalable exige un blocage : les scripts sont chargés avec un type neutre et un attribut de catégorie, les contenus embarqués sont remplacés par des espaces réservés, et un gestionnaire de balises ne déclenche les balises qu’après l’événement de consentement. Google Consent Mode gère les balises Google en les démarrant à l’état refusé. Le guide pour bloquer les scripts avant consentement montre le balisage. Le modèle inverse, où le suivi tourne jusqu’à ce que le visiteur s’y oppose, est l’approche par opposition (opt-out) des lois des États américains et de l’article 45c de la loi suisse sur les télécommunications.