.svg)
La Commission européenne a présenté une nouvelle initiative visant à repenser en profondeur la régulation numérique au sein de l’UE. Le paquet omnibus sur le numérique (Digital omnibus package en anglais) a pour objectif de réduire les lourdeurs administratives, simplifier la conformité et s’attaquer à la fatigue du consentement.
À première vue, cela pourrait ressembler à une révolution, voire une menace pour les solutions de gestion du consentement. Mais en réalité, comme nous allons le montrer, cette réforme apporte davantage de clarté que de perturbation.
Mise à jour : Depuis la rédaction de cet article, la version finale du Digital Omnibus a été publiée. Retrouvez notre analyse actualisée ici.
Qu'est ce que le paquet digital omnibus de simplification de la Commission européenne?
La Commission européenne s’est engagée dans une vaste opération de simplification avec son initiative omnibus, un ensemble de réformes destiné à réduire la complexité réglementaire et à moderniser les règles numériques européennes.
Un des objectifs principaux est d'alléger la charge réglementaire pesant sur les entreprises du numérique, tout en s’attaquant à la fatigue du consentement chez les utilisateurs européens, un enjeu débattu depuis des années.
Trop de consentement tue le consentement. Les gens donnent leur accord pour tout sans lire, et si le consentement devient la norme par défaut, il perd de sa valeur aux yeux des utilisateurs.
– Peter Craddock, Partner chez Keller and Heckman (source : Politico)
Pour lancer le processus, la Commission a publié un appel à contributions, invitant les parties prenantes à partager leur opinion. Acteur central de l’écosystème de la gestion du consentement, Didomi participera activement à cette consultation en partageant son expertise et sa vision d’un consentement à la fois efficace et respectueux des utilisateurs.
Le débat est déjà bien engagé. D’un côté, les industriels appellent à plus de flexibilité et à une meilleure compatibilité avec le RGPD, pour une expérience utilisateur plus fluide. De l’autre, les défenseurs de la vie privée s’inquiètent d’un assouplissement des règles, craignant des dérives vers un suivi plus intrusif et une fragilisation des principes de protection des données.
Comprendre les objectifs de la Commission européenne
L'appel à contributions du pquet omnibus précise plusieurs ambitions. Deux d’entre elles concernent directement les cookies et la gestion du consentement :
- Réduire les coûts de conformité pour les entreprises, en clarifiant les règles applicables et en supprimant certaines obligations dès lors qu’une alternative moins coûteuse permet d’atteindre les mêmes objectifs.
- Réduire la fatigue liée aux bandeaux cookies tout en renforçant les droits des utilisateurs, grâce à une information claire et des options simples de gestion. La Commission souhaite ainsi faciliter l’usage des cookies et technologies associées, accroître la disponibilité des données et aligner davantage les règles cookies avec le droit européen (notamment si les cookies traitent des données personnelles).
Toute solution capable de concilier ces deux objectifs tout en respectant la protection des données personnelles aura les faveurs de la Commission, et deux pistes sont aujourd’hui discutées publiquement :
- La gestion du consentement centralisée dans les navigateurs
- L’assouplissement des exigences ePrivacy, notamment pour certaines catégories de cookies (ex: analytics)
Considérons ensemble ces deux propositions, avant de vous présenter ce que nous considérons comme la solutions la plus viable et réaliste à ce jour.
Fausse bonne idée 1 : le consentement centralisé via le navigateur
Sur le papier, l’idée de permettre à l’utilisateur de gérer son consentement une seule fois via son navigateur semble séduisante. Mais en pratique, l'expérience montre que c'est une fausse bonne idée.
Des initiatives similaires ont déjà été proposées ces dernières années, comme les propositions de réforme du RGPD au Royaume-Uni, le “Cookie Pledge” ou la récente ordonnance allemande sur la gestion du consentement. Toutes ont buté sur un même obstacle : pour être valide selon le RGPD, un consentement doit être spécifique et informé. Autrement dit, un système de consentement au niveau du navigateur devrait couvrir toutes les finalités possibles de traitement de données à l’échelle mondiale. Mission impossible
Le seul cadre ayant tenté une telle standardisation, le Transparency and Consent Framework (TCF) de l’IAB Europe, a nécessité plus de deux ans de négociation pour un champ limité à la publicité programmatique, et reste aujourd’hui sous le feu des régulateurs, notamment en Belgique.
Ce cas illustre bien la complexité d’une standardisation intersectorielle à l’échelle mondiale.
En apparence, les mécanismes centralisés semblent simples. Mais dans la réalité, ils sont rapidement impraticables. Nous avons identifié ces limites dès 2023 :
En théorie, l’idée est excellente : l’utilisateur définit une fois ses préférences de collecte de données dans son navigateur, et la technologie s’occupe du reste, en transmettant automatiquement ces choix à chaque site visité. Tout se passe en arrière-plan, les bandeaux de consentement sont moins visibles, et les préférences de l’utilisateur sont censées être respectées.
Mais en pratique, les choses sont loin d’être aussi simples.
L’absence de standardisation rend ce système très difficile à mettre en œuvre. Quand les choix utilisateurs deviennent complexes, comment garantir qu’ils soient correctement interprétés et appliqués sans un cadre de référence clair ? D’un site à l’autre, d’un service à l’autre, les finalités de traitement, les fournisseurs tiers, et l’ensemble des choix disponibles peuvent varier énormément.
Alors comment la technologie peut-elle faire respecter ces préférences de manière fiable et précise ? Et surtout, ce consentement reste-t-il valable ? Prenons l’exemple des données personnelles utilisées à des fins d’analytics : un site pourra appeler cela « performance du site », un autre « mesure du comportement utilisateur », et un troisième « insights visiteurs ».
Cette disparité dans le vocabulaire rend quasi impossible une transmission cohérente et fidèle des préférences d’un utilisateur d’un site ou d’une app à l’autre, ce qui pose un vrai problème pour la validité du consentement.
- Thomas Adhumeau, Chief Privacy Officer chez Didomi (source: Cookies, consent fatigue, and privacy standards: What's next for the AdTech industry?)
Cette position est confortée par Yvo Volman, Directeur des données à la DG Connect de la Commission européenne, qui a récemment déclaré qu’un mécanisme d’opt-out par défaut ne correspondait pas à la solution privilégiée par la Commission. Autrement dit, Bruxelles semble consciente des limites du consentement centralisé via navigateur.
Et l'IA dans tout ça ?
Avec l’essor de l’IA, une nouvelle variante du consentement centralisé émerge : des agents IA qui agissent à la place des utilisateurs. L’idée serait de préconfigurer ses préférences de confidentialité, et delaisser une IA interagir automatiquement avec les bandeaux, réduisant en théorie la fatigue du consentement.
Mais là encore, l'approche souffre des mêmes failles structurelles. Sans standard universel des finalités de traitement, le risque d’erreur est énorme. Comment une IA pourrait-elle distinguer “analytics” pour mesurer l’audience, de “mesure” pour l’optimisation marketing ? Avec des centaines de finalités possibles, le consentement ne peut être ni informé, ni spécifique.
Et surtout, cela supposerait une confiance totale dans les capacités d’interprétation, la neutralité et la transparence de l’IA. Une exigence encore loin d’être réaliste.
Fausse bonne idée 2: Assouplir les exigences de l'ePrivacy
Certains acteurs de l’industrie numérique et publicitaire espèrent profiter de cette réforme pour diminuer les obligations liées à la directive ePrivacy, notamment pour les traitements jugés « à faible risque » comme les analytics.
Cette approche est fondamentalement erronée.
Même si les règles étaient assouplies, le consentement resterait requis pour la majorité des traitements, notamment publicitaires, ne résultant par conséquent en aucun impact réel sur la fatigue du consentement. Politiquement, la Commission est peu encline à affaiblir l’ePrivacy, considéré comme un pilier de la souveraineté numérique européenne. Réduire le niveau de protection irait à l’encontre de plusieurs années de positionnement politique et mettrait en péril la crédibilité de l’Union en tant que leader mondial de la protection de la vie privée.
Sous couvert de simplification, la Commission envisage de retirer non seulement la proposition de règlement ePrivacy mais aussi la directive actuelle... sans analyse sérieuse des risques. (...) Si ePrivacy est démantelé, les Européens n’auront plus que la Charte pour se défendre, tandis que les géants tech américains auront carte blanche pour exploiter nos données.
- Birgit Sippel, Députée européenne allemande (source: Politico)
En résumé, le problème de la fatigue du consentement ne pourra pas être résolu par un mécanisme centralisé via navigateur, ni par une réduction des exigences réglementaires. Ces approches sont soit irréalistes, soit incompatibles avec les objectifs du RGPD et de la directive ePrivacy.
La seule solution viable : le consentement partagé
La seule voie réaliste est le consentement cross-domaine. Ce mécanisme permet de réduire le nombre de bandeaux rencontrés par les utilisateurs, tout en maintenant un niveau élevé de protection des données.
Pour y parvenir, l’utilisation d’une CMP qui offre cette fonctionnalité est absolument essentielle. eElle permet d’identifier un même utilisateur sur différents sites et de garantir l’application cohérente de ses préférences en matière de données et de tracking. Concrètement, cela permet aux individus d’exprimer leurs choix une seule fois, avec l’assurance qu’ils seront respectés et appliqués sur l’ensemble de l’écosystème digital.
C’est précisément la solution que nous développons chez Didomi depuis plusieurs années, en ligne avec les attentes des régulateurs et de nos clients. Contrairement aux autres options, le consentement partagé est juridiquement solide, techniquement faisable, et surtout, il répond directement aux ambitions de la Commission : réduire la fatigue du consentement sans baisser la garde sur la protection des données.
Restez connectés : nous suivons de près ce sujet et partagerons les prochaines évolutions.
.avif)
