Un cookie n'est, au fond, rien de plus qu'un petit fichier texte qu'un site web dépose dans le navigateur d'un visiteur et relit à chaque nouvelle visite. En soi, cette opération est techniquement inoffensive : sans ce mécanisme, aucun panier d'achat ne se souviendrait de son contenu, et aucune session de connexion ne survivrait d'une page à l'autre. Dans ce rôle, les cookies sont tout simplement la mémoire du web.
Le problème commence dès qu'un cookie cesse de ne porter que sa propre session et rend au contraire un visiteur reconnaissable dans le temps et à travers différents sites web. Un réseau publicitaire qui dépose le même cookie sur des centaines de sites peut, à partir de là, construire un profil de déplacement : quelles pages une personne visite, à quelle fréquence, à quel moment. Cela se produit de façon invisible : rien sur la page elle-même ne trahit qu'une douzaine de cookies de ce type sont déposés en arrière-plan.
C'est précisément là qu'intervient la règle européenne à l'origine des bandeaux de cookies : quiconque stocke quelque chose sur l'appareil d'un utilisateur, ou y lit quelque chose, sans que cela soit strictement nécessaire à la fonction expressément demandée, doit d'abord recueillir un consentement. Cela vaut indépendamment du fait que des données à caractère personnel au sens strict soient en jeu : il suffit que l'appareil soit consulté. (L'origine de cette règle, la directive dite ePrivacy, fait l'objet du prochain article.)
Il en découle une distinction que l'on retrouve dans tout bandeau de cookies correctement construit : d'un côté, les cookies nécessaires — panier d'achat, session de connexion, fonctions de sécurité, sans lesquels un site ne fonctionnerait tout simplement pas — et de l'autre, tout le reste : statistiques, personnalisation, publicité. Le premier groupe ne nécessite aucun consentement, le législateur le considérant comme une condition préalable du service demandé lui-même. Le second, si.
Un bandeau de cookies n'est donc, en définitive, rien d'autre que la mise en œuvre pratique de cette distinction : il montre à un visiteur ce qu'un site prévoit de faire au-delà du strictement nécessaire, et recueille pour cela une décision consciente avant que quoi que ce soit ne prenne effet. Pas après — avant. Un bandeau qui n'apparaît qu'au deuxième chargement de page, alors qu'un script de suivi s'est déjà exécuté en arrière-plan, ne remplit pas son rôle, aussi soigné soit-il en apparence.
Un bandeau de cookies est ainsi bien plus qu'un simple affichage. Il doit pouvoir prouver que le consentement a réellement été donné — quand, par qui (ou par quel navigateur), pour quoi exactement, et qu'il peut être retiré aussi facilement qu'il a été accordé. Cette obligation de preuve incombe non au visiteur, mais à l'exploitant du site : en cas de litige, c'est à lui de démontrer qu'il disposait d'un consentement valable, et non à l'utilisateur de prouver qu'il ne l'a pas donné.
Voilà exactement pourquoi les bandeaux de cookies ont aujourd'hui l'apparence qu'on leur connaît : avec une véritable option de refus, d'un poids équivalent à celle de l'acceptation, avec une répartition par catégories plutôt qu'un simple oui global, et avec un journal tenu en arrière-plan qui consigne précisément ce qui s'est passé. Rien de tout cela n'est le fruit du hasard ni un formalisme excessif : c'est la conséquence directe d'une seule règle fondamentale : l'accès à l'appareil d'autrui exige un consentement réel, informé et actif. Tout le reste repose sur cette unique règle, et les prochains articles de cette série en retracent l'origine dans le droit européen et allemand, en détail.