Observer les pratiques cachées du web

Les pages Web peuvent intégrer de nombreux éléments invisibles aux utilisateurs et qui pourtant collectent leurs données. Ces pratiques permettent à certains tiers de tracer les internautes pour comprendre leurs comportements en ligne passés et influencer leurs choix futurs. Nous analysons périodiquement les 1000 sites du web les plus utilisés en France afin de révéler ces pratiques et de suivre leur évolutions.

Avec qui discute mon navigateur ?

Pour afficher une page web, un navigateur communique avec le service distant correspondant au nom de domaine indiqué dans sa barre d'adresse. Cette adresse correspond au domaine principal, c'est le domaine dont l'internaute souhaite consulter le contenu. Par exemple, cnil.fr correspond au domaine principal du site de la CNIL. Cependant, une grande part des échanges de données réalisés par le navigateur lors du chargement de cette page peut s'effectuer avec d'autres acteurs, les tierces parties, afin de fournir des fonctionnalités aux utilisateurs et/ou collecter leurs données personnelles (statistiques d’usages, données de navigation, messagerie instantanée, etc.).

A quoi servent les cookies ?

Les cookies sont des informations inscrites dans le navigateur et transmises à chaque communication avec le domaine qui les a stockés dans le navigateur. Ces informations peuvent permettre de suivre les internautes lors de leur navigation sur le Web par l’intermédiaire d’identifiants uniques. Lorsqu’une communication est associée à un ou plusieurs cookie(s), il est alors possible d'identifier le terminal de l'individu à l'origine de cette communication et de lier entre elles les différentes communications d’un internaute sur ce terminal. Certaines techniques permettent par ailleurs de lier entre eux les différents terminaux (ordinateur, tablette, smartphone) ou navigateurs d’un même internaute pour reconstituer un historique global de sa navigation (suivi sur plusieurs terminaux ou « cross-device »).

C’est par ces mécanismes de traçage que les régies publicitaires collectent les données de navigation des internautes afin de construire des profils publicitaires. Par exemple, les mots clefs recherchés par les internautes peuvent permettre de mieux comprendre leur centre d'intérêt, et par extension conduire à un achat à court terme. Ils sont alors conservés par ces acteurs pour améliorer leur algorithme de publicité ciblée.

Pourquoi cela nous intéresse ?

La CNIL a abrogé en 2019 sa recommandation « relative aux cookies et aux autres traceurs » de 2013 et a publié des lignes directrices pour préciser le cadre juridique applicable. A la suite d’une concertation avec le secteur de la publicité numérique et la société civile, d’une part, et après une consultation publique, d’autre part, la CNIL a publié, le 1er octobre 2020, le résultat de ses travaux sur les « cookies et autres traceurs ». Les lignes directrices, abrogeant la recommandation de 2013, et la recommandation de la CNIL visent à accompagner les professionnels vers une mise en conformité des cookies (ou des technologies analogues) auxquels ils ont recours sur leurs sites ou applications mobiles.

Méthodologie

Nous analysons pour cette étude les communications qui ont lieu entre un navigateur « neutre », c’est-à-dire ne réalisant aucune opération de filtrage ou de blocage des communications avec les sites visités et les différents serveurs appelés lors d'une première visite sur les 1000 sites français les plus utilisés , sans interagir avec les pages (c'est-à-dire sans aucun clic, ni scroll, ni mouvement de souris).

Nous utilisons pour cela le logiciel CookieViz dont le code source est librement disponible sur github.

Cette analyse du 20 janvier 2021 ne préjuge pas de la conformité ou la non-conformité des sites aux exigences de la règlementation telles que rappelées dans les lignes directrices et illustrées au sein de la nouvelle recommandation relative aux cookies et aux autres traceurs. Elle permet néanmoins de mieux comprendre les pratiques actuelles et de qualifier la prédominance des acteurs sur celles-ci.

Sur ces 1000 sites les plus visités, 889 sites ont été accessibles durant l’analyse effectuée le 20 janvier 2021.

Les résultats

Une majorité des sites dépose des cookies tiers à la première visite.

Cette visualisation représente les échanges d'informations à travers la lecture et l'écriture de cookies qui ont eu lieu au cours de la première visite d'un site :

• les disques bleus représentent les domaines principaux, c'est-à-dire les adresses ayant été visités par le navigateur,
• les disques oranges sont les domaines tiers avec lesquels le navigateur a communiqué durant cette visite,
• les liens rouges entre ces domaines représentent les lectures et écritures de cookies qui se sont opérées depuis le domaine visité vers un domaines tiers.

Vous pouvez zoomer sur cette représentation et obtenir les détail de ces lectures et écritures en passant votre souris sur les domaines et sur les liens.

Celle-ci représente l' ensemble des cookies ayant été lu et déposés durant le parcours de l'ensemble des sites. Les zones rouges formées autours des domaines indiquent une lecture et écritures de cookies particulièrement intense vers ou depuis des tiers.

Vous pouvez également obtenir des détails sur les domaines visitées depuis la liste suivante ou en sélectionner un au hasard : Liste des domaines visités .

Vous pouvez également des détails sur les domaines tiers qui ont déposé des cookies lors de cette visite sur la liste suivante ou en sélectionner un au hasard : Liste des domaines tiers déposant des cookies .

Jusqu'à 79 tiers peuvent accéder à vos informations de navigation au chargement d'une page Web.

Chaque cookie écrit et lu par un domaine tiers peut permettre d'initier un mécanisme d'identification de votre navigateur ainsi qu'un suivi de votre navigation depuis et hors du site que vous visitez.

Cet histogramme représente le nombre tiers ayant lu et écrit des cookies depuis les sites disposant de cookies à la premières visite. Il est divisé en trois zones distincts :

• la zone orange regroupe 20% des sites dont la présence de tiers écrivant ou lisant des cookies est la plus importante, entre 7 et 79 tiers,
• la zone violette regroupe la majorité des sites (60%) comprenant entre 1 à 6 de domaines tiers déposant des cookies sur ceux-ci,
• la queue de l'histogramme représente les 175 sites (20%) qui n'ont déposé aucun cookie depuis des sites tiers lors de la première visite.

Vous pouvez zoomer sur cette représentation et passer votre souris sur chacun des sites afin d'obtenir des détails sur le nombre de tiers ayant écrit et lus des cookies à la première visite.

Les régies publicitaires sont les principaux pourvoyeurs de cookies.

Nous avons regroupé chaque tiers suivant leur présence sur les sites analysés et conservé ceux ayant une présence (déterminée comme supérieure à 1% des sites).

Cette carte représente ainsi en proportion la couverture de ces tiers parmi les sites visités, ainsi que leur finalité affichée suivant deux zones :

• la zone orange regroupe l'ensemble des sites ayant déclaré sur leur politique de confidentialité une finalité publicitaire sur les cookies déposés lors de l’analyse, cette finalité publicitaire pouvant être combinée avec d’autres finalités,
• la zone violette regroupe l'ensemble des sites n’ayant pas déclaré de finalité publicitaire (mais d’autres finalités comme statistiques, AB testing, etc.) sur les cookies déposés lors de l’analyse.

Vous pouvez passer votre souris sur chacune de ces zones pour obtenir plus de détails sur les cookies déposés ainsi que leur finalité déclarée. Un clic sur l'une de ces zones permet d'accéder à la politique de confidentialité ayant permis de catégoriser ces finalités.

Cette analyse permet de mieux réaliser l'ampleur du traçage publicitaire auquel l'utilisateur est soumis. Si les cookies sont utilisées pour de multiples finalités, la finalité de ciblage publicitaire est présente pour une grande majorité des cookies déposés.

Retrouver l'intégralité des données sources et le code de cette page sur le Github de la CNIL