Refuser les cookies demande jusqu’à quinze clics sur certains sites de paris en ligne

Décryptage

À Swansea, une équipe universitaire a ouvert un par un les bandeaux cookies de toute l’industrie du pari en ligne britannique. Sur les 624 sites de paris licenciés au Royaume-Uni, 86 % opèrent en infraction au RGPD et 47 % enfouissent le refus sous une seconde couche (université de Swansea, 14 septembre 2026).

« Certains rendent l’acceptation possible en un seul clic et le refus en quinze », relève Jack McGarrigle, doctorant au centre GREAT et auteur principal de l’étude. Concrètement, un bandeau cookies fonctionne comme une interface de vente. Les travaux, publiés dans Computers in Human Behavior Reports, comptent les procédés un par un, puis mesurent leur effet sur 615 joueurs.

Un clic pour accepter, plusieurs écrans pour refuser

L’audit de l’université de Swansea a porté sur la totalité des sites de casino et de paris sportifs titulaires d’une licence de la Gambling Commission. Il a couplé l’examen du bandeau affiché et l’analyse du trafic réseau sortant, ce qui permet de voir ce qui part avant le clic. Deux tiers des sites (67 %) envoyaient déjà des identifiants uniques à des plateformes d’analyse et de publicité. Le consentement arrivait après la collecte, quand il arrivait.

Le reste tient au dessin de la boîte : le bouton d’acceptation bénéficie d’une mise en avant visuelle sur 60 % des sites, par la couleur ou par la taille des caractères. Les réglages défavorables à la vie privée sont précochés sur 29 % d’entre eux. Enfin, 24 % ne proposent aucun moyen de refuser, et 2 % n’affichent aucun bandeau.

Près d’un tiers des sites fait exception : sur 29 % des bandeaux, refuser est aussi simple qu’accepter ; la hiérarchie complète se lit d’un coup d’œil.

Un même site cumule souvent plusieurs de ces procédés, ce qui explique que les parts s’additionnent bien au delà de cent.

Le pire des cas décrit par les auteurs tient en une image : un bouton lumineux au premier plan, et les interrupteurs de réglage rangés un étage plus bas.

Ce que le design fait vraiment aux joueurs

Le volet expérimental a présenté à 615 joueurs britanniques un site de paris simulé, portant l’un des six bandeaux testés, seul élément qui changeait d’une condition à l’autre. Face au modèle le plus courant du secteur, les participants ont accepté le pistage trois à quatre fois plus souvent. La version neutre, elle, proposait l’acceptation et le refus au même niveau.

Le second résultat pèse autant : invités à noter la fidélité de leur choix à leurs préférences réelles en matière de vie privée, ceux qui avaient accepté se donnaient 4,4 sur 10. Ceux qui avaient refusé se donnaient 7,9 : l’écart désigne le bandeau plutôt que l’internaute.

« Notre expérience de suivi l’a montré : le procédé n’a rien d’accidentel, il fonctionne exactement comme on peut s’y attendre, en poussant les gens vers des décisions avec lesquelles ils ne sont pas réellement d’accord », écrit Jack McGarrigle.

Pourquoi cette donnée vaut plus cher sur un site de paris

Le secteur des paris change la nature du signal collecté.

« Les données récoltées par ces procédés n’ont rien de neutre : il s’agit du même type de signal comportemental qui permet de repérer un risque », avertit le professeur Simon Dymond, qui a supervisé les travaux avec Martyn Quigley et Jamie Torrance.

Un historique de mises, d’horaires de connexion et de relances publicitaires décrit un comportement de jeu. La même donnée sert donc au ciblage commercial et à la détection d’une vulnérabilité, selon l’usage qu’on en fait. Pour Simon Dymond, recueillir correctement le consentement relève autant de la protection des données que de la prévention des dommages liés au jeu.

Et chez nous ?

Les mêmes procédés, jugés en France

Le 12 décembre 2024, la CNIL a mis en demeure des éditeurs de sites web pour des bannières trompeuses. Les pratiques visées recoupent celles comptées à Swansea : bouton de refus dont la couleur et la taille de caractères écrasent le choix, lien de refus fondu dans le texte d’information. S’y ajoutent plusieurs boutons d’acceptation pour une seule possibilité de refus, et une formulation ambiguë du refus.

L’article 82 de la loi Informatique et Libertés pose la règle en une ligne : si un site permet d’accepter tous les traceurs en un clic, il doit permettre de tous les refuser aussi simplement. Les éditeurs concernés ont eu un mois pour corriger leur bandeau. Le référentiel diffère de celui de l’audit britannique, mais l’exigence de fond y est la même.

Dans son bilan des sanctions 2025, publié le 9 février 2026, la CNIL recense 83 sanctions pour 486,8 millions d’euros, dont 21 portaient sur des traceurs déposés sans consentement ou des refus non pris en compte. Les deux amendes les plus lourdes de l’année, 325 et 150 millions d’euros, relèvent du même sujet.

La grille à garder en tête devant un bandeau

Quatre signaux suffisent. Un bouton d’acceptation coloré face à un lien de refus gris. Un refus qui n’apparaît qu’après « Personnaliser » ou « Paramètres ». Des cases déjà cochées à l’ouverture du panneau. Et l’absence totale de bouton de refus sur le premier écran.

Le test le plus rapide reste le comptage : un clic pour accepter, quinze pour refuser.

Les cookies ne sont qu’un canal parmi d’autres. Une application de commerce en ligne peut aussi vous suivre par un son inaudible. Pour les réglages qui restent entre vos mains, notre guide pour reprendre la main détaille les gestes à faire une seule fois.

Deux pour cent des sites audités n’affichent aucun bandeau. Sur ceux-là, la question du choix ne se pose même pas.

Article créé en collaboration avec l’IA.