La fin programmée des cookies tiers ne signe pas la fin du traçage. Une technique plus discrète prend le relais : le fingerprinting, ou empreinte numérique de navigateur. Elle identifie un visiteur sans rien déposer sur son appareil. Pour une entreprise, cette pratique n’échappe pas au RGPD. Voici ce qu’il faut vérifier sur votre site.
Qu’est-ce que le fingerprinting exactement ?
Le fingerprinting collecte les caractéristiques techniques de votre appareil et de votre navigateur. Il interroge la version du logiciel, la taille de l’écran et le fuseau horaire. Il lit aussi les polices installées et le rendu graphique. Prises isolément, ces informations semblent banales. Combinées, elles forment un identifiant presque unique.
La technique est qualifiée de stateless. Elle ne dépose aucun fichier sur le terminal. Elle ne stocke rien côté utilisateur. Aucune bannière ne la signale à l’écran. L’internaute ignore le plus souvent qu’il est reconnu.
Une seule empreinte peut distinguer un visiteur parmi des millions. Elle reste souvent stable pendant plusieurs semaines. Le site retrouve alors la même personne à chaque visite. Il n’a besoin d’aucun cookie pour cela.
| Signal collecté | Exemples |
|---|---|
| Navigateur | Version, langue, extensions actives |
| Affichage | Résolution, profondeur de couleur |
| Système | OS, fuseau horaire, polices installées |
| Matériel | Carte graphique, rendu Canvas et WebGL |
Le fingerprinting est-il soumis au RGPD ?
Oui, sans ambiguïté. L’empreinte permet de reconnaître une personne physique. Elle relève donc des données personnelles. Les principes du RGPD s’appliquent pleinement à ce traitement. La finalité et la base légale doivent être définies.
L’article 82 de la loi Informatique et Libertés vise l’accès aux informations d’un terminal. Lire ces signaux suppose en principe un consentement préalable. Ce cadre ne concerne pas que les cookies. Il couvre tout procédé qui exploite le terminal.
Le fingerprinting suit donc la règle des traceurs non essentiels. Sur votre site internet, un simple bandeau ne suffit pas. Le consentement doit rester libre, spécifique, éclairé et univoque. L’internaute doit pouvoir refuser aussi facilement qu’accepter.
Identifier les traceurs cachés d’un site demande du temps et une veille constante. Un DPO externalisé pour sécuriser votre conformité cartographie ces outils et documente chaque consentement recueilli.
Pourquoi le fingerprinting inquiète-t-il plus que les cookies ?
Un cookie reste visible dans le navigateur. L’internaute peut l’inspecter, le refuser ou l’effacer. L’empreinte, elle, demeure totalement opaque. Rien ne s’affiche et rien ne se supprime facilement.
Cette invisibilité complique l’exercice des droits des personnes. Elle fragilise aussi la valeur du consentement. On refuse mal un traçage que l’on ne perçoit pas. Le déséquilibre penche vers celui qui observe.
Le fingerprinting nourrit surtout la publicité ciblée et le marketing digital. Il resurgit parfois via des outils installés sans validation interne. Ce shadow IT crée un angle mort de conformité. Personne ne sait alors quelles données sortent.
Comment mettre mon site en conformité ?
Commencez par un audit complet des traceurs de votre site. Beaucoup arrivent via des prestataires tiers. Pensez à la mesure d’audience, à l’anti-fraude et aux régies. Cartographiez chaque script réellement chargé par vos pages.
Bloquez ensuite tout fingerprinting non essentiel avant le recueil du consentement. Reliez ces scripts à votre plateforme de gestion du consentement. Conservez une preuve horodatée de chaque choix. Réexaminez cette configuration à chaque mise à jour.
Certaines finalités strictement nécessaires peuvent s’en dispenser, comme la sécurité. L’intérêt légitime, en revanche, ne suffit pas pour accéder au terminal. Chaque exemption doit rester documentée et justifiée. Pour cadrer cette base légale, appuyez-vous sur la CNIL.
- Recenser tous les scripts et pixels chargés par le site.
- Repérer ceux qui lisent des signaux du terminal.
- Conditionner leur déclenchement au consentement de l’internaute.
- Conserver une preuve horodatée du consentement recueilli.
FAQ
Le fingerprinting fonctionne-t-il sans aucun cookie ?
Oui. La technique n’exige aucun fichier stocké sur le terminal. Elle lit les caractéristiques du navigateur et de l’appareil, puis les combine en un identifiant stable. Cette absence de trace visible la rend difficile à repérer et à bloquer pour un internaute ordinaire, contrairement à un cookie classique.
Faut-il le consentement pour le fingerprinting ?
Dans la majorité des cas, oui. Dès que l’empreinte sert à tracer ou à cibler, le consentement préalable devient obligatoire. Seules des finalités strictement nécessaires, comme certaines mesures de sécurité, peuvent s’en dispenser. Chaque exemption doit rester documentée et réellement justifiée par le besoin du site.
Comment savoir si mon site utilise le fingerprinting ?
Analysez les scripts chargés par vos pages, notamment ceux des prestataires tiers. Les outils de mesure d’audience, d’anti-fraude ou de publicité intègrent parfois cette technique. Un audit technique et une lecture attentive des contrats de sous-traitance révèlent ces pratiques, souvent invisibles depuis la simple interface du site.
Le fingerprinting est-il illégal ?
Non, la technique n’est pas interdite en soi. Elle devient irrégulière quand elle trace un internaute sans son consentement valable. La responsabilité pèse sur l’éditeur du site, même lorsque le traceur provient d’un prestataire. La conformité repose sur l’information claire et le recueil préalable du consentement.
