Meilleures expériences de consentement aux cookies

L'avènement de l'UE Règlement général sur la protection des données (RPGD) en mai 2018, le Web s'est transformé en une vaste exposition de fenêtres contextuelles de consentement, de notifications, de barres d'outils et de modaux. Bien que l'intention de la plupart des invites relatives aux cookies soit la même: obtenir le consentement de l'utilisateur pour continuer à collecter et à évaluer son comportement de la même manière qu'il le fait depuis des années, les implémentations diffèrent considérablement, ce qui rend souvent ridiculement difficile ou tout simplement impossible

En outre, de nombreuses implémentations ne respectent pas les décisions des utilisateurs et ne configurent pas les cookies malgré leurs choix, en supposant que la plupart des gens accorderont leur consentement malgré tout.

Certes, ils ne sont pas compatibles. pas tout à fait tort. Dans notre étude, la grande majorité des utilisateurs ont volontairement donné leur consentement sans même lire l'avis du cookie . La raison est évidente et compréhensible: de nombreux clients s'attendent à ce qu'un site Web «ne fonctionnerait probablement pas ou que le contenu ne soit pas accessible autrement». Bien sûr, ce n'est pas nécessairement vrai, mais les utilisateurs ne peuvent pas savoir avec certitude à moins d'essayer IT out. En réalité, cependant, personne ne veut jouer au ping-pong avec l'invite de consentement du cookie. Ils cliquent sur le consentement en choisissant l'option la plus évidente: «OK».

Note : Il est important de comprendre que les cookies et les mécanismes de consentement abordés dans cet article vont au-delà du RGP. En Europe, ils font l'objet d'un texte législatif distinct, la directive sur la protection de la vie privée, qui fait actuellement l'objet d'un projet de refonte (à compter d'avril 2019). Il sera peut-être finalisé d'ici l'été 2019. Nous ne savons pas quelle sera sa forme finale, mais cela déterminera l'avenir des invites de consentement des cookies.

Maintenant, avec ce comportement courant en ligne, on pourrait penser que Les invites de cookie ne sont pas particulièrement utiles, et c'est en partie vrai. Mais ils ont certainement contribué à sensibiliser le public à la confidentialité et à la collecte de données sur le Web. En fait, les utilisateurs savent maintenant que les sites Web suivent leurs données, ce dont ils n'étaient pas conscients il y a quelques années. Mais ils y voient souvent un mal nécessaire en échange d’un accès «gratuit» au contenu.

Les utilisateurs ne partagent pas toujours avec plaisir leurs données personnelles, mais ils ne croient pas vraiment que la révocation du consentement constitue une alternative viable. Pour beaucoup d'entre eux, la seule option raisonnable est de donner leur consentement, tout en optant pour une extension de blocage des publicités ou tout autre bloqueur de suivi dans leur navigateur.

Comme les invites de consentement de cookie s'opposent toujours au chemin du contenu, elles sont souvent rejetées presque instinctivement, ce qui n'est pas sans rappeler les carrousels lors de l'embarquement. Par conséquent, du point de vue du concepteur, passer des semaines à peaufiner cette invite unique en son genre pourrait être une perte de temps. (Désolé d’avoir écrasé vos rêves à ce stade.)

Étant donné que de nombreux sites Web reposent essentiellement sur la collecte de données, l'exécution de tests A / B et la fourniture de publicité ciblée aux utilisateurs, l'avis de consentement du cookie est souvent fortement influencé par les exigences commerciales et objectifs d'affaires. Est-il acceptable pour l'entreprise de permettre aux utilisateurs de rejeter rapidement tout suivi? Quels cookies sont (apparemment) nécessaires au fonctionnement du site et lesquels sont facultatifs? Quels cookies doivent être sélectionnés pour approbation par défaut, et lesquels nécessiteraient une acceptation manuelle? Le client devrait-il être en mesure de révoquer facilement le consentement une fois celui-ci fourni et, dans l'affirmative, comment l'exercerait-il s'il ne dispose pas d'un compte sur le site?

Ces décisions commerciales ont une incidence majeure sur les décisions de conception. bien que du point de vue de l'utilisateur, la conception optimale serait assez évidente: pas de consentement du cookie du tout . Cela signifierait, par exemple, que les utilisateurs pourraient définir des paramètres de confidentialité dans leur navigateur et choisir les cookies auxquels ils souhaitent donner leur consentement. Le navigateur envoie ensuite un indice à chaque site Web qu'un utilisateur choisit de visiter, ainsi que les paramètres de cookie d'activation ou de désactivation automatiques, en fonction des préférences fournies.

Les utilisateurs savent maintenant que les sites Web suivent leurs données, ce qui n'était pas le cas. conscient de il y a quelques années. Mais ils y voient souvent un mal nécessaire pour accéder au contenu «gratuitement».

En fait, un en-tête Ne pas suivre (DNT) est déjà implémenté et largement pris en charge par les navigateurs (bien que elle a été supprimée de Safari afin d’empêcher toute utilisation potentielle pour la prise d’empreintes digitales), mais il n’existe aucun mécanisme établi permettant de transformer cette préférence en une sélection granulaire de groupes de cookies acceptés. Il ne devrait pas être très surprenant que la plupart des annonceurs ne soient pas particulièrement heureux que ce modèle gagne du terrain, mais cela pourrait peut-être être une meilleure voie à suivre, comme le préfèrent les utilisateurs, à l'absence de consentement du cookie.

, les utilisateurs trouvent parfois un moyen de contourner quand même. Certains utilisateurs qui utilisent déjà un bloqueur de publicité utilisent également un bloqueur d'invite de cookie . Toutefois, ce dernier donne généralement son consentement complet par défaut à l’utilisateur. Évidemment, cela va à l’encontre du but même de l’invite de cookie, et idéalement, de telles extensions n’autoriseraient automatiquement que les cookies essentiels tout en optant pour tout le reste (si cela était possible). 19659005] Cependant, en tant que concepteurs, nous avons l'obligation légale d'expliquer ce qu'il advient des données d'un utilisateur et comment elles seront stockées dans le cadre des exigences commerciales fournies. Comme Geoffrey Keating l'a mentionné dans son article, " The Cookie Law et UX ", mettant l'accent sur la législation irlandaise, selon le bureau du commissaire à la protection des données, "l'exigence minimale est une communication claire à l'utilisateur Il est intéressant de noter que le consentement doit être «sans ambiguïté» et «donné librement», car il doit «être libre de donner son consentement».

ne laissez aucun doute quant à l'intention de la personne concernée, devrait constituer une indication active des souhaits de l'utilisateur et ne peut être valable que si la personne concernée est en mesure d'exercer un choix réel. "Par conséquent, les cases à cocher pré-cochées ou inactives ne devraient pas constituent un consentement.

Cela peut sembler évident, mais certaines solutions explorent le territoire juridique inexploré qui reste à interpréter. Par exemple, parfois, le visiteur du site Web «soumet automatiquement un consentement de cookie en cliquant sur un lien du site Web», et vous pouvez parfois choisir les actions «suffisamment évidentes» pour que vous puissiez les percevoir comme un consentement silencieux. Évidemment, ce n'est pas une décision éclairée et une telle technique relève à juste titre du domaine des coupables malfaisants qu'il convient d'éviter à tout prix

Cela dit, nous pouvons envisager plusieurs options:

Éviter Cookies facultatifs et fonctions réservées: aucune invite requise

Il peut sembler que chaque site Web doive afficher un avis de consentement en matière de cookies à ses visiteurs européens, mais si votre site Web ne collecte, ne suit et n'évalue aucune donnée personnelle provenant de utilisateurs, ou ne collecte que des données anonymes, vous n’en aurez peut-être pas besoin. En fait, l'un des principes fondamentaux du cadre Protection de la vie privée par la conception est que les cookies non essentiels doivent être désactivés par défaut et que l'utilisateur doit y adhérer activement.

Des cookies peuvent être requis pour en conservant l'état connecté ou les préférences utilisateur, par exemple, et conformément à la réglementation de l'UE, vous n'avez pas besoin d'un consentement explicite pour cela. C’est aussi la raison pour laquelle de nombreux invites ont des cookies fonctionnels activés par défaut, sans possibilité de les désactiver. De plus, certains sites, comme GOV.UK, informent simplement les utilisateurs sur les cookies, ne nécessitant aucune entrée, mais ne proposant pas non plus le choix de ne pas utiliser le cookie facultatif de Google Analytics.

Encourager les utilisateurs à obtenir un consentement implicite

Tous les sites Web ne peuvent toutefois pas s'en tirer sans les cookies tiers liés à la publicité. Une solution apparemment simple consisterait à ajouter une notification simple, telle que "En utilisant notre site Web, vous consentez à notre utilisation des cookies", mais cela ne suffit pas. Étant donné que nous avons besoin d’une indication active du consentement de l’utilisateur, nous devons exiger une sorte d’action sans équivoque. Pour cette raison, certains sites ajoutent une icône «fermer», faisant en sorte que la case de consentement apparaisse comme une notification pouvant être rejetée. Pour garantir une reconnaissance plus évidente, il est judicieux de remplacer l’icône «fermer» par un bouton. Dans de nombreuses applications, le bouton indique simplement «Fermer», «Enregistrer» ou «Continuer», bien que «Accepter et continuer» soit plus clair.

Dans la plupart des cas, la notification ne disparaît que lorsque vous y donnez suite, C'est donc la toute première chose que les utilisateurs voient lorsqu'ils visitent une page sur le site Web. Cependant, avez-vous besoin du consentement de l'utilisateur sur chaque page? Vous pouvez être plus sélectif et demander le consentement du cookie uniquement s'il est réellement requis. par exemple, lorsque l'utilisateur crée un compte ou souhaite enregistrer ses paramètres.

Autorisation des utilisateurs pour l’ajustement des paramètres de confidentialité

Tandis que l’option précédente dictait une obéissance complète ou un lock-out complet, vous pourriez être plus compréhensif envers l’intention de l’utilisateur. L'utilisateur peut avoir des idées bien arrêtées quant à la divulgation de ses données personnelles. Par conséquent, une solution de sortie – semblable aux questions personnelles que nous avons mentionnées précédemment – pourrait les conserver sur le site. Pour ce faire, nous pourrions ajouter une option permettant de modifier les paramètres, suivie d'un aperçu des différents groupes de cookies, certains d'entre eux étant nécessaires au bon fonctionnement du site, d'autres étant facultatifs.

but des cookies tels que la publicité, l'analyse et les statistiques, ou les tests. Il pourrait également être beaucoup plus large, permettant aux utilisateurs de choisir entre «Je suis d'accord avec les annonces personnalisées» ou «Je ne souhaite pas afficher les annonces personnalisées». C’est aussi une bonne idée d’expliquer à l’utilisateur quelles fonctionnalités du site ne seront plus disponibles une fois que certains groupes de cookies auront été bloqués. TrustArc fait cela avec un curseur, permettant un certain nombre de niveaux de confidentialité, de n'autoriser que les cookies obligatoires aux cookies fonctionnels en passant par les cookies publicitaires, tout en montrant son impact sur la fonctionnalité globale du site.

Représentation subtile ou importante de la demande de consentement

En termes de mise en page, l'invite pourrait être subtile et à peine perceptible, ou évidente et difficile à ignorer. Nous pourrions le placer dans l'en-tête de la page ou au bas de la fenêtre, ou nous pourrions également le positionner au centre de la page en tant que modal. Toutes ces options peuvent être flottantes et persistantes lorsque l'utilisateur fait défiler la page, ce qui bloque l'accès à une partie du contenu (ou à l'intégralité du contenu) jusqu'à ce que le consentement soit accordé.

De Telegraaf par exemple, place un cookie d'autorisation de consentement au milieu de la page, en estompe le contenu, en détournant littéralement la page et en s'interposant. Cela ne devrait pas être une grosse révélation que parmi toutes les options que nous avons testées, celle-ci semble être la plus agaçante pour les utilisateurs. En général, il convient de privilégier les invites subtiles, et moins l'utilisateur a besoin d'espace d'affichage, meilleure a été la réaction de l'utilisateur.

Apparence et libellé des boutons

Nous devons également réfléchir à l’apparence du formulaire de consentement, en particulier à la conception des boutons et à la formulation de ces boutons. Des libellés tels que «Continuer», «Enregistrer et quitter» ou «Continuer à utiliser le site» incitent les utilisateurs à passer à une option par défaut. En fait, de nombreux utilisateurs sont susceptibles de le faire. Il est plus respectueux d’avoir deux boutons, l’un principal pour l’octroi du consentement, et l’autre secondaire pour le réglage des paramètres, les deux boutons étant dotés d’une microcopie neutre, telle que «Accepter» et «Rejeter» ou «OK» et «Non merci». C'est le chemin que nous avons choisi avec Smashing Magazine.

Il n’est pas étonnant que parmi toutes les options proposées, les utilisateurs se sentent étonnamment ravis et reconnaissants de la possibilité de rejeter tous les cookies en un seul clic. Certains utilisateurs ont été surpris que cette option soit même fournie et, alors qu'une majorité a choisi d'accorder son consentement, un utilisateur sur cinq a refusé. Ce faisant, ils ont supposé que le site Web serait pleinement fonctionnel sans les cookies, et à juste titre.

Réglage des préférences des cookies

Peu d'utilisateurs envisageraient de révoquer ou d'ajuster les paramètres des cookies après avoir donné leur consentement. devrait trouver les options dans l’en-tête ou le pied de page du site Web, dans la politique de confidentialité ou dans la politique de cookie. Ce n'est pas très surprenant, et bien sûr, c'est là que nous devons placer les options permettant de régler les paramètres si l'utilisateur le souhaite.

Les utilisateurs comprennent quand ils sont trompés

Jusqu'à présent, toute l'expérience devrait être assez simple, n'est-ce pas? Eh bien, si un modèle commercial repose en grande partie sur la collecte et le suivi des données, vous risquez d'être forcé de vous aventurer dans des zones sombres lorsque vous sélectionnez une option, mais l'option la plus simple est source de confusion et génère beaucoup de travail. Dans nos entretiens, les utilisateurs pouvaient facilement voir dans les agendas des entreprises, disant même «Ah, je vois ce que vous avez fait là-bas». Cependant, certaines choses étaient moins évidentes que d'autres.

Chaque fois que le consentement du cookie le suggérait une option permettant d’examiner les cookies ou d’ajuster les paramètres des cookies, les utilisateurs devraient pouvoir consulter l’ensemble des cookies et pouvoir définir quels cookies doivent être autorisés à être configurés et quels autres ne doivent pas être configurés. En termes de conception d’interface, cela se fait généralement avec des sections à onglets dans un widget d’autorisation de cookie, certains groupes étant sélectionnés par défaut. Il est courant de voir des cookies fonctionnels, des cookies analytiques, des cookies publicitaires et des cookies de paramètres de site Web. Ce niveau de contrôle granulaire n'est pas souvent prévu, mais il est considéré comme utile et convivial, et par conséquent préférable, à condition toutefois que toute la catégorie de cookies puisse être désélectionnée à la fois, avec un seul clic sur une seule case à cocher. [19659005] Chose curieuse, certaines implémentations vont aux extrêmes, offrant aux utilisateurs un aperçu accablant de chaque cookie défini par des tiers. Il n’est pas rare qu’ils soient tous activés par défaut. Pour ce faire, il faut appuyer sur chacun d’eux, un par un. Cela ne semble pas être un gros problème avec cinq cookies, mais c’est une monstruosité avec plus de 250 cookies généreusement fournis par des dizaines de trackers sur le site. Dans de tels cas, de nombreux utilisateurs ont abandonné après quelques refus, offrant ainsi un accès complet à leurs données, puis de suite.

Malheureusement, cela ne fait que gratter la surface. Imaginez une invite de paramétrage de cookie avec un bouton «Fermer ×». Quel comportement attendriez-vous en cliquant sur «Fermer»? Vous attendriez-vous à ce que l'invite soit rejetée et réapparaisse éventuellement? Ou vous attendriez-vous à ce que tous les scripts de suivi soient désactivés par défaut? Opté dans? Sans surprise, la plupart des utilisateurs ne pensaient même pas si loin: ils voulaient simplement que la fenêtre contextuelle disparaisse. Personne ne s'attendait à ce que les traqueurs soient désactivés par défaut, mais de nombreux utilisateurs ont estimé qu'il s'agissait d'une "chose temporaire" qui réapparaîtrait "à un moment donné". En pratique, presque tout le temps, fermer le prompt était perçu par le site Web les utilisateurs acceptent et, en fait, tous les cookies ont été stockés dans leur intégralité.

Le libellé des boutons et des liens a été une source de grande confusion pour les utilisateurs. Sur Speisekarte.de vous pouvez soit “Accepter et continuer” (primaire, gros bouton vert) ou “En savoir plus” (lien gris subtil, même pas souligné). À quoi vous attendez-vous à apparaître après avoir cliqué sur «En savoir plus»? Alors que de nombreux utilisateurs s'attendent à ce qu'une politique de confidentialité apparaisse, l'action incite en réalité à la gestion des cookies, avec 405 partenaires de sélection, de diffusion et de diffusion des annonces, 446 partenaires de stockage et d'accès aux informations, 274 partenaires de sélection, de diffusion et de contenu, 372 partenaires de mesure et 355 partenaires de personnalisation. «Agree and Proceed» donne accès au stockage et à l’évaluation des données personnelles des clients à 1 852 partenaires.

Il n’est pas évident que la zone de liste de tous ces partenaires puisse défiler, et il n’existe aucun moyen évident de les désélectionner. Trouvez-vous agréable de désactiver manuellement 1 852 basculements, un par un? Probablement pas. En fin de compte, vous pouvez «désélectionner tous» les partenaires dans le coin supérieur gauche de la fenêtre. Toutefois, cette option est présentée de manière pratique, de manière à ressembler à une navigation fil d'ariane plutôt qu'à un bouton. Et, bien sûr, tous les partenaires sont activés par défaut. C'est trompeur, malhonnête et irrespectueux.

Une fois que vous prenez l'habitude de rejeter les cookies par défaut vous pouvez trouver un certain nombre de pratiques douteuses et douteuses qui semblent être répandues. Parfois, les entreprises placent les cookies de suivi Facebook et Twitter dans la catégorie «Nécessaire». Parfois, l'option de rejeter les cookies est dissimulée derrière une option supplémentaire «Gérer». Et parfois, il existe une option de retrait de l'analyse, mais un utilisateur choisit automatiquement l'option «Analyse anonyme».

Certaines entreprises vont au-delà, inventant de nouvelles façons de faire des affaires si l'utilisateur souhaite éviter le suivi. Parfois, il apparaît avec un «abonnement UE Premium» sans publicité sur place ni script de suivi, et parfois avec un site Web indisponible ou une «expérience européenne» (qui, franchement, est beaucoup plus rapide et légère que son homologue non européen ). Pas une seule personne accédant au site n'a apprécié l'une de ces options. Cela ne devrait pas être une grande révélation, mais il y a beaucoup d'utilisateurs qui, confrontés à un tel traitement, n'ont plus qu'à quitter le site à la recherche d'alternatives.

Lignes directrices et stratégies pour une meilleure conception

Selon le règlement de l'UE, chaque cookie, son fournisseur, son objectif, sa date d'expiration et son type doivent être expliqués et développés en détail dans un la politique de confidentialité et de nombreux services tels que TrustArc, IAB Consent Framework, Cookiebot, OneTrust, Cookie Consent et de nombreux autres fournissent cette fonctionnalité prête à l'emploi. Ils fournissent également une option pour personnaliser les groupes de cookies à présenter comme choix à l'utilisateur. Bien que l'expérience par défaut soit correcte, elle peut souvent être utilisée pour rendre inutilement difficile le réglage des paramètres par le client.

À la fin de la journée, nous devons offrir de bonnes expériences tout en atteignant nos objectifs commerciaux. Nous pouvons le faire en plusieurs étapes:

1. Nous devons auditer et regrouper tous les cookies nécessaires sur le site;
2. Nous devons décider comment chacun de ces groupes sera étiqueté, lesquels seront nécessaires et lesquels.
3. Nous devons comprendre l’impact que la désactivation d’un groupe de cookies aurait sur les fonctionnalités du site et communiquer chaque choix à l’utilisateur;
4. Enfin, nous devons décider des paramètres à utiliser. être sélectionné par défaut et quelles options de personnalisation nous voulons présenter à l'utilisateur.

Le modèle de conception le plus simple semble être évident. Si vous avez besoin du consentement de l'utilisateur, affichez une notification de notification étroite dans l'en-tête ou au bas de la fenêtre. Il n'est pas nécessaire de masquer ou d'assombrir le contenu pour rendre la notification perceptible. assurez-vous simplement qu'il ne se fond pas avec le reste du site. Si possible, permet aux utilisateurs d'accepter ou de refuser les cookies avec deux boutons évidents : «OK» et «Non, merci». Sinon, fournissez une option pour ajuster les paramètres, en suivant un aperçu des catégories de cookies. Là, vous devez mettre en évidence les conséquences de chaque choix sur la fonctionnalité du site Web et permettre aux utilisateurs d’approuver tous les cookies ou de «rejeter tous les cookies» en même temps & mdahs; pour l'ensemble du site et pour chaque catégorie.

Où placer la notification? La position ne semble pas vraiment avoir d’importance – elle n’a fait aucune différence dans la prise de décision. La superposition couvrant la moitié de la page, cependant, a été perçue comme l’option la plus agaçante – et elle ne devrait pas être trop surprenante, car elle bloque littéralement une grande partie du contenu de la page. La plupart des utilisateurs savent presque instinctivement ce qui leur est présenté et ils savent également quelle action ils préfèrent utiliser pour accéder au site. Par conséquent, les explications longues sont ignorées ou rejetées aussi rapidement que les notifications push ou les demandes d'autorisation.

In Dans le prochain article de la série, nous allons examiner les notifications UX et les demandes de permission, ainsi que la meilleure manière de concevoir l'expérience qui les entoure – et en tenant compte de la vie privée des utilisateurs.

Un merci, merci à Heather Burns pour avoir révisé cet article avant publication.

(yk, il)