Le scénario est facile à reconnaître : quelqu’un consulte un produit, ferme la boutique, puis voit sa publicité ailleurs. Le Web ne lit pas ses pensées. Il relie plusieurs requêtes grâce à des identifiants.

Lors de la visite, la boutique dépose un cookie avec un identifiant pseudonyme et appelle parfois une balise d’un réseau publicitaire. La requête vers ce réseau contient page, heure, navigateur et identifiant déjà présent. Le réseau ajoute « a consulté produit 742 » au profil. Plus tard, un autre site demande une annonce et transmet le même cookie; la campagne correspondante gagne l’enchère.

Le profil se construit sans avoir besoin du nom

Le flux peut être résumé ainsi :

1. navigateur reçoit id=A17;
2. page produit signale A17, produit=742;
3. réseau classe A17 dans « intention vélo »;
4. site d’actualité demande une annonce pour A17;
5. moteur choisit la campagne vélo;
6. impression et clic retournent dans le profil.

Le nom civil n’est pas nécessaire pour influencer l’écran. Si A17 se connecte plus tard à un service qui connaît son courriel, les mondes peuvent aussi être rapprochés. Les cookies expirent et peuvent être effacés, mais d’autres signaux ou connexions recréent parfois le lien.

Le modèle comporte des erreurs. Un cadeau recherché pour quelqu’un d’autre devient une « préférence ». Un ordinateur familial mélange plusieurs personnes. Une impression ne prouve pas une vente. Les annonceurs doivent distinguer attribution et causalité : la personne aurait peut-être acheté sans revoir la publicité. Un groupe témoin non exposé aide à mesurer l’effet réel.

Le contrôle doit agir sur le flux

Un choix de refus doit empêcher les balises non nécessaires de créer ou lire l’identifiant, pas seulement masquer une catégorie dans l’interface. Les partenaires doivent être inventoriés, leurs finalités documentées et leurs durées limitées. Une chaîne publicitaire longue peut transmettre la requête à plusieurs intermédiaires que le site principal ne surveille plus.

Les données en transit sont chiffrées, mais le risque reste côté serveurs : compte publicitaire compromis, segmentation trop précise, export oublié ou réidentification. Les accès sont limités, les journaux audités et les segments sensibles exclus. Garder chaque événement indéfiniment augmente le dommage d’une fuite.

Je testerais le site avec un navigateur neuf, capturerais les requêtes avant et après le choix de consentement, puis supprimerais le profil et répéterais. Ce test concret vaut davantage qu’une politique qui promet vaguement des préférences.

Contrôler la fréquence autant que la sélection

Même un ciblage accepté peut devenir agressif si l’annonce apparaît cinquante fois. Le serveur garde un compteur par campagne et identifiant, avec fenêtre et plafond. La décision d’enchère lit ce compteur avant d’émettre; une mise à jour asynchrone trop lente peut dépasser la limite sous forte concurrence. Une écriture atomique ou une marge prudente réduit ce conflit. À l’expiration de la campagne, les associations temporaires sont supprimées plutôt que recyclées sans rapport. Je testerais aussi un navigateur qui refuse les cookies : le site doit fonctionner, et le réseau ne devrait pas reconstruire en cache un identifiant prétendument retiré.

La pratique applicable est assez directe : pour chaque balise, écrire l’identifiant reçu, les champs envoyés, le destinataire, la finalité et l’expiration. Si personne ne peut expliquer une requête réseau, elle ne devrait pas partir du navigateur.