Par Sédar Swahele, Master Droit pénal et Sciences criminelles, Université Reims Champagne-Ardenne.
Utiq trace votre connexion, pas votre navigateur. Derrière cette nuance, trois régimes juridiques, un foyer entier profilé sans consentement éclairé, et trois ans de silence de la part des institutions chargées du contrôle.
« Qui ne dit mot consent. » C’est de l’internaute qu’on parle ordinairement quand on invoque ce principe. Du geste machinal sur la bannière, du clic distrait qui vaut accord. Mais la maxime a un angle mort : elle décrit aussi ceux qui observent sans se prononcer. Les autorités qui déclarent suivre « de près » sans jamais instruire. Le régulateur qui, après trois ans de silence et quarante millions d’identifiants actifs en France, produit enfin une réponse publique sur Utiq.
« Légale tant que l’internaute a cliqué et a donc donné son consentement. »
La formule, attribuée à la Commission nationale de l’informatique et des libertés (CNIL), interrogée par franceinfo le 1er juin 2026 à propos d’Utiq, a la sécheresse d’un constat. Elle a surtout la candeur d’un aveu : la question n’a pas été instruite, et cela se voit.
Car le droit exige bien davantage qu’un clic. Le consentement, au sens de l’article 4(11) du RGPD, doit être libre, spécifique, éclairé et résulter d’une manifestation de volonté univoque. La Cour de justice de l’Union européenne complète dans l’arrêt Planet49 du 1er octobre 2019 : « l’exigence d’une manifestation de volonté de la personne concernée évoque clairement un comportement actif et non pas passif » (C-673/17, §52). Pas un réflexe arraché par lassitude au bas d’une bannière de cookies de plus.
Entre ce que le droit réclame et ce qu’un clic peut porter, l’écart n’est pas de degré. Il est de nature. Utiq s’insinue dans les failles réglementaires pour parvenir à se faire accepter sans broncher.
Ce qu’est Utiq
Né en 2023 d’une coentreprise entre Deutsche Telekom, Orange, Telefónica et Vodafone, autorisé le jour même de son lancement par la Commission européenne sous le seul angle du droit de la concurrence, Utiq revendique quarante millions d’identifiants actifs en France, quelque trois cent trente éditeurs partenaires en Europe, et une certification du groupe Publicis obtenue dès mai 2025.
Sa proposition de valeur a de quoi plaire à toutes les régies publicitaires sur le Net : remplacer le cookie tiers, fragilisé par des années de blocages, de méfiance des internautes avisés et de réglementation, par un identifiant déterministe ancré dans le réseau lui-même.
Le mécanisme est le suivant. Quand vous chargez un site partenaire, votre adresse IP est envoyée à votre opérateur téléphonique. L’opérateur la reconnaît, la relie à un contrat d’abonnement, à un foyer, à une identité contractuelle. Il renvoie un signal. Utiq transforme ce signal en identifiant publicitaire, un jeu de données complet permettant un profilage fondé sur votre profil sociologique, sur ce qui forge votre identité dans la société de consommation.
Le cookie, vous pouviez l’effacer, le supprimer ou le bloquer avec de bonnes pratiques. Naviguer en privé, changer de navigateur, installer un bloqueur. Contre Utiq, rien de tout cela ne fonctionne. La captation a quitté votre terminal, le seul espace que vous contrôliez, pour se loger dans le réseau de votre opérateur, où vous n’avez aucune prise. Orange, SFR ou Bouygues Telecom, nos opérateurs, sont non seulement les partenaires de ce système intrusif fondé sur votre adresse IP en lien avec votre abonnement mobile, mais surtout ses créateurs.
Une technique d’occultation déguise le traceur en acteur de confiance du site que vous consultez. La seule étude technique indépendante disponible, publiée en 2024 par Ismael Castell-Uroz et Pere Barlet-Ros, chercheurs à l’Université polytechnique de Catalogne, confirme que la totalité des sites intégrant Utiq emploient en parallèle des techniques de fingerprinting invisibles. Utiq ne remplace pas les pratiques intrusives : il leur fournit une colonne vertébrale plus solide en décuplant les capacités de profilage existantes et résistantes. La variante d’un virus.
Cela n’est pas sans précédent. Entre 2012 et 2016, l’opérateur américain Verizon insérait un identifiant ineffaçable directement dans le trafic réseau de ses abonnés, vite surnommé supercookie par la presse numérique. La Federal Communications Commission lui a infligé une amende de 1,35 million de dollars en 2016, et lui a imposé de recueillir un consentement positif avant toute insertion d’identifiant à des fins publicitaires.
Utiq en est l’héritier direct, à ceci près qu’il se pare désormais du respect du consentement et qu’il le revendique. Ce que le juriste américain Daniel Solove appelle le murky consent, le consentement opaque : un rituel par lequel un rapport de force déséquilibré se donne l’apparence d’un accord. Améliorer la bannière ne changera rien, car le défaut ne tient pas à l’interface. Il tient à l’architecture.
Ce que le RGPD ne couvre pas à lui seul
La réponse de la CNIL, qui renforce la communication d’Utiq en laissant croire que toute cette technologie est légale, se place entièrement sur le terrain du RGPD. Pourtant, ce cadre réglementaire, à lui seul, est insuffisant.
Deux textes du code des postes et des communications électroniques s’appliquent au dispositif, et aucun n’a reçu d’interprétation formelle dans ce contexte à ce jour.
Le premier est l’article L.34-1 IV. Il encadre précisément ce que les opérateurs peuvent faire avec les données de trafic de leurs abonnés : les utiliser à des fins publicitaires, oui, mais seulement si l’abonné a donné son accord directement à l’opérateur, pour un traitement déterminé, pour une durée déterminée. Ce consentement n’est pas délégable à un éditeur tiers.
Ce que recueille Utiq est qualitativement différent : un clic sur la bannière d’un site partenaire, par lequel l’internaute croit autoriser un traçage publicitaire sur ce site. C’est un consentement réel. Ce n’est pas le consentement exigé au sens de l’article L.34-1 IV. En effet, l’opérateur n’est pas simplement un maillon de la chaîne : il est le responsable d’un traitement de données de connexion que ce texte conditionne à un accord donné dans le cadre même de la relation d’abonnement. La bannière d’un éditeur tiers ne peut donc pas constituer cet accord.
Le second texte est l’article L.32-3. Moins connu, il protège le secret des correspondances et interdit aux opérateurs les analyses automatisées du contenu des communications à des fins publicitaires, sauf consentement exprès, spécifique à chaque traitement, et recueilli à intervalles réguliers. Utiq recueille un consentement unique. Il ne le renouvelle pas. Sur ce point, l’article L.32-3 pose une exigence que le dispositif ne satisfait pas.
Ces deux textes n’ont jamais reçu d’interprétation formelle dans le contexte d’Utiq. Ni l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP), ni la CNIL, ni aucune juridiction n’ont instruit cette question. Ce silence ne vaut pas validation ; il a toutefois le mérite de documenter une lacune juridique.
Le foyer : une unité que le droit ne connaît pas
C’est l’angle le moins visible et probablement le plus intéressant dans ce débat.
L’identifiant d’Utiq n’est pas attaché à une personne. Il est attaché à une connexion. Or une connexion résidentielle, ce n’est pas un individu : c’est une adresse partagée. Derrière elle se tiennent un conjoint, des enfants, un colocataire, l’ami connecté au Wi-Fi le temps d’un week-end. Quand l’un d’eux clique sur la bannière d’un site partenaire, il ouvre une brèche. À mesure que les autres membres du foyer font la même erreur, chacun sur son propre appareil, leurs navigations individuelles rejoignent le même fil. Des consentements séparés, un seul profil de foyer que personne n’a consenti à construire.
La Cour de justice de l’Union européenne l’a rappelé dans l’affaire IAB Europe : chaque maillon de la chaîne publicitaire doit pouvoir prouver que les personnes dont il traite les données ont valablement consenti. Le Conseil d’État vient de le confirmer en France dans son arrêt du 4 mars 2026, en validant la sanction de quarante millions d’euros infligée à Criteo par la CNIL : un identifiant pseudonyme reste une donnée personnelle. Il résulte clairement des dispositions du paragraphe 1 de l’article 7 du RGPD que, lorsqu’un traitement de données à caractère personnel est fondé sur le consentement de la personne concernée au traitement de ses données pour une ou plusieurs finalités spécifiques, le responsable de traitement doit être en mesure, à tout moment, de fournir la preuve du recueil valable du consentement de l’utilisateur.
Or ici, chacun a consenti. C’est précisément le problème.
Ce que chaque membre du foyer a autorisé, c’est son propre traçage individuel, sur un site donné, pour lui seul. Ce qu’Utiq produit est tout autre : un identifiant de connexion unique, sous lequel toutes ces navigations s’agrègent en un profil collectif que personne n’a voulu comme tel. Le RGPD ne connaît pas ce profil. L’article 4(11) fait du consentement un acte personnel, valant pour celui qui le donne, pour le traitement qu’il a compris, pour lui seul. Il n’existe aucune base légale pour l’agrégation automatique de consentements individuels en un profil de foyer.
La somme de consentements individuels a produit quelque chose que nul n’a consenti à créer : un lien. Ce n’est pas une lacune à laquelle on peut remédier par une meilleure formulation du bandeau.
Depuis deux siècles, le droit n’a cessé d’extraire l’individu du groupe, du ménage, du clan, pour en faire un sujet autonome et singulier, titulaire de droits qu’il exerce en son nom propre. Le droit de la protection des données personnelles s’inscrit directement dans ce mouvement. En reliant la surveillance à la connexion plutôt qu’à la personne, Utiq fait le chemin inverse. Il ressuscite le foyer comme unité, non par conviction, mais par commodité : le ménage, comme cible publicitaire, vaut mieux que l’individu isolé.
Les conséquences ne sont pas théoriques. Qui exerce le droit d’accès sur des données qui décrivent quatre personnes à la fois ? Qui obtient l’effacement d’un profil tissé des navigations mêlées d’un couple et de ses enfants ? À qui appartient ce profil, et qui peut consentir à sa cession ? Le règlement ne répond pas, parce qu’il n’a jamais posé la question : ses droits sont taillés pour un titulaire unique, et se brouillent dès qu’on les applique à un agrégat de personnes.
La situation des mineurs rend le problème plus sensible encore. Un enfant qui navigue depuis la connexion familiale est potentiellement profilé à son insu, sans que les garanties de l’article 8 du RGPD lui soient applicables ; Utiq n’est pas un service qui lui est directement proposé, mais un traceur greffé sur des sites tiers. Quand l’enfant clique sur une bannière, son consentement est juridiquement nul et pourtant il alimente le profil partagé. Quand il ne clique pas, sa navigation s’agrège à l’identifiant que les autres membres du foyer ont établi. Dans un cas comme dans l’autre, il est capturé. Ce n’est probablement, on l’espère, ni voulu par Utiq, ni anticipé par le RGPD. C’est pourtant ce que l’architecture du dispositif produit dans les faits.
On objectera qu’il est possible de se désinscrire, via un portail dédié. Mais le « oui » se donne au fil de la navigation, sans effort. Le « non » suppose de connaître l’existence de ce portail, de s’y rendre, de s’identifier. Surtout, se désinscrire après coup ne répare rien : le traitement a déjà eu lieu, à l’insu de ceux qui l’ignoraient. On ne se situe plus dans la sphère du consentement, mais plutôt sur le terrain de la gestion de la plainte.
Les mêmes tuyaux pour l’État et pour la publicité
Le 15 octobre 2025, le décret n° 2025-980 prolonge l’obligation faite aux opérateurs de communications électroniques de conserver pendant un an certaines catégories de données de connexion au nom de la sécurité nationale. Orange, SFR, Bouygues, Free. Les mêmes opérateurs. La même infrastructure. Les mêmes métadonnées.
D’un côté, l’État requiert leur conservation pour le renseignement. De l’autre, ces mêmes opérateurs en tirent des identifiants publicitaires qu’ils valoriseront. Ce ne sont pas deux mondes séparés. C’est un seul tuyau, branché sur deux finalités distinctes.
L’autorité allemande de protection des données (BfDI) l’avait formulé explicitement dès mars 2023 : les opérateurs occupent une « position de confiance particulière », difficilement compatible avec le traçage publicitaire. La formule, bien que juste, reste en deçà de ce qu’elle qualifie.
Un opérateur télécoms n’observe pas ses abonnés comme un site web observe ses visiteurs. Le site web voit ce que vous faites chez lui. L’opérateur voit où vous allez, point. Pas le contenu des pages, mais quelque chose de plus révélateur encore : l’intégralité de votre cartographie numérique. À quelle heure vous vous connectez. Quels serveurs vous interrogez. Depuis quel endroit. Avec quelle régularité. C’est précisément pour cela que les agences de renseignement, comme l’avaient exposé les révélations Snowden, ne ciblaient pas en priorité les plateformes. Elles ciblaient les câbles. La surveillance la plus puissante ne se loge pas dans les applications. Elle se loge dans l’infrastructure.
Bruce Schneier, cryptologue américain, l’écrivait en 2013 : « Welcome to a world where your cell phone company knows exactly where you are all the time […] and where the government accesses it at will without a warrant. We’ve ended up here with hardly a fight. » (« Bienvenue dans un monde où votre opérateur sait exactement où vous êtes à tout moment, et où le gouvernement y accède à sa guise, sans mandat. Nous en sommes arrivés là sans presque résister. ») Ce qu’il décrivait comme une dérive, la directive ePrivacy et le RGPD ont cherché à l’encadrer. Ce que le décret de 2025 institutionnalise sur ces mêmes réseaux qui alimentent Utiq commanderait, a minima, qu’une autorité compétente examine la cohérence de l’ensemble.
Orange, SFR et Bouygues ne sont pas des acteurs publicitaires qui auraient construit des réseaux. Ce sont des opérateurs d’infrastructure qui ont décidé de devenir des acteurs publicitaires. La différence n’est pas sémantique. Vous ne contractez pas avec eux comme vous créez un compte sur un réseau social, avec la conscience implicite que le service est financé par votre attention. Vous leur confiez vos communications parce qu’il n’y a pas d’autre voie. Ils occupent une position structurellement dominante, souvent héritée d’une concession publique, sur la seule infrastructure qui vous relie au réseau. Ce n’est pas un contrat de service. C’est un contrat de confiance. Et transformer ce contrat en inventaire publicitaire, c’est précisément ce qu’Utiq fait.
En 2008, Paul Hermelin, alors directeur général de Capgemini, déclarait : « La vie privée, c’est terminé. Cela restera comme une petite parenthèse dans l’Histoire. » La formule exprimait un état d’esprit que l’industrie numérique, dix-huit ans plus tard, n’a jamais vraiment abandonné : la vie privée comme obstacle temporaire, destiné à se dissoudre à mesure que les usages et les tolérances évoluent. Utiq ne s’inscrit pas dans cette logique comme une violation délibérée. Il s’y inscrit comme une redéfinition progressive des frontières du consentement. C’est plus difficile à nommer, bien plus difficile à combattre.
Et pourtant…
Ce que l’Union européenne n’a pas encore tranché
En 2025, après huit ans de blocage sous pression des acteurs industriels, la Commission européenne a renoncé à la réforme du règlement ePrivacy, le texte qui devait précisément encadrer ce type de traçage réseau. Son abandon est le résultat d’années de lobbying des acteurs mêmes de l’écosystème publicitaire. Entre le cadre et le vide, on a choisi le vide.
Dans cet espace d’incertitude, Utiq opère depuis trois ans. Le régulateur allemand a qualifié le dispositif d’« ambivalent » dès mars 2023. L’Autorité de protection des données belge, territorialement compétente pour Utiq SA dont le siège est établi à Bruxelles, n’a rendu aucune décision. La CNIL française a déclaré suivre la technologie « de près » sans produire d’analyse publique. Trois ans de silence sur un dispositif qui revendique des dizaines de millions d’identifiants, c’est le symptôme d’une difficulté réelle : les questions soulevées par Utiq se situent à l’intersection de plusieurs régimes juridiques que nos institutions ne sont pas organisées pour examiner ensemble.
Et pendant que ce débat devrait s’ouvrir, un autre se referme.
Le 19 novembre 2025, la Commission européenne a présenté le Digital Omnibus, un paquet législatif officiellement destiné à simplifier le droit numérique européen. L’une de ses dispositions touche directement Utiq : pour un acteur donné, des données pseudonymisées ne seraient plus automatiquement des données personnelles si cet acteur ne dispose pas de moyens raisonnablement susceptibles d’identifier la personne concernée. En clair : le jeton Utiq, identifiant pseudonyme, pourrait cesser d’être une donnée personnelle pour Utiq lui-même, au motif qu’Utiq ne détient pas directement les moyens de réidentification. Que l’opérateur, lui, les détienne n’entre plus en ligne de compte.
La portée est considérable. Le Conseil d’État vient de confirmer, le 4 mars 2026, qu’un identifiant pseudonyme est une donnée personnelle et que le consentement doit être prouvé pour chacun. Le Digital Omnibus pourrait rendre cette décision obsolète en un coup. Pas par une décision de justice. Pas par une réforme débattue au Parlement. Par un acte d’exécution que la Commission se réserve le droit de prendre unilatéralement pour préciser quelles données pseudonymisées ne sont plus des données personnelles, permettant à certaines activités d’échapper au RGPD.
Le Comité européen de la protection des données et le Contrôleur européen des données ont publié un avis conjoint le 11 février 2026 dans lequel ils considèrent que les modifications proposées vont « au-delà d’un ajustement technique », ne sont pas conformes à la jurisprudence de la Cour de justice de l’UE, et auraient pour effet de « réduire considérablement le périmètre des données protégées ». D’après l’association noyb, il s’agit de « la plus grande attaque contre les droits numériques européens depuis des années ».
Sous la pression, le Conseil de l’UE a retiré la redéfinition explicite du projet dans son texte de compromis de février 2026. Mais la Commission conserve le pouvoir de prendre des actes d’exécution sur la pseudonymisation. La retraite est tactique.
La Commission qui a laissé passer Utiq au titre de la concurrence est la même qui a renoncé au règlement ePrivacy. La même qui a proposé le Digital Omnibus. Chaque étape réduit le périmètre réglementaire disponible pour saisir exactement ce type de traçage. Ces coïncidences sont désagréables à observer.
Pour l’heure, l’apparence de légalité tient lieu de légalité. Et le clic continue de valider ce qu’il ne devrait pas pouvoir autoriser.
Ce que les autorités compétentes doivent instruire
L’objectif n’est pas d’interdire par principe un dispositif qui n’a pas encore été formellement évalué, mais d’obtenir que les autorités compétentes se prononcent sur deux questions que le droit positif n’a pas encore tranchées.
La première : le mécanisme de recueil du consentement par bannière d’éditeur tiers satisfait-il aux exigences de l’article L.34-1 IV du code des postes et des communications électroniques ? La seconde : le profil collectif de foyer que produit mécaniquement l’architecture d’Utiq repose-t-il sur une base légale identifiable ?
Ces questions appellent une réponse juridiquement fondée. Seules les autorités compétentes sont à même de la fournir. La CNIL et l’Autorité de protection des données belge doivent ouvrir une investigation dans le cadre des prérogatives qui leur sont attribuées. Les associations habilitées, notamment noyb et La Quadrature du Net, pourraient déposer la plainte collective que trois ans de silence réglementaire rendent nécessaire.
Sur le fond, la question dépasse les autorités de protection des données. Les opérateurs d’infrastructure télécoms occupent une position de confiance fondée sur un contrat d’abonnement et sur l’accès exclusif à des données que personne d’autre ne peut collecter. Que cette position devienne la matière première d’une régie publicitaire mérite d’être interrogé dans les enceintes qui en ont la légitimité démocratique.
Le consentement n’a pas disparu.
Ce qui a disparu, c’est la volonté d’instruire. Les textes existent. Les questions sont posées. Les autorités compétentes savent où regarder. Trois ans de silence réglementaire ne prouvent pas qu’Utiq est légal. Ils prouvent que personne n’a encore eu à se prononcer.
Qui ne dit mot consent. Le titre de cet article visait l’internaute. Il vise aussi, et peut-être surtout, ceux qui ont pour mission de veiller. Le clic de l’un vaut accord. Le silence de l’autre vaut absolution. Et c’est cette absolution-là, silencieuse et injustifiée, qui permet à Utiq de prospérer.