« ;Si c’est gratuit, c’est que vous êtes le produit ;», voici en quelques mots le résumé de la situation des internautes sur le web aujourd’hui. Lorsque vous parcourez la toile, une multitude de services sont offerts gratuitement. À commencer par Facebook, avec ses plus de 2 milliards d’utilisateurs actifs par mois. Mais il n’y a pas que Facebook qui offre des services soi-disant « ;gratuits ;» en échange des données des utilisateurs. Que ce soit avec YouTube, Twitter, Amazon, Microsoft, et bien d’autres entreprises, les utilisateurs utilisent des services gratuits, mais offrent en contrepartie l’accès à leurs informations personnelles. Ces données sont ensuite utilisées pour proposer de la publicité pertinente en lien avec les centres d’intérêt des utilisateurs. Bien évidemment, une telle approche suppose que les moindres faits et gestes des utilisateurs sur la toile soient espionnés afin de leur offrir de la publicité liée à leurs goûts. Avec la prise de conscience de cet état de fait, de nouvelles réglementations ont vu le jour afin de mieux protéger les données collectées par les entreprises sur les utilisateurs. La référence en la matière au niveau européen est le Règlement général sur la protection des données (RGDP abrégé GDPR en anglais) qui a pour vocation de protéger les données à caractère personnel. Pour éviter de se faire épingler sur les droits des utilisateurs, un guide pratique pour les développeurs est disponible à cette page.
À l’occasion de la journée internationale de la protection des données célébrée ce 28 janvier, la Fondation Panoptykon, l’organisation de défense des droits numériques basée à Varsovie, a décidé de porter plainte auprès de l’autorité polonaise de protection des données (DPA) contre Google et le Bureau de la publicité interactive en Europe (abrégé IAB en anglais) au titre du RGPD. Cette plainte a été déposée contre ces deux entités, car pour Panoptykon, Google et IAB sont des acteurs clés du marché de la publicité et définissent des normes pour les autres acteurs du marché de la publicité. Nous soulignons que l’IAB met le système Real Time Binding (RTB) à la disposition des entreprises afin de leur permettre d’acheter aux enchères en temps réel des espaces publicitaires sur les pages visitées par les utilisateurs pour proposer des annonces basés sur les centres d'intérêt des utilisateurs. Google pour sa part met à la disposition des entreprises son système nommé « ;Authorized Buyers ;» anciennement nommé « ;DoubleClick Ad Exchange ;» également abrégé AdX. En plus de faire usage d’Authorized Buyers, Google utilise également le protocole OpenRTB pour gérer les offres et les demandes publicitaires à son niveau.
Pour mieux comprendre l’objet de la plainte de Panoptykon, il faut savoir que chaque fois qu’une personne clique sur le lien d'une page web, des données personnelles intimes qui décrivent l’utilisateur et ce qu’il regarde en ligne sont diffusées à des centaines, voire des milliers d’entreprises. Ces données peuvent inclure par exemple l’âge, le sexe, le lieu de résidence, l’adresse IP, les détails de l’appareil utilisé pour accéder au contenu en ligne, l’URL de chaque page visitée ainsi que le contenu des pages visitées comme les tendances pornographiques, des informations déterminant l’origine ethnique, la race, les maladies, les vices, les orientations sexuelles comme l’homophobie, l’homosexualité, les goûts pour l’alcool, la drogue, etc. Ainsi, toutes ces informations sont utilisées par les entreprises technologiques de la publicité pour profiler chaque utilisateur de manière démographique, psychographique ou comportementale et sont proposés dans le réseau des entreprises utilisant les API des systèmes d’enchères cités plus haut afin de leur permettre de faire des propositions d’enchères en temps réel en fonction de la catégorie associée à l’utilisateur en vue d’afficher leurs annonces publicitaires.
Le problème est que ces données qui circulent entre ces entreprises qui doivent faire une offre d’enchère devraient être supprimées dans un délai de 18 mois. Mais comme on peut le présager, ces données qui circulent sur la toile ne peuvent faire l’objet d’aucun contrôle pour savoir si elles ont été supprimées. Elles pourraient donc rester dans le circuit publicitaire et être utilisées à posteriori par les entreprises à l’insu des utilisateurs. De même, à l’heure du RGDP, il est indispensable que les utilisateurs donnent leur consentement explicite avant l’utilisation de leurs données à ces fins comme l’exige l’article 9 du RGDP. En plus, que le consentement soit donné ou non, le traitement des données sensibles comme l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, les données de santé, les données concernant la vie sexuelle, les données génétiques, les données biométriques aux fins d’identifier une personne physique de manière unique est interdit par l’article 9 du RGPD. Enfin, après le traitement de ces données par les entreprises, les utilisateurs n’ont aucun moyen de vérifier à quel type de profil marketing ils appartiennent.
Pour Panoptykon, « ;tout le monde devrait pouvoir vérifier les catégories marketing qui lui ont été attribuées et les corriger ou les supprimer ;». Aussi, la fondation s’attaque directement à Google et l’IAB qu’elle désigne comme responsables vu que ce sont elles qui fixent les normes techniques et organisationnelles pour les enchères publicitaires. De ce fait, elles sont considérées par Panoptykon comme les régulateurs informels dans le secteur de la publicité interactive.
Dans sa plainte, Panoptykon demande de la transparence dans sa gestion des données des utilisateurs. Selon Katarzyna Szymielewicz, présidente de la fondation Panoptykon, « ;les systèmes de vente aux enchères sont obscurs par conception ;». « ;Le manque de transparence empêche les utilisateurs d’exercer leurs droits en vertu du RGPD. Il n’existe aucun moyen de vérifier, corriger ou supprimer les catégories marketing qui nous ont été attribuées, même si nous parlons de nos données personnelles. IAB et Google doivent redéfinir leurs systèmes pour remédier à cet échec ;», ajoute-t-elle. Pour d’autres intervenants, IAB et Google devraient faire en sorte que les données collectées ne puissent pas être recoupées afin de remonter à la réelle identité de l’utilisateur.
Cette plainte déposée par la fondation Panoptykon vient renforcer les premières plaintes déposées au Royaume-Uni et en Irlande en septembre dernier par Jim Killock du groupe Open Rights, Michael Veale de l’University College London et le Dr Johnny Ryan de Brave.
Source : Panoptykon, Brave, CNIL
Et vous ?
Que pensez-vous de cette plainte ;? Pourra-t-elle vraiment faire changer les choses ;? Quel est votre avis sur la catégorisation des utilisateurs par les entreprises publicitaires ;? Ont-elles poussé le bouchon trop loin ;? Pensez-vous que Panoptykon a raison de porter plainte contre Google et IAB ;? Ou pensez-vous plutôt qu’elle cherche à se faire un nom à travers cette plainte ;?Voir aussi
Étude : Google est le plus grand bénéficiaire du RGPD grâce à sa position dominante, et à une concentration sur le marché de la publicité en ligne Richard Stallman remet en cause l’efficacité du RGPD, il veut plutôt une loi qui empêche les systèmes de collecter des données personnelles L’IAB fait un état des lieux de l’écosystème de la publicité et propose des solutions pour que les utilisateurs abandonnent les bloqueurs de pub Google soutient l’initiative de l’IAB pour définir des normes de publicités acceptables et veut une mise en œuvre dans les mois à venir L’IAB (Interactive Advertising Bureau) : « ;On s’est plantés ;», l’industrie de la publicité en ligne reconnait avoir dépassé les limites 
