Plaintes contre la publicité digitale et les ventes de données personnelles aux enchères

La publicité digitale intrusive est dans le viseur de plusieurs ONG (Organisations non gouvernementales). Deux acteurs en particulier sont critiqués : Google et l’IAB (Interactive Advertising Bureau) Europe, le syndicat des professionnels de l’Adtech. 

Six organisations européennes portent plainte

Des organisations de défense des citoyens de six pays de l’Union Européenne ont porté plainte le 10 décembre contre les pratiques de l’industrie de la publicité digitale, l’Adtech (Advertising Technology) auprès de l’Autorité de protection des données personnelles de leur pays. Le mécanisme sur la sellette est celui des enchères en temps réel (Real Time Bidding ou RTB) où l’on brasse les cookies de millions de particuliers afin de placer sous leurs yeux des publicités les mieux ciblées possible.  

Les organisations de protection des droits considèrent que les systèmes de RTB impliquent le partage de données sensibles sur les individus sans leur consentement. « Ces données comprennent notamment l’historique de navigation internet, on peut retrouver l’orientation sexuelle ou encore les différents lieux où les personnes se sont rendues récemment » indiquent les plaignants.

La démarche de dépôt de plaintes est coordonnée par les organisations Civil Liberties Union for Europe, l’Open Rights Group et par la Panoptykon Foundation. Cette démarche vient après des plaintes sur le même sujet déposées en 2018 et en 2019 par des organisations d’autres pays mais qui ont eu peu de résultats. En 2019, des plaintes ont été déposées dans 13 autres pays de l’Union Européenne dont la France et l’Allemagne. Les six nouvelles organisations impliquées dans la plainte du 10 décembre 2020 sont Asociatia pentru Tehnologie si Internet (Roumanie) ; D3 Defesa dos Direitos Digitais (Portugal) ; GONG (Croatie) ; Global Human Dignity Foundation (Malte) ; Homo Digitalis (Grèce) et Institute of Information (Chypre).

Conclusions préliminaires à charge de l’autorité de régulation belge

Malgré tout, certaines plaintes de 2018 et 2019 ont bien déclenché une enquête d’une autorité de protection des données personnelles, en l’occurrence celle de Belgique. L’Autorité de protection des données (APD) belge a remis un rapport qui suscite un mouvement d’inquiétude du côté de l’IAB Europe. L’IAB Europe s’est opposé le 7 décembre aux conclusions préliminaires de l’enquête de l’APD menée sur le sujet du RTB et du TCF (Transparency & consent framework). Le TCF est un cadre de référence développé par l’IAB avec comme objectif de manipuler les données personnelles des internautes de manière transparente et responsable en respectant le RGPD.

Or, le rapport préliminaire de l’autorité de régulation belge conclut que l’IAB Europe viole les règles du RGPD. Face à ces conclusions, l’IAB Europe refuse tout d’abord d’être considéré comme un responsable du traitement de données au sens défini par le RGPD au prétexte qu’il est responsable du TCF qui est employé par les sociétés de l’Adtech. « Il y a un malentendu fondamental sur le TCF. Et il ne viole pas le RGPD » affirme l’IAB Europe. L’IAB se positionne comme le développeur d’un code de conduite RGPD et de bonnes pratiques et refuse d’endosser les responsabilités de centaines de sociétés commerciales impliquées dans la publicité digitale et qui emploient le cadre TCF.  

L’IAB a soumis sa réponse écrite à l’APD le 7 décembre. Le calendrier désormais est le dépôt des remarques des plaignants face aux réponses de l’IAB à la mi janvier 2021. L’IAB apportera ses réponses à la mi février. Il y aura une audience en mars ou avril. Une décision finale sera prise au début de l’été 2021.