Les règles du jeu

En août dernier, je tweetais sur le parcours de l'enfer pour refuser la surveillance de Decathlon. À ce jour, c'est le tweet qui m'a valu le plus de succès avec 1760 Retweets et plus d'1 million d'impressions. Manifestement, ce n'était pas suffisant pour avoir droit à une réponse de Yann, le CM de Decathlon. Quelques mois après cet épisode, quels ont été les changements ? Étudions cela en détail.

Dès votre arrivée sur le site Decathlon vous êtes accueilli par une bannière "Cookies : Les règles du jeu" :

Les règles de Decathlon, celles de la loi ?

Vous êtes habitué à ces dark patterns et instinctivement, vous cliquez sur le bouton "Refuser et fermer" en haut à droite ? J'ai fait cela aussi... Lisez attentivement le texte :

Certains partenaires ne demandent pas votre consentement pour traiter vos données et se fient à leur intérêt commercial légitime. Vous pouvez révoquer votre consentement ou vous opposer au traitement des données fondé sur l'intérêt légitime à tout moment en cliquant sur « En savoir plus »

Qui sont ces partenaires ? Mystère... Comment s'opposer au traitement des données fondé sur l'intérêt légitime ? Le texte de Decathlon est incohérent car il n'y a pas de bouton « En savoir plus ». Essayons néanmoins en cliquant sur "Paramétrer vos cookies" :

"Bien sûr, la balle est dans votre camp, à vous d'accepter ou de refuser certains cookies pour choisir ceux qui restent sur le terrain".

La bannière ne parle pas d'intérêt légitime, vous pouvez encore cliquer sur "Refuser tout". Continuons donc l'investigation en cliquant sur "Voir nos partenaires" :

La longue liste des partenaires de Decathlon.

Decathlon aime partager vos données personnelles et travaille avec pas moins de 26 partenaires : AB Tasty, AT Internet, Awin, Bing (Microsoft), Content Square, Dynamics Yield, Easyence, Epsilon, Google, Hotjar, IAdvize, Idealo, Kelkoo, Lucky Orange, Meta (Facebook), Mobsuccess, Ogury, Pinterest, Rakuten advertising, RTB House, SpeedCurve, Target 2 Sell, Teads, Teester, Valiuz et Verizon Media.

Là aussi, vous pouvez cliquer sur "Bloquer" pour "Tous les partenaires", vous ne verrez aucune mention à l'intérêt légitime, ces partenaires se basent sur votre consentement. Le mystère demeure sur les "partenaires" se basant sur l'intérêt légitime, il semble à première vue qu'un simple clic sur "Refuser et fermer" en haut à droite de la bannière initiale soit suffisant.

Via le site Consent String Decoder, je vérifie néanmoins ma chaîne de consentement, une chaîne de caractère qui encode mes choix et qui doit être respecté par les partenaires de Decathlon :

Les variables purposeConsents et purposeLegitimateInterests sont vides, aucun partenaire de Decathlon n'a de base légale pour traiter mes données personnelles.

Après refus, vous êtes quand même traqué par iAdvize

Après avoir cliqué sur "Refuser et fermer", je lance Charles Proxy pour observer les requêtes envoyées par mon navigateur :

Surprise ! Decathlon n'est pas le seul destinataire de mes données personnelles.

iAdvize suit donc votre navigation, grâce aux paramètres url, sourceVisitorId et deviceId. Le paramètre cookieConsent interroge également, il est renseigné à unknown ! iAdvize c'est quoi ? Une fenêtre conversationnelle sur le site Decathlon, pour favoriser l'achat :

Sporty par iAdvize, toujours disponible pour observer votre comportement !

Si je reviens sur la bannière cookies pour vérifier mes choix, via "Gestion des cookies" (et non "Données personnelles") en pied de page :

Beaucoup d'amour pour "les cookies non nécessaires".

Puis, si je clique sur "Gérer mes cookies" et que je cherche mon choix pour iAdvize :

J'ai bien refusé la surveillance d'iAdvize, Decathlon ignore donc mon choix.

Notez que Decathlon et iAdvize pourraient arguer du fait qu'iAdvize ne dépose pas de cookies lorsque vous cliquez sur "Refuser et fermer". Sauf que ce dernier vous identifie via les identifiants sourceVisitorId et deviceId, un fingerprint est bien un identifiant utilisateur et votre consentement est nécessaire :

La CNIL est explicite sur l'application de la directive ePrivacy, le "fingerprinting" est concerné.

L'inscription, avec un partenaire mystérieux mais un engagement fort

Vous souhaitez maintenant commander chez Decathlon ? Vous allez devoir vous inscrire :

En équipe ! Decathlon vous propose son offre avec "ses partenaires".

Vous avez déjà refusé la surveillance de 26 partenaires, pourquoi Decathlon vous reparle-t-il de "partenaires" ? Il semble que la référence soit plutôt aux vendeurs de sa marketplace, mais on aurait aimé que Decathlon soit plus explicite. Renseignez une adresse e-mail, puis un mot de passe :

Un "partenaire" de plus, Valiuz (retenez ce nom pour la suite).

Vous n'avez pas forcément envie de recevoir des newsletters Decathlon, via le mystérieux partenaire "Valiuz", ne cochez donc pas la case et cliquez simplement sur "Confirmer et continuer" :

Le numéro de téléphone est obligatoire, et bien sûr, ce n'est que pour vous contacter au sujet de votre commande ;-)

Vous pouvez également renseigner vos sports favoris. Sur la même page, Decathlon communique sur la manière dont vos données sont utilisées, pour la création de compte tout d'abord :

Avec des mots forts :

Où vont vos données ? Chez nous, et c'est tout ! Il est rare que l'on apprécie que notre email soit vendu à d'autres enseignes. Rassurez-vous, ce n'est pas la politique de la maison. Vos données ne sont destinées qu'à Decathlon : notre service logistique, notre centre de relation clients, etc. Si nos sous-traitants traitent vos données, ils ne le font qu’à des fins statistiques, de dédoublonnement ou de correction, et sur instructions de DECATHLON.

Decathlon communique avec les mêmes mots sur la manière dont vos données sont utilisées pour une communication :

On note la confiance du sportif :

Enfin, si malgré l'intérêt que nous portons à la protection de vos données vous n'étiez pas satisfait, vous pouvez formuler une réclamation auprès de la CNIL.

Ces engagements concernent la création de compte et les communications de Decathlon. Mais comme on l'a vu précédemment, avec votre consentement (excepté pour iAdvize), Decathlon peux partager vos données personnelles avec pas moins de 26 partenaires pour diverses finalités : "Publicités personnalisées", "Mesure d'audience et de performance des contenus" et "Personnalisation du contenu".

Certaines de vos données personnelles ne sont donc pas destinées qu'à Decathlon...

À la recherche des paramètres de vie privée

Étant méfiant, je souhaite vérifier si Decathlon a correctement protégé mon compte, avec les options les plus protectrices côté vie privée. Pour cela, je me rends sur "Mon tableau de bord" :

L'accès le plus rapide vers les paramètres de vie privée ?!

Dans la section "Gérer mon compte Decathlon" du menu, caché dans "Préférences", je découvre 2 entrées intéressantes, "Historique de navigation" et "Données personnelles" :

Victoire ?

Cliquons sur "Historique de navigation" :

Toujours "l'amélioration de l'expérience sur le site".

Lorsque vous décochez l'option, on vous explique que vous ne verrez plus les articles déjà consulté :

Cette option "Historique de navigation" est en effet bien cachée.

Si je clique maintenant sur "Données personnelles", je me retrouve sur la page "Vos données & Decathlon". Afin d'être sûr de ne pas louper d'options, je clique sur l'entrée "Sécurité" du menu de la page "Mon tableau de bord". Et là, surprise, un deuxième tableau de bord :

"Gérez toutes vos données à un seul endroit !" Si vous le trouvez ;-)

Là vous pourrez donner encore un peu plus d'informations à Decathlon, notamment vos mensurations :

Le capitalisme de surveillance s'attaque à votre corps.

L'idée ? Vous proposer des produits et services adaptés à votre morphologie :

Decathlon vous accompagne dans votre discipline, ça fait envie non ?

Regardons ensuite les "Préférences de communication" :

Évidemment, quasi toutes les communications sont pré-cochées.

Si vous cliquez sur "Vous désabonner de l'ensemble des informations", on vous demandera si vous êtes vraiment sûr :

Après tous ces efforts, on se demande si vous souhaitez vraiment louper nos communications commerciales.

Finalement, allons sur l'entrée "Utilisation des données" du menu :

Une autre page pertinente concernant votre vie privée, bien cachée n'est-ce pas ?

Si vous cliquez sur "Modifier" pour "Sites web et applications partenaires", vous verrez une page plus ou moins vide, selon vos comptes :

Toujours des partenaires, et pourtant "Vos données ne sont destinées qu'à Decathlon".

Je n'ai pas de "Sites web et applications partenaires", pas de partage supplémentaire de données personnelles. Si vous cliquez maintenant sur "Modifier" pour "Déduction des préférences par Decathlon" :

L'option est pré-cochée, un classique !

Si vous vous rappelez, j'ai déjà désactivé mon historique de navigation ainsi que toutes les communications, comment est-ce que Decathlon peut se permettre de continuer à "déduire" mes préférences ? Mystère... Cliquons maintenant sur "Modifier" pour "Partage avec Valiuz" :

Nouvelle option pré-cochée, pour partager vos données avec "un groupe d'enseignes".

On rappelle l'engagement de Decathlon lors de votre inscription :

Où vont vos données ? Chez nous, et c'est tout ! Il est rare que l'on apprécie que notre email soit vendu à d'autres enseignes. Rassurez-vous, ce n'est pas la politique de la maison. Vos données ne sont destinées qu'à Decathlon : notre service logistique, notre centre de relation clients, etc. Si nos sous-traitants traitent vos données, ils ne le font qu’à des fins statistiques, de dédoublonnement ou de correction, et sur instructions de DECATHLON.

Donc ce n'est pas la politique de la maison, mais c'est quand même ce que fait Decathlon, pour vos données personnelles les plus intéressantes : habitudes d’achat, adresse, composition de votre foyer, coordonnées. Vous avez beau avoir tout refusé, ce partage est activé par défaut, partage avec un groupe d'enseignes mystérieux. Aussi, via @Eriatolc, vous apprendrez que Decathlon vous enrôle automatiquement dans son programme fidélité.

En parlant de Valiuz, c'est un partenaire que j'avais déjà bloqué :

Un partenaire déjà bloqué, mais avec qui Decathlon partage quand même vos données personnelles.

Le texte de la bannière de consentement est intéressant d'ailleurs, Valiuz se permettant de faire beaucoup avec vos données personnelles :

VALIUZ contribue à personnaliser les bannières publicitaires diffusées en ligne (sur les sites internet des membres de l'alliance, les sites externes, les réseaux sociaux), promouvant les produits et services des annonceurs tiers (extension d'audience). Vos données ne sont jamais transmises aux annonceurs concernés. VALIUZ constitue des audiences (liste de personnes ayant des points communs) sur la base de vos données de navigation et des informations que vous avez transmises aux entreprises de l'alliance, et ces audiences sont exposées à des publicités en ligne qui correspondent à leur profil.

Sur la page "Vos données & Decathlon", section "NOS COMMUNICATIONS SONT ADAPTEES À VOTRE VIE SPORTIVE", vous pourrez en savoir un peu plus sur cette "extension d'audience" :

Valiuz vend des campagnes publicitaires basées sur votre profil, sur des sites web qui n'appartiennent pas à l'alliance ("extension d'audience"), un bien joli business !

En savoir plus sur Valiuz

Pour mieux comprendre ce que fait Valiuz, j'ai donc cliqué sur le lien "En savoir plus sur Valiuz" depuis la page "Partage avec le programme Valiuz" de Decathlon. Me voici sur le site Valiuz, et voici la liste des membres de l'alliance : Auchan, Boulanger, Kiabi, Leroy Merlin, Norauto, Flunch, 3 brasseurs, Alinea, Top Office, Saint Maclou, Tape à l'oeil, Jules, Electro Depot, Rouge-Gorge, Nhood, Chronodrive, Grain de Malice, Bizzbee, Decathlon, Oney, "et bien d'autres à venir !"

Sur la page "Comment ça fonctionne", Valiuz vous vend l'utilité de ses e-mails ciblés :

"Je suis une famille avec 2 enfants, qui a un intérêt marqué pour les produits frais & hi-tech pour la cuisine."

Valiuz vous vend aussi l'utilité de ses SMS et notifications ciblés :

"Je suis un(e) client(e) qui achète uniquement en magasin et jamais en ligne, et visite sa zone commerciale habituelle le samedi."

Mais Valiuz cherche également à vous rassurer :

Vos données ne sont, et ne seront jamais, ni revendues, ni échangées entre les enseignes partenaires de Valiuz. Seule Valiuz a accès aux données qui lui sont transmises par ses partenaires.

Valiuz créé un pot commun de vos données personnelles sur les différentes enseignes partenaires, pour mieux les exploiter :

Valiuz permet à Decathlon et aux autres enseignes partenaires de mieux vous cibler.

Qu'en est-il de l'identifiant unique créé par Valiuz ? La page "Mes droits" donne un peu de détail :

J'espère que vous êtes rassuré, toutes vos données identifiantes (votre adresse e-mail, votre adresse postale ou encore votre numéro de téléphone) sont hachés avant d'être comparés entre enseignes. Pour les petits malins d'entre vous qui se serviraient d'un système d'alias e-mail type SimpleLogin, Valiuz vous retrouvera grâce à votre numéro de téléphone (obligatoire à l'inscription) et à votre adresse postale (recommandée si vous avez commandé).

Au passage, le hash de votre adresse e-mail est probablement déjà connu des grandes plateformes et de toute l'adtech. Est-ce "sécurisé" comme l'indique Valiuz ?

"Valiuz assure une sécurité maximale".

On peut en douter, allez faire un tour sur le site "Have I been pwned" et vérifiez votre adresse e-mail, il est probable qu'elle ait fuitée (tout comme votre numéro de téléphone). Si c'est le cas, une personne ayant accès à la fuite pourra remonter à votre adresse e-mail depuis son hash.

Toujours sur la page "Mes droits", vous pouvez vous opposer à l'utilisation de vos informations liées à vos achats (en magasin et en ligne) dans le cadre de Valiuz :

Renseignez votre e-mail pour ne pas être surveillé via votre e-mail.

Pourquoi donner son adresse e-mail ? Ce serait la seule manière de vous "désabonner" :

Cette adresse email doit être connue d’un des membres de l’alliance, afin de nous permettre d’identifier le profil client concerné. Elle servira uniquement à vous envoyer un message de confirmation automatique et sera pseudonymisée (c’est-à-dire qu’elle sera transformée en une information de type 1a2b3c4d5e6f que nous allons comparer avec nos données pour prendre en compte votre demande).

En vrai, vous pouvez aussi décocher l'option "Partage avec le programme Valiuz" sur votre compte Decathlon. Mais il faudra le faire avec toutes les autres enseignes de l'alliance Valiuz pour lesquelles vous avez un compte, si tant est qu'elles proposent l'option :

Opposition au partage de mes données Decathlon à Valiuz vs opposition au service Valiuz d'une manière globale.

Lors de mon test en août dernier, il était possible de s'opposer au traitement des informations de navigation, au prix d'un magnifique dark pattern :

Quand c'est 'OFF', c'est 'ON'.

Alors comment faire pour bloquer le traitement des informations de votre navigation ? On en revient à la bannière de consentement initiale :

Le parcours du combattant.

pour refuser le cookie Valiuz, vous devez utiliser l’outil de gestion des cookies disponible sur le site internet de nos partenaires.

Ouf ! C'est donc déjà fait, dès le début de cet article. Il aurait néanmoins été intéressant de laisser l'utilisateur refuser cette surveillance directement depuis le site Valiuz, pour tous les sites de l'alliance. Vous devez maintenant cliquer sur "Tout refuser" sur la bannière de consentement de chacun des sites de l'alliance.

Et notez que lorsque Valiuz combine les informations liées à vos achats (en magasin et en ligne) avec les informations de votre navigation, cela fait beaucoup d'informations :

Pour mieux vous profiler, Valiuz récupère aussi "des données librement accessibles au public (open-data) ou issues de base de données fournies par des tiers (exemple: INSEE)."

Cadeau supplémentaire, les informations de votre navigation et le rapprochement avec les données détenues par les membres de l'alliance n'est pas opéré directement par Valiuz, il est effectué via l'adtech française Mediarithmics :

"Vos données ne sont destinées qu'à Decathlon", nouvel épisode.

Quelles bases légales pour les traitements de Valiuz ?

Question difficile, si l'on reprend les informations :

Valiuz se base sur le consentement (via la bannière cookies de Decathlon) pour :

• La personnalisation des bannières publicitaires diffusées en ligne (sur les sites internet des membres de l'alliance, les sites externes, les réseaux sociaux), promouvant les produits et services des annonceurs tiers (extension d'audience). VALIUZ constitue des audiences (liste de personnes ayant des points communs) sur la base de vos données de navigation et des informations que vous avez transmises aux entreprises de l'alliance, et ces audiences sont exposées à des publicités en ligne qui correspondent à leur profil.

Valiuz se base sur son intérêt légitime pour le reste, c'est à dire :

• Pour réaliser des analyses statistiques non individuelles permettant à ses entreprises partenaires de mieux comprendre les attentes de leur clientèle et d’y répondre en faisant évoluer leur activité.
• Pour améliorer la qualité des informations clients de ses entreprises partenaires et ainsi contribuer à leur mise à jour (exemple: identifier les personnes dont l’adresse postale est obsolète, pour arrêter de leur envoyer des communications).
• Pour segmenter les bases de données clients de ses entreprises partenaires et ainsi contribuer à améliorer la pertinence des communications qu’elles vous adressent.

On comprend mieux cette articulation dans la section "Quel est le service fourni par VALIUZ" sur la page "Politique données personnelles et cookies de l’Alliance" :

Intérêt légitime pour le profilage publicitaire, consentement pour les données de navigation et l'affichage de publicités ciblées.

Aussi, le message énigmatique de la bannière de consentement sur le site Decathlon fait maintenant sens :

Certains partenaires ne demandent pas votre consentement pour traiter vos données et se fient à leur intérêt commercial légitime. Vous pouvez révoquer votre consentement ou vous opposer au traitement des données fondé sur l'intérêt légitime à tout moment en cliquant sur « En savoir plus »

Sauf que l'opposition au traitement des données fondé sur l'intérêt légitime était un peu plus compliqué que de cliquer sur « En savoir plus », cette bannière est particulièrement malhonnête. Plus généralement, Decathlon semble avoir un problème avec la notion de consentement, comme en témoigne la page "Vos données & Decathlon", section "NOS COMMUNICATIONS SONT ADAPTEES À VOTRE VIE SPORTIVE" :

"[...] si et seulement si les personnes concernées ont consenti [...]", mais on se base quand même sur l'intérêt légitime.

Derrière Valiuz, le groupe Mulliez

Qui est derrière cette alliance "Valiuz" ? Si vous n'êtes pas un connaisseur du capitalisme à la française, vous ne devinerez pas forcément qu'Auchan, Decathlon ou Leroy Merlin appartiennent à la richissime famille Mulliez. L'article "Valiuz, le projet data aux 150 millions de cartes de fidélité du groupe Mulliez" (que vous pouvez lire grâce au mode "lecture" de votre navigateur), écrit en 2019, donne quelques informations :

• Valiuz touchait déjà 29 millions de foyers français.
• Il rassemblait donc plus de 150 millions de cartes de fidélité.
• Ce n'est pas la seule alliance, 3W.RelevanC (Casino) rassemblait 31 millions de consommateurs, l'article mentionne aussi RetailLink de Fnac-Darty.
• Mediarithmics renvoie les profils utilisateurs vers les Data Management Platforms (DMP) des différents membres de l'alliance, d'autres acteurs actech récupèrent donc vos données personnelles enrichies.
• Pour l'instant circonscrite à la galaxie Mulliez, l'initiative pourrait s'ouvrir à d'autres groupes dans les mois qui viennent. Notamment sur les verticales où les entités membres de l'AFM ne sont pas présentes, comme les télécoms, par exemple.

Si vous vous rappelez, Valiuz déclarait :

Vos données ne sont, et ne seront jamais, ni revendues, ni échangées entre les enseignes partenaires de Valiuz. Seule Valiuz a accès aux données qui lui sont transmises par ses partenaires.

Valiuz propose aussi une application de cashback, pour siphonner vos transactions bancaires

Valiuz récupère vos historiques d'achats sur le web et en magasin auprès des membres de l'alliance. Mais pourquoi ne pas récupérer toutes vos transactions bancaires ? Évidemment, si vous êtes un minimum concerné par votre vie privée, vous n'utiliserez pas ce genre d'applications, mais Valiuz propose une application de "cashback" appelé Naomi :

Cumuler des récompenses automatiquement, intéressant n'est-ce pas ?

À l'inscription, Naomi vous demande les accès à votre compte bancaire :

"Tes informations de connexion bancaire nous permettent simplement d'identifier tes achats pour verser tes gains."

Naomi n'a en effet pas accès aux identifiants bancaires, "seulement" à l'ensemble des transactions bancaires du client :

Confidentialité et sécurité, pourquoi s'inquiéter ?

La "politique de protection des données personnelles" de l'application Naomi est intéressante. On note que les études statistiques sur vos transactions bancaires se basent sur l'intérêt légitime de Naomi alias Valiuz :

Toujours la fameuse pseudonymisation, avec maintenant l'ensemble de vos transactions bancaires.

Vu la sensibilité des données récupérées, vous ne serez pas forcément rassuré de lire que Naomi passe par des sous-traitants pour de nombreuses actions :

"études statistiques, segmentation et profilage publicitaire à partir des données", effectué par des sous-traitants dont vous n'avez pas le nom.

Cerise sur le gâteau, Naomi travaille avec les rois du capitalisme de surveillance, Google et Facebook :

Les fameux "pixels", des vecteurs de tracking très efficaces.

Mais les transactions bancaires ne sont pas assez précises, Naomi veut savoir exactement ce que vous avez acheté, et vous propose donc de scanner les tickets de caisse :

Naomi récupère ainsi le détail des achats: nature du produit, magasins, date, montant.

Notez que, à la différence de Decathlon, la base légale du profilage pour l'alliance Valiuz est le consentement :

Vous avez de la chance, les achats ou paiements sensibles ou qui ne correspondent pas à un achat ne sont pas partagés par Naomi.

Comme le dit si joliment le compte Twitter de Valiuz :

Valiuz, mieux vous connaître pour mieux vous parler.

Le capitalisme de surveillance recrute

Convaincu par cet article élogieux, vous décidez d'aller sur la page Valiuz de Welcome to the Jungle et de lire les offres d'emplois. Si vous êtes dans l'opérationnel, vous pourriez être Account Manager Programmatique par exemple :

"Spécialisée dans la mise en place de modèles économiques autour de la data".

Si vous vous sentez l'âme d'un commercial, vous pourriez être Sales Manager - Retail Media :

"Valiuz Media, l’offre retail la plus puissante du marché : 18 enseignes complémentaires, 55 millions de clients encartés, 1,7 milliards de transactions omnicanales, 3 520 magasins en France."

Mais pourquoi travailler chez Valiuz me direz-vous ?

"[...] la plus large base data clients de France" ça fait rêver, non ?

Le mot de la fin, sur la page d'accueil de Valiuz, avec "Nos valeurs" :

"Nous ne commercialisons pas vos informations."

Une surveillance publicitaire toujours plus intrusive

En dépit de la règlementation (RGPD, ePrivacy, CCPA), des protections navigateurs (Firefox, Safari ou Brave), des bloqueurs de publicité sur navigateur (uBlock Origin) ou via service DNS (NextDNS, Adguard ou Pi-hole), la surveillance publicitaire n'a pas diminuée. Elle a muté pour contourner vos protections.

L'accélérateur de cette évolution ? Facebook évidemment, avec ses "signaux résilients", lui permettant de siphonner une large part des données générées par vos activités en ligne et hors-ligne. Le cookie tiers comme vecteur de surveillance étant en voie de disparition (Google Chrome est l'exception), il fallait trouver de nouveaux vecteurs de surveillance, qui ne puissent être simplement réinitialisés par les internautes. Prenant pour inspiration des "champions" de l'adtech tels que Criteo, Facebook incite les annonceurs à lui transmettre votre e-mail, votre nom, votre numéro de téléphone ou votre adresse postale : des "signaux résilients".

Si de nombreux acteurs de l'adtech (Liveramp, Criteo) vous identifient depuis longtemps via votre e-mail, le phénomène est relativement nouveau chez les grandes plateformes publicitaires. L'étude "Leaky Forms: A Study of Email and Password Exfiltration Before Form Submission" illustrait l'étendue des fuites d'e-mail sur le web, vers des acteurs de l'adtech, mais aussi vers Facebook et TikTok.

Comment votre e-mail pourrait-il fuiter vers ces grandes plateformes ? C'est ce que nous allons découvrir avec Guerlain, un des fleurons du luxe à la française, et propriété du groupe LVMH.

Avant même la création de compte Guerlain, le hash de votre e-mail fuite déjà vers Pinterest

Pour ce test, naviguons sur le site Guerlain, avec l'outil Charles Proxy activé, et cliquons exceptionnellement sur "Accepter et fermer" à l'affichage de la bannière de consentement (au crédit de Guerlain, je n'ai pas noté de fuites de hash e-mail si refus) :

"Améliorer votre expérience et vous proposer des services et des communications adaptés à vos centres d’intérêts", message en apparence inoffensif.

Puis, naviguons sur la page de création de compte Guerlain, et commençons à renseigner le formulaire :

Ces données personnelles ne devraient concerner que Guerlain, n'est-ce pas ?

Regardons ce qui se passe sur Charles Proxy lorsque vous renseignez votre e-mail, avant même de confirmer l'e-mail :

Remarquez une étrange requête vers le réseau social Pinterest.

Le paramètre pd de la requête vers Pinterest contient un autre paramètre em, constitué d'une longue chaine de caractère en apparence indéchiffrable. La documentation de Pinterest pour les annonceurs donne la réponse :

pd: Partner data.

em: hashed email address value.

Guerlain fuite donc un hash de votre adresse e-mail à Pinterest avant même que vous n'ayiez confirmé la création de votre compte ! Ce service s'appelle en fait "Enhanced Match" (la signification de em), j'en avait parlé en mai dernier :

Pas de cookies tiers ? Pas de problème !

Mais ne vous inquiétez pas, Pinterest utilise un hash de votre adresse e-mail, et la connexion vers Pinterest est sécurisée, votre vie privée est protégée !

Permettre à des sites web de fuiter votre e-mail, et prétendre le faire pour protéger votre vie privée !

La réalité, c'est que la correspondance entre votre e-mail et son hash circule déjà probablement largement et que des sociétés se font de l'argent dessus.

Comment vérifier vous-même si Guerlain fuite un hash de votre e-mail à Pinterest ? Renseignez votre e-mail sur ce site, en sélectionnant la bonne fonction de hachage (souvent SHA256) :

Bienvenue dans la matrice.

Bingo, la valeur chiffrée 14d0247dc47a564d9fd70f7e895915e8daa5c8a455549f2b559d5a42cbf0653c correspond au champs em envoyé à Pinterest.

Notez que lorsque l'annonceur envoie directement des données clients à Pinterest, celui-ci n'est pas si regardant sur l'e-mail :

email: We support both hashed (SHA256, SHA1, MD5) and cleartext customer data fields.

Confirmez la création du compte, et dites adieu à vos données personnelles

Je finis maintenant de remplir le formulaire, et je clique sur 'Confirmer'. Les fuites de données personnelles y sont massives :

Notons déjà l'usage illicite de Google Analytics (si Guerlain souhaitait continuer à utiliser Google Analytics, il lui faudrait suivre ces recommandations de la CNIL).

En zoomant sur les paramètres envoyés à Google Analytics, on note le même hash de votre e-mail (SHA256), envoyé via le paramètre cd11 (une dimension 'custom', que Guerlain a donc pris la liberté de créer spécialement pour l'occasion). Il se trouve que la pratique est interdite par Google Analytics (si seulement Google appliquait son règlement) :

Pour protéger la confidentialité des utilisateurs, les règles Google interdisent l'envoi de données que nous pourrions utiliser comme des informations permettant d'identifier personnellement l'utilisateur ou considérer comme telles.

Vous pourriez argumenter : il s'agit d'un hash de mon e-mail, pas de mon e-mail en clair (comme si Google ne connaissait pas déjà votre e-mail et donc son hash). Sauf que Google a pris soin d'interdire également l'envoi de hash à Google Analytics :

Guerlain viole les règles de Google Analytics pour mieux vous surveiller, au calme.

Avec Guerlain, la surveillance est américaine mais elle est aussi chinoise puisque le même hash de votre e-mail fuite vers TikTok (la télécommande magique de Xi Jinping) :

TikTok est plus transparent, la variable s'appelle email.

Cette fuite est permise grâce à la fonctionnalité "Advanced Matching" de TikTok :

Bien sur, côté vie privée tout est étudié, fingerprinting si pas de match :

"Privacy Safe", par TikTok.

Le hachage SHA256, où la baguette magique de la protection de la vie privée :

TikTok n'est pas capable d'identifier les clients qui ne sont pas utilisateurs de TikTok, sauf que TikTok aspire les carnets d'adresses de ses utilisateurs...

Et pour les annonceurs feignants, TikTok propose l'option "Automatic Advanced Matching", ce qui lui permet de scanner tout seul les différents champs des formulaires, afin d'y récupérer par exemple votre e-mail et votre numéro de téléphone :

Réjouissez-vous les annonceurs, le spyware TikTok peut automatiquement récupérer les données personnelles de vos clients !

Notez que là encore, TikTok n'a rien inventé, il s'est contenté de copier Facebook.

Consultez une nouvelle page, votre e-mail fuite vers Facebook

Il était étonnant de ne pas voir Guerlain fuiter votre e-mail vers Facebook. Si vous consultez une page supplémentaire, vous verrez l'appel vers Facebook contenir une variable udff[em], celle-ci contenant le hash SHA256 de votre e-mail :

em, le petit mot pour votre e-mail.

La correspondance avancée permet aux annonceurs de fuiter une large palette de données personnelles :

Ne vous inquiétez pas, Facebook saura vous retrouver.

Facebook Advanced Matching est loin d'être le seul outil Facebook mis à la disposition des annonceurs pour vous surveiller, vous en trouverez d'autres sur ce fil :

Pinterest, Google, TikTok et Facebook récupèrent l'intégralité de votre surf sur le site Guerlain, associé à un identifiant persistant (votre e-mail), mais celui-ci n'est pas une exception dans la galaxie LVMH, regardons par exemple Givenchy.

Création de compte Givenchy et fuites de données personnelles

Si vous créez un compte Givenchy, vous noterez également des fuites basées sur votre e-mail (hash SHA256 toujours), maintenant vers Snapchat via la variable u_hems :

Un réseau social américain de plus, pourquoi se priver ?

Snapchat facilite aussi la vie des annonceurs, comme vous pourrez le lire sur ce thread :

Création de compte Givenchy Beauty et fuites de données personnelles

À peine ai-je démarré la création de compte Givenchy Beauty (différent de Givenchy), que je vois des requêtes étranges passer via Charles Proxy :

La variable browser-info est très détaillée, combinée à votre adresse IP, elle permet à Yandex d'avoir un fingerprinting d'une grande finesse. La variable pointer-click récupère la localisation en pixel de tous vos clicks. Alors, heureux de voir votre comportement fuiter vers la Russie ?

Mais ce n'est pas terminé, la société française ContentSquare semble récupérer beaucoup d'informations sur ce que vous tapez (keylogger ?!) :

Every move you make, every step you take, I'll be watching you.

Après avoir renseigné prénom et nom, cliquez sur 'Continuer' :

Vérifiez sur Charles les requêtes envoyés, le hash de votre prénom (udff[fn]) et de votre nom (udff[ln]) fuitent déjà vers Facebook :

À l'étape suivante, lorsque vous renseignez votre e-mail, le hash celui-ci (udff[em]) fuite en direct vers Facebook (sans même cliquer sur 'Continuer') :

Notez les fuites vers Google Analytics et Doubleclick, tandis que ContentSquare continue de récupérer des informations pendant que vous créez votre mot de passe...

Notez que je n'ai testé que 3 sites du groupe LVMH, au hasard. Il est probable que cette surveillance des grandes plateformes publicitaires via des données persistantes telles que votre e-mail soit généralisée chez LVMH.

Toutes les grandes plateformes publicitaires ont un service de "Matching"

Nous avons pu constater l'utilisation du service de matching de Facebook, TikTok, Pinterest ou Snapchat par des sites du groupe LVMH. Évidemment, au delà de son service Google Analytics, Google n'est pas en reste :

Le dernier jouet d'Elon Musk, Twitter, propose également son service de "matching" :

Les sites du groupe LVMH sont loin d'être une exception comme le témoigne l'étude Leaky Forms. Un grand nombre d'annonceurs s'appuient déjà sur ces méthodes invasives, et avec la prochaine disparition des cookies tiers sur Chrome (si Google le veut bien), ce mode de tracking devient le standard.

Comment se protéger

À défaut de sanctionner ce genre de pratiques (bonjour la CNIL), vous devrez vous protéger individuellement. Les adblocks étant inefficaces (à moins de bloquer tous les appels vers Google et vers les réseaux sociaux), les protections navigateurs étant inefficaces (tracking basé sur une donnée persistante, pas sur des cookies), une option est de passer par un alias d'e-mail différent pour chaque service que vous utilisez. Je connais ces 4 services mais vous pourrez sans doute en trouver d'autres sur le net :

• SimpleLogin, racheté par ProtonMail récemment, ce qui augure d'une intégration intéressante.
• Firefox Relay, directement depuis votre navigateur préféré.
• DuckDuckGo Email Protection, avec l'extension DuckDuckGo, pour une bonne protection sur le web.
• Masquer mon adresse e-mail si vous êtes chez Apple, avec notamment une intégration Safari.

Notez qu'il y a des limites : les alias e-mail ne vous protégeront pas lorsque Facebook (ou autres) effectuera le "matching" via votre numéro de téléphone, votre prénom et votre nom, ou bien votre adresse postale.

À l'origine de cet article

Début février, les CNILs Européennes, emmenées par l'APD (la CNIL Belge), ont jugé que les bannières de consentement estampillées IAB étaient illégales. Pour rappel, l'IAB (International Advertising Bureau) est le lobby de l'adtech, et 80% des sites web Européens utilisent le protocole proposé par l'IAB Europe (le "Transparency & Consent Framework" ou TCF) pour faire fonctionner ces fameuses bannières de consentement.

J'avais déjà pu écrire sur ces bannières de consentement et leurs simulacres de légalité :

• "Le recueil du consentement sur internet : un mensonge généralisé".
• "Le Figaro, emblème du tracking publicitaire invasif des sites médias français".
• "La grande braderie de vos données personnelles sur Le Bon Coin".
• "Comment les éditeurs se moquent de la CNIL".

Même la directrice de la CNIL anglaise ne semble plus les supporter :

“I often hear people say they are tired of having to engage with so many cookie pop-ups. That fatigue is leading to people giving more personal data than they would like.

“The cookie mechanism is also far from ideal for businesses and other organisations running websites, as it is costly and it can lead to poor user experience. While I expect businesses to comply with current laws, my office is encouraging international collaboration to bring practical solutions in this area.

Pourtant, ces "bannières cookies" sont bien la création d'un lobbying intense de l'adtech, afin d'éviter la création un mécanisme de contrôle "Opt-In" au niveau du navigateur. La fatigue au consentement était prévue et voulue par l'adtech. Et la CNIL anglaise est complice de ce fiasco, comme le raconte Alexander Hanff dans l'article "The truth behind cookie banners".

Avec la décision de l'APD, est-ce la fin des bannières honnies ? Pas forcément, l'IAB Europe, ayant fait appel de la décision de l'APD. Pour rappel, voici un schéma représentant les différentes fuites de données personnelles :

Via Johnny Ryan, du temps où il travaillait chez Brave. Rendre le RTB (et le TCF de l'IAB) compatible avec le RGPD, mission impossible ?

Aussi depuis l'été dernier, j'ai une longue correspondance par e-mail avec Benoit Oberlé, CEO et cofondateur de Sirdata, trésorier de l'IAB France et Vice-Président du comité de pilotage du "Transparency & Consent Framework". Sirdata est une société intéressante à plusieurs titres : elle propose une CMP (Consent Management Platform) aux éditeurs, en version gratuite ou payante. C'est aussi un fournisseur de données contextuelles et comportementales.

Les éditeurs qui acceptent de partager la donnée personnelle des internautes ne paient d'ailleurs pas la CMP Sirdata :

Une CMP pouvant être "financée par la donnée".

Si nous avons des désaccords, Benoit a toujours pris le temps de répondre à mes questions et d'expliciter les choix de Sirdata, et à ce titre, je le remercie vivement. De nos échanges, je souhaitais écrire un article pour illustrer les choix d'une CMP utilisant le protocole de l'IAB, et la CMP Sirdata était le parfait exemple.

Sirdata sur Psychologies.com

Pour étudier la CMP Sirdata, allons sur le site Psychologies.com avec le navigateur Chrome. Nous sommes accueillis par une bannière de consentement en apparence assez classique :

À votre avis, sur quel bouton l'internaute pressé va-t-il cliquer ?

Vous noterez la mise en valeur de l'option "Tout accepter et continuer", à la différence des options "Paramétrer vos choix" et surtout "continuer sans accepter". Il s'agit d'un "Dark Pattern" adopté par de nombreux sites web français, ayant reçu la bénédiction de la CNIL.

Si vous ne prenez pas le temps de lire le texte de la bannière de consentement, vous pourriez néanmoins rater 2 informations cruciales :

• Certaines sociétés de l'adtech ne se basent pas sur votre consentement mais sur l'intérêt légitime pour traiter vos données personnelles.
• Vos choix ne s'appliquent pas seulement sur Psychologies.com mais également sur quelques 4000 autres sites web.

L'intérêt légitime comme base légale de traitements

Voici un extrait de la bannière de consentement proposé par Sirdata :

Vous pouvez [...] faire un choix plus granulaire ou vous opposer aux traitements basés sur des intérêts légitimes via l'écran de paramétrage.

Traduction : Si vous cliquez simplement sur "Continuer sans accepter", certaines sociétés adtech continueront de se baser sur l'intérêt légitime pour traiter vos données personnelles. Pour vous opposer à ces traitements basés sur des intérêts légitimes, vous devrez aller sur l'écran de paramétrage (option "Paramétrer vos choix").

Revenez donc sur la bannière de consentement pour vérifier vos choix après avoir cliqué sur "Continuer sans accepter". Pour cela, il vous faut scroller jusqu'au pied de page du site Psychologies.com, ne pas cliquer sur "Données personnelles & Cookies" mais sur "Consentement" (le lien ne paraît pas cliquable, pourtant il l'est) :

Le lien caché, pourtant "il doit être aussi simple de retirer son consentement que de le donner".

Notez l'apparition du bouton "Tout refuser et continuer" :

Puis, afin de vérifier l'effet de votre choix précédent ("Continuer sans accepter"), cliquez sur "Paramétrez vos choix". Vous verrez que les différents traitements publicitaires ne sont pas décochés, comme si vous n'aviez pas déjà choisi :

"Continuer sans accepter" ne veut donc pas dire "refuser", pourquoi ?

Suivez ensuite ces étapes :

• Développez l'option "Publicité personnalisée".
• Développez l'option "Créer un profil personnalisé de publicités".
• Notez que l'option "Pour cette activité, les partenaires suivants se reposent sur leur intérêt légitime", est pré-cochée. Développez l'option.

Vous verrez apparaître le partenaire "Sirdata Cookieless" :

"Sirdata Cookieless" apparait comme "non refusé". Vous devez donc vous opposer à l'intérêt légitime pour refuser ce traitement.

Cette option accessible via la CMP Sirdata permet au fournisseur de données comportementales Sirdata de constituer des profils publicitaires même si l'internaute n'a pas donné son consentement.

D'ailleurs, si vous décidiez de développer l'option "Pour cette activité, les partenaires suivants demandent votre consentement", vous verriez apparaitre le partenaire "Sirdata" avec la mention "non accepté" :

"Sirdata" apparait comme "non accepté". Sirdata ne peut pas se baser sur votre consentement pour créer un profil personnalisé de publicité.

Sirdata joue ainsi sur 2 tableaux pour ses traitements publicitaires (dont la création de profil personnalisé de publicité) :

• Le partenaire "Sirdata" se base sur votre consentement si vous cliquez sur "Tout accepter et continuer".
• Le partenaire "Sirdata Cookieless" se base sur son intérêt légitime si vous cliquez sur "Continuer sans accepter".

Avec consentement, Sirdata utilise des cookies et peut partager des identifiants et des segments d'audience avec les partenaires publicitaires. Sans consentement et sur la base d'un intérêt légitime, Sirdata se place en amont de la plateforme de vente (adserveur ou SSP) pour qu'elle puisse vendre des campagnes publicitaires ciblées avec de la donnée Sirdata lorsque l'utilisateur appartient au(x) bon(s) segment(s) d'audience.

Avec son offre "Cookieless", Sirdata continue de vous profiler et d'exploiter votre profil pour de la publicité personnalisée, mais le partage d'informations avec des tiers est plus limité. L'offre Sirdata est résumée ici :

Si vous cliquez sur "tout refuser", Sirdata propose de la publicité contextuelle. Au global, Sirdata juge son offre "respectueuse de la vie privée".

Afin de refuser la constitution d'un profil personnalisé de publicité Sirdata (et plus généralement, les différents traitements publicitaires des sociétés de l'adtech), il vous faudra donc lors de votre premier surf :

• Cliquez sur "Paramétrer vos choix" sur la bannière de consentement.
• Puis cliquez sur "tout refuser".

Notez qu'une option "Tout refuser et continuer" est disponible en premier niveau, mais seulement lorsque vous désirez revenir sur vos choix (si vous trouvez la fameuse option "Confidentialité" en pied de page de Psychologies.com) :

Une option que l'on aurait bien aimé voir sur la bannière de consentement initiale.

Ne refuser que la "Publicité personnalisée" n'est pas évident, un simple clic sur l'option vaudra consentement à la "Publicité personnalisée", mais aussi à la "Publicité standard" :

Un joli "Dark Pattern" repéré par @fourmeux, il vous faudra maintenant décocher les 2 options.

La publicité ciblée sans consentement basée sur l'adresse IP, une manière d'éviter la directive ePrivacy ?

Sirdata, le fournisseur de données comportementales, s'estime conforme aux réglementations européennes, ePrivacy (directive cookies) et RGPD. Quel argumentaire déploie-t-il ?

Tout d'abord, Sirdata estime que la directive ePrivacy ne s'applique pas à son offre "Cookieless" (ou "Consentless"). Son raisonnement : ePrivacy s'applique au stockage d'informations sur le terminal de l'utilisateur ou à l'accès à des informations déjà stockées sur celui-ci. Mais pour identifier les utilisateurs sans consentement, Sirdata se base uniquement sur l'adresse IP, et celle-ci n'est pas stockée sur le terminal de l'utilisateur.

Sirdata est peu explicite sur le fait que son offre "Cookieless" se sert de l'adresse IP de l'utilisateur. Mais il détaille les traitements supplémentaires effectués sur l'adresse IP sur sa page "Politique de protection des données personnelles et de la vie privée" rubrique "Lexique".

Sirdata considère qu'il applique un fingerprinting "passif" et non "actif". Le fingerprinting "passif" serait uniquement constitué de l'adresse IP, il n'implique pas d'accès au terminal. Le fingerprinting "actif" serait constitué des caractéristiques du terminal telles que le user-agent, les polices installées ou la taille écran.

Le ciblage via l'adresse IP, le dernier outil des publicitaires pour vous cibler sans consentement ?

Cette distinction entre fingerprinting "passif" (pour lequel ePrivacy ne s'appliquerait pas) et "actif" (pour lequel ePrivacy s'appliquerait) est discutable. Dans l'article 7.2 de l'Avis 9/2014 sur l’application de la directive 2002/58/CE à la capture d’empreintes numériques, du groupe de travail «Article 29» sur la protection des données, la nécessité du consentement pour de la publicité ciblée est clairement énoncée :

La capture d’empreintes numériques à des fins de publicité ciblée exige donc le consentement de l’utilisateur.

Sirdata maintient sa position : pas d'accès au terminal donc ePrivacy ne s'applique pas. Son offre ne rentre pas dans la définition de l'Avis 9/2014, qui n'est d'ailleurs pas une obligation légale.

Concernant le RGPD maintenant, comme Sirdata traite l'adresse IP de l'utilisateur, et que celle-ci est une donnée personnelle, il se doit d'avoir une base légale pour chacun de ses traitements publicitaires. Lorsque l'utilisateur n'a pas donné son consentement, il se base ainsi sur l'intérêt légitime.

À noter que Sirdata a confiance dans cet argumentaire, il le réutilise ainsi dans ses vidéos promotionnelles, exemple avec "le reciblage sans consentement" :

Sans consentement, la fête est plus folle pour l'adtech !

Sirdata propose également un produit pour rendre conforme les transferts vers Google Analytics aux USA, l'"Analytics Helper". Pour rappel, la CNIL Autrichienne et Française ont jugé les transferts de données vers Google Analytics aux USA illégaux.

Sirdata prend des précautions pour empêcher les services de renseignements US d'identifier un utilisateur via une demande à Google (anonymisation de l'IP avant envoi à Google, pseudonymisation du Client ID au niveau du proxy Sirdata). Intéressant dans le cadre de cet article, le "modèle légal de tracking" pour cet "Analytics Helper" est similaire au modèle de la CMP Sirdata :

• Si consentement, tracking habituel Google Analytics via cookies.
• Si absence de consentement, tracking Google Analytics via un fingerprint généré par Sirdata et "uniquement" basé sur votre adresse IP, avec pour base légale l'intérêt légitime.
• Si absence de consentement et opposition à l'intérêt légitime, pas de tracking Google Analytics.

Le Sirdata Helper est un produit ingénieux, mais sera-t-il suffisant pour rendre les transferts de données vers Google Analytics aux USA conformes ? La question reste ouverte comme je le détaille sur ce thread.

L'intérêt légitime pour de la publicité ciblée

Il paraît compliqué pour Sirdata fournisseur de données comportementales de se baser sur l'intérêt légitime pour de la publicité ciblée. Et notamment concernant le critère de mise en balance : la question est de savoir si les intérêts poursuivis par les fournisseurs adtech l'emportent sur les libertés et droits fondamentaux des personnes concernées.

L'APD mentionne notamment l'avis 03/2013 du Groupe de travail Article 29, l'ancien nom de l'EDPB (« European Data Protection Board »), pré-RGPD :

En outre, l'EDPB indique que l'intérêt légitime ne constitue pas une base juridique suffisante dans le contexte du marketing direct mettant en œuvre de la publicité comportementale [...] (460)

Groupe de travail Article 29 - Avis 03/2013 sur la limitation de la finalité (WP 203), 2 avril 2013 : « le consentement devrait être exigé, par exemple, pour le suivi et le profilage à des fins de marketing direct, de publicité comportementale, de courtage de données, de publicité basée sur la localisation ou d'études de marché numériques basées sur le suivi ».

Pour plus de détails, vous pourrez également lire la plainte de La Quadrature du Net contre Amazon pour violation du RGPD, à savoir pour l'absence de base légale concernant la publicité ciblée.

Après le consentement et le contrat, La Quadrature du Net étudie de manière impitoyable l'intérêt légitime comme base légale potentielle (points 36 à 50). Pour l'association de défense et de promotion des droits et libertés sur Internet, cette base légale ne peut fonctionner pour de la publicité ciblée (62). La CNIL Luxembourgeoise a validé son analyse, avec une amende record de 746 millions € contre Amazon.

La Quadrature du Net contre les GAFAM, malheureusement la CNIL est aux abonnés absents.

Quelques extraits de la plainte de La Quadrature :

C’est la voie que prend le G29 dans l’annexe II de son avis 03/2013, sur le Big Data et l’Open Data : « un consentement préalable libre, spécifique, informé et indubitable devrait presque toujours être requis » dès lors qu’une « organisation souhaite spécifiquement analyser ou prédire les préférences personnelles, le comportement et les attitudes de clients individuels, qui serviront ensuite à guider des “mesures ou décisions” prises à l’égard de ces clients ». (47)

Il donne comme exemple de telles « mesures et décisions » la diffusion « de réductions personnalisées, d’offres spéciales et de publicités ciblées à partir du profil du client ». (49)

Le G29 conclut clairement que le « consentement devrait surtout être requis, par exemple, pour le traçage et le profilage à des fins de prospection directe, de publicité comportementale, de courtage en informations, de publicités fondées sur la localisation ou d’étude de marché numérique fondée sur le traçage ». (50)

Avec Benoit, nous avons donc posé la question de l'intérêt légitime pour de la publicité ciblée à la CNIL l'été dernier (2021), sans réponse.

Vos choix s'appliquent sur une coopérative de 4000 sites

Voici un autre extrait de la bannière de consentement proposé par Sirdata (sur Chrome à minima, car sur Safari, du fait du blocage des cookies tiers, la coopérative de sites est désactivée) :

Vos choix s'appliqueront sur ces sites et dans leurs emails pendant 6 mois, et nous ne vous solliciterons plus avant demain.

Lorsque vous cliquez sur "sites", vous atterrissez sur une nouvelle page d'information, directement sur le site Sirdata. Il vous faut encore cliquer sur "Cliquez ici" en bas de page pour découvrir les sites de la coopérative Sirdata :

Vous retrouverez alors l'ensemble des sites de la coopérative Sirdata, 130 pages paginées, sans option d'export :

Ces sites ont fait le choix de participer à la coopérative de consentement Sirdata (qu'ils utilisent la CMP Sirdata en version gratuite ou payante d'ailleurs).

Alors, est-ce légal ? Selon Sirdata, oui car l'internaute reçoit de l'information en premier niveau. Libre à lui de creuser, et d'aller consulter la liste complète des sites web. Sirdata s'appuie aussi sur cette FAQ de la CNIL :

Il est néanmoins probable que la CNIL n'avait pas prévu ce cas-là, la question 21 faisant probablement référence aux responsables de traitement du site web consulté par l'utilisateur (les partenaires publicitaires), et non à d'autres sites web que l'utilisateur ne consulte pas. Sirdata argumente que ce choix est bénéfique à l'utilisateur en ce sens qu'il réduit la fatigue des bannières de consentement. Encore faut-il que ce choix soit éclairé.

Avec Benoit, nous avons également posé la question de la légalité de ce "choix groupé" à la CNIL l'été dernier (2021), sans réponse.

La coopérative Sirdata, une CMP sous contraintes

La participation d'un site web à la coopérative Sirdata impose certaines contraintes aux bannières de consentement :

• Pour les utilisateurs situés sur le territoire français, Sirdata impose le fameux "Dark Pattern" validé par la CNIL.
• Lorsque l'utilisateur revient sur ses choix, un bouton "Tout refuser et continuer" est disponible.
• L'option "Tout refuser" n'est par contre pas disponible sur la bannière de consentement initiale.
• Le nombre de partenaires publicitaires ne peut dépasser 200 (il y a plus de 1000 sociétés publicitaires dans le TCF, sans compter les partenaires publicitaires qui ne font pas partie de TCF et que Google décide d'intégrer via son "Mode Consentement supplémentaire").

S'il n'est pas sur Safari, les choix de l'utilisateur sont donc appliqués à l'ensemble des sites de la coopérative Sirdata. À noter qu'à la différence de certains de ses concurrents, afficher un mécanisme de "refus" au premier niveau ("Continuer sans accepter" ou "Tout refuser") est systématique si l'utilisateur est basé en France. Ceci est valable pour tous les clients Sirdata, payant ou non et adhérant ou non à la coopérative.

Sirdata évite ainsi les interfaces "non conformes", sans bouton "Refuser" ou "Continuer sans accepter".

Sirdata et l'illégalité du TCF

Dans sa communication, Sirdata indique que les éditeurs faisant partie de sa coopérative ne sont pas concernés par la décision de l'APD. Pour les éditeurs qui payent la CMP de Sirdata, il suffirait de ne pas activer l'ensemble des partenaires publicitaires pour ne pas être concerné par la décision. Voici le message de Sirdata à ses clients :

De manière générale, les éditeurs ayant suivi nos conseils ne sont pas en situation de risque en raison de ce jugement et n’ont pas de données à supprimer, pas plus que leurs partenaires, ni l’obligation de “poper” à nouveau pour recueillir un nouveau consentement.

Reprenons quelques éléments de la décision de l'APD. Tout d'abord, l'APD considère que la chaîne de caractères permettant le stockage et la transmission des préférences de l'utilisateur (TC String) est une donnée personnelle. Elle est en effet associée à l'adresse IP de l'utilisateur (à laquelle les CMP ont accès), cette chaîne de caractères détermine également les futurs traitements publicitaires de multiples sociétés adtech. Sirdata l'explique très bien :

L’APD confirme donc que le choix — la TC String — en lui-même ne permet pas d'identifier directement des personnes ou des dispositifs mais que, dès lors que le choix est stocké sur le dispositif de l'utilisateur, une CMP a la possibilité d’attribuer un identifiant unique à cette TC String, c'est-à-dire l'adresse IP du dispositif sur lequel il est stocké. La possibilité de combiner la TC String et l'adresse IP implique selon elle qu'il s'agit d'informations concernant un utilisateur identifiable.

L'APD distingue ainsi 2 types de traitements :

• La capture et la dissémination du signal de consentement et des objections à l'intérêt légitime des utilisateurs (via la chaîne de caractères TC String).
• La capture, la dissémination et le traitement des données personnelles par les sociétés de l'adtech.

En ce qui concerne la licéité et la loyauté du traitement, la Chambre Contentieuse distingue deux activités de traitement : d'une part, la saisie proprement dite du signal de consentement, des objections et des préférences des utilisateurs dans la TC String par les CMP (a), et, d'autre part, la collecte et la diffusion des données à caractère personnel des utilisateurs par les organisations participantes (b). (403)

Autre point important, l'APD considère que les CMP sont bien co-responsables de traitements, pour ces 2 types de traitements :

Cela amène la Chambre Contentieuse à conclure que la défenderesse ainsi que les CMP, les publishers et les fournisseurs adtech participants doivent être considérés comme des responsables conjoints du traitement pour ce qui concerne la collecte et la diffusion des préférences, des objections et du consentement des utilisateurs, ainsi que pour le traitement ultérieur de leurs données à caractère personnel. (402)

Sur la CMP Sirdata, quelle base légale pour la capture et la dissémination du signal TC String ?

Démarrons par une clarification de Benoit :

Quand Sirdata agit en tant que CMP, elle capture la TC String et l'envoie vers sa base de données de stockage de la preuve du consentement et de sa validité. Elle ne l'envoie à personne d'autre, et seuls ces traitements s'appuient sur l'obligation légale. La CMP ne transmet pas la string à des Vendors Tiers : les Vendors peuvent y accéder de manière active via une API exposée sur la page mais la CMP de la "dissémine" pas.

S'il n'y a pas "dissémination" de la TC String par la CMP Sirdata, le fait d'exposer la chaîne de caractères via une API permet effectivement sa dissémination ultérieure.

Pour le premier type de traitement (capture et exposition du signal de consentement et des objections à l'intérêt légitime des utilisateurs), Sirdata en tant que CMP n'a pas indiqué sur quelle base légale il souhaitait s'appuyer. En effet, avant la décision de l'APD, l'IAB Europe considérait que la TC String n'était pas une donnée personnelle. Hors, nous avons vu que la TC String était bien une donnée personnelle, mais aussi que les CMP étaient co-responsables de traitement.

Ainsi les CMP doivent déclarer une base légale pour ce traitement de données personnelles. Si l'on étudie Sirdata :

• Le consentement n'est actuellement pas une base légale valable. Sirdata stocke la chaîne de consentement TC String dans le local storage dès l'affichage de la bannière de consentement, et ne demande donc pas son avis à l'utilisateur. Après refus de consentement, la TC String est stockée dans le cookie euconsent-v2.
• L'intérêt légitime n'est actuellement pas valable non plus selon l'APD, car l'utilisateur n'a aucun moyen de s'opposer au stockage de cette donnée personnelle : "À cet égard, la Chambre Contentieuse trouve remarquable qu'aucune option ne soit offerte aux utilisateurs pour s'opposer complètement au traitement de leurs préférences dans le cadre du TCF. Quel que soit leur choix, la CMP générera une TC String avant de la lier au User ID unique de l'utilisateur, par le biais d'un cookie euconsent-v2 placé sur l'appareil de la personne concernée." (421). L'APD note que ce traitement ne passerait pas le test de "mise en balance" au vu du nombre considérable de sociétés adtech récupérant cette donnée, et du peu de contrôle donné à l'utilisateur (423).

Avant toute interaction avec la bannière de consentement Sirdata, la chaîne TC String est stockée avec la clé sddan:cmp sur le local storage de mon navigateur.

D'après la décision de l'APD, la CMP Sirdata ne semble pas avoir de base légale pour la capture et l'exposition du signal de consentement et des objections à l'intérêt légitime des utilisateurs. Mais après discussions avec Benoit, je comprends que Sirdata s'appuie en fait sur une autre base légale pour la capture et l'exposition du signal TC String, l'obligation légale.

L'obligation légale comme base légale de traitement ?

L'information comme quoi la CMP Sirdata s'appuie sur l'obligation légale comme base de traitement pour la capture et l'exposition du signal TC String est absente de la bannière de consentement de Sirdata et elle n'est pas mentionnée dans l'article de Sirdata qui revient sur la décision de l'APD. Cependant, elle est indiqué dans les CGU de la CMP Sirdata :

9.5. The TC string and strictly necessary data, such as the date of the last prompt used to limit subsequent prompts, will be stored on the user's device, in local storage, in a cookie named euconsent-v2 which can be used as a first party cookie or a third party cookie linked to the domain name consentframework.com. The Parties agree that, in accordance with CNIL Deliberation n°2020-092 of September 17, 2020 adopting a recommendation proposing practical modalities of compliance in the event of recourse to "cookies and other tracers" the storage of or access to this data in the terminal is not subject to prior consent, and if the TC String and the necessary data are considered personal data, the processing will be carried out by Sirdata as a data processor acting on behalf of You, data controller on the basis of the legal obligation under GDPR.

D'après l'APD, Sirdata n'est pas un simple sous-traitant mais bien co-responsable de traitement. Ceci-dit, cela n'impacte pas la base légale invoquée par Sirdata, l'obligation légale. L'argumentaire de Sirdata pour se baser sur l'obligation légale est le suivant : l’éditeur et ses partenaires doivent légalement faire la preuve d'un consentement, se souvenir d'un refus/retrait de consentement et mémoriser l'opposition pour ne pas "harceler" l'utilisateur.

Il est dommage que l'IAB Europe et l'APD n'ait pas discuté de cette base légale de traitement, il nous manque une décision juridique pour savoir si cette base légale tient vraiment.

Sirdata invoque la délibération n°2020-092 du 17 septembre 2020 de la CNIL (modalités pratiques de mise en conformité en cas de recours aux "cookies et autres traceurs"), mais celle-ci propose seulement un nommage du traceur permettant de stocker le choix des utilisateurs :

54. Enfin, la Commission encourage les professionnels à nommer le traceur permettant de stocker le choix des utilisateurs eu-consent, en attachant à chaque finalité une valeur booléenne « vrai » ou « faux » mémorisant les choix effectués.

La délibération n° 2020-091 du 17 septembre 2020 (lignes directrices "cookies et autres traceurs") porte sur l'exemption de consentement concernant le choix exprimé par les utilisateurs sur le dépôt des traceurs :

49. En l’état des pratiques portées à sa connaissance, la Commission estime que les traceurs suivants peuvent, notamment, être regardés comme exemptés :
    • les traceurs conservant le choix exprimé par les utilisateurs sur le dépôt de traceurs
    • [...]

Mais la CNIL ne parle pas de base légale de traitement pour le RGPD, encore moins d'une quelconque obligation légale comme base légale. Une lecture attentive du texte de la CNIL sur l'obligation légale pose d'autres questions :

• L'obligation légale doit être prévue dans le cadre juridique national ou européen. Sur quel texte légal Sirdata peut-il alors s'appuyer ?
• Le responsable du traitement souhaitant se fonder sur cette base légale ne doit pas avoir le choix de se conformer ou non à l’obligation (nécessité).
• En particulier, l'organisme doit s'assurer qu'il n'existe pas de moyen moins intrusif d'atteindre cet objectif.

Hors, Sirdata pourrait très bien ajouter un paramètre opt-in aux appels vers sa CMP. Si appel à https://sirdata...?opt-in=0, alors pas de création de la TC String, et donc pas d'appel aux partenaires adtech. L'obligation légale ne semble donc pas nécessaire.

La CMP Sirdata pourrait s'appuyer sur l'intérêt légitime comme base légale de traitement de la TC String (via le paramètre opt-in, l'utilisateur pourrait s'opposer au stockage de la TC String). Encore faudrait-il passer le test de mise en balance au vu du nombre considérable de partenaires récupérant cette donnée (423). Ici, Sirdata argumentera qu'en limitant le nombre de partenaires dans sa coopérative à 200 maximum, le jugement de l'APD ne s'applique pas.

Pour le partenaire publicitaire Sirdata, quelle base légale pour la capture et la dissémination du signal TC String ?

Rappelez-vous, Sirdata opère en tant que CMP, mais il opère aussi en tant que fournisseur de données contextuelles et comportementales. Dans ce rôle, Sirdata capture et dissémine la TC String. Reprenons les explications de Benoit :

Quand Sirdata agit en tant que Vendor s'appuyant sur le consentement (Vendor "Sirdata"), nous pouvons capturer et transférer la TC String et d'autres données personnelles sur la base du consentement et nous vérifions si l'entité à qui nous nous apprêtons à l'envoyer a le droit de la recevoir. Quand Sirdata agit en tant que Vendor s'appuyant sur l'intérêt légitime (Vendor "Sirdata cookieless"), nous pouvons capturer et transférer la TC String et d'autres données personnelles sur la base d'un intérêt légitime et nous ne transmettons pas cette donnée.

Pour le futur, et précisément à cause de l'APD, nous allons changer la base légale du traitement de la TC String en tant que Vendor, afin de pouvoir transmettre un retrait de consentement : nous nous appuierons bientôt uniquement sur l'intérêt légitime (mais uniquement pour la TC String utilisée dans ce cadre).

Le même commentaire semble ici s'appliquer : il faudra passer le test de mise en balance au vu du nombre considérable de partenaires récupérant cette donnée (423). Sirdata pourra probablement argumenter que lorsqu'il agit en tant que partenaire publicitaire ("Vendor"), il transmet la TC String à un nombre limité de partenaires.

Nous avons précédemment étudié les potentielles bases légales pour le premier type de traitements indiqué par l'APD : la capture et la dissémination du signal de consentement et des objections à l'intérêt légitime des utilisateurs (côté Sirdata CMP, mais aussi côté Sirdata "Vendor"). Passons maintenant au deuxième type de traitements : la capture, la dissémination et le traitement des données personnelles par les sociétés de l'adtech.

L'intérêt légitime comme base légale pour la capture, la dissémination et le traitement des données personnelles par les sociétés de l'adtech ?

Pour rappel, ici nous ne parlons plus de capture ou de dissémination de la TC String mais bien des différents traitements publicitaires effectués avec vos données personnelles :

Les finalités telles que définies dans la v2 du TCF, notez l'exception de la finalité "Stocker et/ou accéder aux informations d'un appareil", ne pouvant s'appuyer que sur votre consentement.

Étudions la décision de l'APD concernant l'intérêt légitime pour des traitements publicitaires dans le cadre du TCF. Ces traitements incluent donc la publicité ciblée, mais pas seulement. Le recours à l'intérêt légitime comme base légale de traitement est soumis à 3 conditions :

• Il doit être "légitime" : l'APD n'a pas d'opinion sur la question de savoir si l'intérêt économique d'un acteur de l'adtech à effectuer des traitements publicitaires est légitime. Mais cette condition n'est déjà pas remplie car l'APD considère que les traitements publicitaires ne sont pas assez spécifiquement décrits dans le cadre du TCF (452).
• Il doit satisfaire à la condition de "nécessité" : l'APD considère que cette condition n'est pas remplie car dans le cadre du RTB (Real-Time Bidding, enchères publicitaires en temps-réel), il n'y a aucune protection contre la dissémination d'informations personnelles (456).
• Il ne doit pas heurter les droits et intérêts des personnes dont les données sont traitées : selon l'APD, le nombre important d'acteurs publicitaires est problématique, ainsi que les nombreuses informations transmises dans le cadre d'une enchère publicitaire. L'APD cite également l'EDBP (le Comité européen de la protection des données) et l'ICO (la CNIL anglaise), jugeant tout deux que l'intérêt légitime n'est pas une base légale valide de traitement pour la publicité ciblée, notamment dans le cadre du RTB (460).

Lisons par exemple l'avis de l'EDBP :

Le consentement devrait être exigé, par exemple, pour le suivi et le profilage à des fins de marketing direct, de publicité comportementale, de courtage de données, de publicité basée sur la localisation ou d'études de marché numériques basées sur le suivi.

Et voici la décision de l'APD :

À la lumière des considérations susmentionnées, la Chambre Contentieuse estime que l'intérêt légitime des organisations participantes ne peut être considéré comme une base juridique adéquate pour les activités de traitement effectuées selon le protocole OpenRTB, conformément aux préférences et aux choix des utilisateurs saisis dans le cadre du TCF.

L'analyse de Sirdata maintenant : ce jugement ne s'applique pas au TCF dans sa globalité, mais seulement aux traitements liés au RTB. Par exemple, cela ne concerne pas le profilage effectué par Sirdata via son offre "Cookieless", qui a lieu en amont des échanges RTB, et n'entraîne pas de partage d'identifiants et de segments d'audience avec des partenaires publicitaires. Et donc la CMP Sirdata peut continuer à proposer à ses partenaires l'intérêt légitime comme base légale d'un traitement.

On pourra ici noter que sans même parler du RTB, l'intérêt légitime ne passe déjà pas le test de légitimité. Pour approfondir, vous pouvez lire le papier de Célestin Matte, Cristiana Santos et Nataliia Bielova, "Purposes in IAB Europe's TCF: which legal basis and how are they used by advertisers?". Celui-ci étudie chaque finalité, indépendamment des éventuels traitements liés au RTB, mais la conclusion reste la même pour l'intérêt légitime, cette base légale ne tient pas :

La nouvelle version du TCF détaille mieux les finalités, mais l'intérêt légitime ne serait toujours pas valide.

Même si ce papier est très solide, Sirdata pourra argumenter qu'il manque une décision légale sur la validité de l'intérêt légitime via le TCF, hors protocole OpenRTB. Le TCF est certes lié au protocole OpenRTB comme l'indique l'APD :

La Chambre Contentieuse constate que l'argument de la défenderesse ne peut être suivi, étant donné que la défenderesse indique à plusieurs reprises dans ses conclusions que la raison d'être du TCF est précisément de mettre les traitements de données à caractère personnel fondés sur le protocole OpenRTB, entre autres, en conformité avec la réglementation applicable, en ce compris le RGPD et la directive ePrivacy. Bien que la Chambre Contentieuse comprenne que le TCF puisse également être utilisé par les publishers pour d'autres applications, en collaboration ou non avec les CMP, il est également certain que le TCF n'a jamais été conçu pour être un écosystème autonome et indépendant. (368)

Mais le TCF est également utilisé hors OpenRTB, argument que pourra ressortir Sirdata pour maintenir la base légale "intérêt légitime" dans sa CMP. Avec donc son propre exemple : en l'absence de consentement, l'utilisation de l'intérêt légitime pour de la publicité ciblée basée sur l'adresse IP, techniquement hors RTB (en amont de celui-ci).

Le consentement comme base légale pour la capture, la dissémination et le traitement des données personnelles par les sociétés de l'adtech ?

Nous avons vu précédemment que l'intérêt légitime n'était pas une base légale valide pour les traitements de données personnelles dans l'OpenRTB telles que facilitées par le TCF, à fortiori pour les traitements relatifs à la publicité ciblée. L'APD détaille également pourquoi le consentement n'est pas une base légale valide pour les traitements de données personnelles.

L'argumentaire de Sirdata pour échapper à cette décision est alors le suivant (que ce soit pour l'intérêt légitime ou pour le consentement). Dans le cadre de sa coopérative, la CMP Sirdata va plus loin que le TCF lorsqu'il est implémenté à minima, avec notamment une meilleure hiérarchisation des données, une meilleure information et surtout une limitation du nombre de partenaires.

Sirdata est toutefois parfaitement consciente que le TCF n’a jamais eu vocation à garantir à lui tout seul une conformité au RGPD. Sirdata CMP implémente donc ce standard comme d’autres, et apporte en complément des mesures additionnelles et règles spécifiques permettant un respect des réglementations locales et régionales bien au-delà de ce que requiert le TCF.

Nous pourrions souligner que l'absence de base légale de traitement est loin d'être la seule violation du RGPD pointée par l'APD, et qu'il ne suffit pas de mieux adresser un des problèmes pour être conforme.

Ce à quoi Sirdata répondra qu'il n'est pas nécessairement conforme, mais qu'il faudrait une nouvelle analyse d'une Autorité de protection des données afin de déterminer la validité, qui s'apprécie au cas par cas. Il pourra notamment citer ce passage de la décision de l'APD :

Il convient également de noter que les CMP ont une grande marge d'appréciation en ce qui concerne l'interface qu'elles offrent aux utilisateurs. En effet, les TCF Policies n'imposent que des exigences d’interface minimales aux CMP participantes, avec pour conséquence qu'en pratique, les interfaces et le respect des principes d'équité et de transparence peuvent varier considérablement selon la CMP avec laquelle les publishers de sites web et d'applications collaborent. (381)

Ce passage de l'analyse de l'APD relevait la responsabilité conjointe des CMP concernant les finalités et les moyens du traitement des données personnelles. Étudions plutôt certaines des "mesures additionnelles" et "règles spécifiques" avancées par Sirdata.

Regrouper des finalités afin de ne pas être concerné par la décision de l'APD ?

Pour l'APD, le consentement n'est pas une base légale valide :

Le consentement n'est pas une base valide pour les opérations de traitement dans l'OpenRTB telles que facilitées par le TCF. (428) La Chambre Contentieuse estime que le consentement recueilli par les CMP et les publishers dans la version actuelle du TCF est insuffisamment libre, spécifique, éclairé et dénué d’ambiguïté. (432)

L'APD constate notamment que les finalités de traitement proposées ne sont pas décrites de manière suffisamment claire, et dans certains cas, sont même trompeuses :

À titre d'exemple, la Chambre Contentieuse constate que les finalités 8 (« Measure content performance ») et 9 (« Apply market research to generate audience insights ») fournissent peu ou pas d'indications sur la portée du traitement, la nature des données à caractère personnel traitées, ou encore la durée de conservation des données à caractère personnel collectées tant que l'utilisateur ne retire pas son consentement. (433)

Ce à quoi Sirdata indique avoir déjà répondu, via notamment le regroupement de ces 2 finalités sous le chapeau "Mesure d'audience" :

Sirdata précise sur son blog :

Pour permettre un consentement éclairé, en second niveau les “purposes” du TCF sont regroupées sous des finalités “chapeau” définies par la CNIL dans sa Recommandation Traceurs du 17 septembre 2021, telles que la “publicité ciblée” ou la “mesure d’audience”.

Sauf que ces finalités publicitaires sont en réalité très différentes de la mesure d'audience et de la fréquentation d'un site, telle que peut l'effectuer un outil tel que Google Analytics, AT Internet ou Matomo. En général, il s'agit plutôt de traitements effectués par des outils de panel et d'analyse de marché tels que des Nielsen ou autres Comscore. Ainsi par ce regroupement, Sirdata apporte de la confusion à des finalités déjà existantes.

Différents modes d'accès aux pages de vie privée des partenaires afin de ne pas être concerné par la décision de l'APD ?

Autre point sur lequel Sirdata déclare aller "plus loin que le TCF", et ainsi échapper à la décision de l'APD, l'accès à l'information sur les opérations de traitement spécifiques de chaque fournisseur adtech. Voici un passage de la décision de l'APD :

En outre, les informations que les CMP fournissent aux utilisateurs demeurent trop générales pour refléter les opérations de traitement spécifiques de chaque fournisseur adtech, ce qui empêche la nécessaire granularité du consentement. (436)

Que fait donc Sirdata ? Voici ce qu'il déclare :

L’information obligatoire dans le cadre du TCF est en effet un socle commun brut insuffisant : Sirdata et ses clients vont bien au-delà.

En plus de refléter les mentions obligatoires du TCF, l’UI de Sirdata CMP apporte un éclairage additionnel sur les données traitées et la finalité de ces traitements, et en hiérarchise l’information pour une compréhension et un contrôle utilisateur facilités.

Une partie de l’information est disponible en premier niveau, une autre, comme la liste des destinataires, l’est aisément en second niveau, et l’accès aux informations additionnelles comme les conditions d’exercice des droits est accessible via des liens vers les pages de Vie Privée.

En pratique, lorsque vous zoomez sur une finalité via la bannière de consentement, vous pouvez afficher la liste des partenaires. Si vous cliquez sur un des partenaires, vous aurez alors un lien vers sa page "vie privée" :

Le partenaire "Sirdata Cookieless", qui se base sur l'intérêt légitime pour créer un profil personnalisé de publicités.

On peut noter que ce lien vers la page "vie privée" est déjà imposé par le TCF de l'IAB :

When making use of a so-called layered approach, a secondary layer must be provided that allows the user to: review the list of named Vendors, their Purposes, Special Purposes, Features, Special Features, associated Legal Bases, and a link to each Vendor’s privacy policy.

Mais Sirdata indique aller plus loin que certaines CMP, qui n'imposent pas de pouvoir lister les partenaires à partir d'une finalité donnée. Nous pouvons voir la différence avec le site de L'Express, qui utilise la CMP de Didomi :

Je ne peux pas développer "Intérêt légitime", je ne peux voir que Sirdata s'appuie sur cette base légale pour "Créer un profil personnalisé de publicité".

Mais la vue "Partenaires" permet bien de lister les différents partenaires et de présenter un lien vers la page de vie privée de chaque partenaire :

Pour "Créer un profil personnalisé de publicité" sur L'Express avec la CMP de Didomi, Sirdata s'appuie également sur l'intérêt légitime, via le fameux partenaire "Sirdata Cookieless".

Pour Sirdata, la "meilleure" hiérarchisation des informations de sa CMP ne la rend pas forcément licite, mais suppose une nouvelle décision de l'APD afin de juger de sa licéité.

Limiter le nombre de partenaires afin de ne pas être concerné par la décision de l'APD ?

Principal argument de Sirdata, la décision de l'APD ne s'appliquerait pas à Sirdata, car celui-ci impose un choix de partenaires à ses clients, avec une limite à 200 partenaires pour sa coopérative (hors coopérative, il n'y a pas de limite).

Dans le cadre de la coopérative de choix qu’elle gère, Sirdata va même jusqu’à imposer un plafond de 200 partenaires, très loin des 2000 partenaires potentiels du TCF et du réseau de consentement géré par Google en complément — “AC Mode” —.

De tels garde-fous permettent d’éviter les traitements à grande échelle des préférences des utilisateurs — collectées sous le TCF — dans le cadre du protocole open RTB : selon l’APD les intérêts des personnes concernées ne l’emportent sur l'intérêt légitime des organisations participant au TCF que lorsque ces dernières sont toutes sélectionnées.

Mais dans la décision de l'APD, nulle mention d'un intérêt légitime des organisations qui l'emporterait sur les intérêts des personnes concernées si ces dernières ne sont pas toutes sélectionnées... Sirdata déclare néanmoins s'appuyer sur cet extrait :

Bien que les TCF Policies interdisent aux CMP d'accorder une préférence à certains fournisseurs adtech de la Global Vendors List, et qu'ils sont donc en principe tenus de présenter aux utilisateurs tous les fournisseurs inscrits au TCF, sauf instruction contraire des publishers, quelques auteurs notent qu'un certain nombre de CMP ne respectent pas cette exigence. Soit parce que les CMP imposent aux publishers des fournisseurs présélectionnés, soit parce qu’elles leur refusent la possibilité de déroger à la liste complète des fournisseurs adtech, proposée par défaut. (380)

Ce passage est là pour expliquer pourquoi les CMP doivent être tenus pour co-responsables de traitement, et non pour indiquer une quelconque problématique d'un nombre trop grand de partenaires. Aussi, l'IAB Europe n'impose pas de présenter la liste complète, mais seulement de ne pas discriminer un partenaire en particulier :

In any interaction with the Framework, a CMP may not exclude, discriminate against, or give preferential treatment to a Vendor except pursuant to explicit instructions from the Publisher involved in that interaction and in accordance with the Specifications and the Policies.

Le raisonnement de Sirdata est le suivant :

• Dans le cadre du TCF, nous sommes tenus de présenter tous les fournisseurs par défaut (ce n'est pas une "obligation", comme le montre le document de l'IAB Europe).
• Cette présentation n'est pas valable selon l'APD (Sirdata interprète le "en principe" de l'APD comme une obligation).
• Nous ne respectons pas cette "obligation" du TCF, car nous imposons aux clients de choisir leurs partenaires (200 maximum sous peine de ne pouvoir faire partie de la coopérative, une trentaine par défaut).
• Et donc la décision de l'APD ne nous concerne pas.

Mais Sirdata suit bien les recommandations de l'IAB Europe car il ne discrimine pas de partenaire en particulier. On peut néanmoins retrouver un autre argument lié au nombre de partenaires dans la décision de l'APD :

En particulier, les destinataires pour lesquels le consentement est recueilli sont si nombreux que les utilisateurs auraient besoin d'un temps disproportionné pour lire ces informations, ce qui signifie que leur consentement peut rarement être suffisamment éclairé. (435)

Pour Sirdata, le fait d'imposer le choix des partenaires (avec plafond à 200 partenaires) ne rend pas nécessairement sa CMP licite, mais une autre évaluation d'une Autorité de régulation serait nécessaire.

L'illégalité des bannières de consentement de l'IAB ne concerne pas que la base légale de traitement

Via cet article, nous n'avons pu qu'effleurer les problèmes posées par les bannières de consentement de l'IAB. Sirdata indique que le fait d'aller "plus loin" que l'implémentation "à minima" du TCF permettrait à ses clients de continuer le "business as usual" avec sa CMP. Cependant, l'illégalité du TCF est systémique, continuer de s'appuyer dessus est légalement risqué. Aussi, faire évoluer le TCF pour le rendre licite ne sera pas facile, le mécanisme même du RTB paraissant irréconciliable avec le RGPD, notamment au regard de la sécurité des données personnelles.

Voici un résumé des infractions au RGPD, dans cet article de l'ICCL (Irish Council for Civil Liberties, l'organisme où travaille maintenant Johnny Ryan) sur la décision de l'APD :

Quelques adaptations pourraient rendre le TCF légal ?

Vous pourrez approfondir le sujet via la lecture de ces papiers :

• "An Unending Data Breach Immune to Audit? Can the TCF and RTB Be Reconciled with the GDPR?", de Johnny Ryan et Cristiana Santos.
• "Impossible Asks: Can the Transparency and Consent Framework Ever Authorise Real-Time Bidding After the Belgian DPA Decision?", de Michael Veale, Midas Nouwens et Cristiana Santos.

Et en regardant cette présentation de Robin Berjon, "Consent of the Governed".

Vers un internet sans surveillance imposée, et sans bannière de consentement

Charge aux CNILs Européennes de s'appuyer sur cette importante décision de l'APD pour correctement sanctionner les différents intervenants (CMP, éditeurs, partenaires publicitaires) et interdire la fuite massive de données personnelles via le RTB. Une interdiction de la publicité ciblée serait appréciée, et pas simplement pour les mineurs, comme le propose le DSA. À minima, la CNIL pourrait se prononcer plus clairement sur la publicité ciblée basée sur l'intérêt légitime.

Aussi, ces bannières de consentement ne devraient pas exister, l'utilisateur devrait être en mesure d'accepter ou de refuser le tracking de l'industrie publicitaire directement via les réglages de son navigateur (opt-in), sur le modèle de ce qu'Apple propose déjà via son système ATT. Et à ce titre, des initiatives comme le Global Privacy Control (GPC) ou le Advanced Data Protection Control (ADPC) méritent d'être développées et soutenues par la loi.

La publicité, le produit de Facebook

Les résultats financiers de Facebook sont limpides, plus de 98% de ses revenus proviennent de la publicité. Facebook dispose ici de 2 leviers de croissance :

• Augmenter l'offre : à savoir, proposer plus d'opportunités publicitaires aux annonceurs.
• Augmenter la demande : à savoir, convaincre les annonceurs existants d'augmenter leurs budgets publicitaires, et signer de nouveaux annonceurs.

Augmenter l'offre : votre temps de cerveau disponible

Le moyen le plus direct d'augmenter l'offre publicitaire est d'acquérir de nouveaux utilisateurs. Comme l'indique ce mémo interne, Facebook a appliqué cette stratégie de croissance à tout prix, à l'extrême :

That can be bad if they make it negative. Maybe it costs a life by exposing someone to bullies. Maybe someone dies in a terrorist attack coordinated on our tools.

[...] The ugly truth is that we believe in connecting people so deeply that anything that allows us to connect more people more often is de facto good. It is perhaps the only area where the metrics do tell the true story as far as we are concerned.

Autre levier, se diversifier via le rachat d'applications existantes. En 2012, Facebook a ainsi racheté Instagram, ses utilisateurs et son savoir-faire :

Zuckerberg sur le rachat d'Instagram : Facebook s'achète du temps, afin d'incorporer dans ses Apps les mécanismes de croissance d'Instagram (à l'époque en avance sur le mobile et sur les photos).

L'augmentation de l'offre publicitaire passe également par la monétisation de l'inventaire de tiers : Facebook propose aux Apps d'utiliser son ad-network, le "Facebook Audience Network", contre une commission. À noter que la monétisation de l'inventaire de tiers dépend de la capacité de lire les données Facebook de l'utilisateur, et c'est sans doute une des raisons qui ont poussé Facebook à fermer son ad-network sur le web mobile. Via Intelligent Tracking Prevention (ITP), les utilisateurs de Safari ont des protections contre le tracking de Facebook sur des sites tiers.

Avoir des milliards d'utilisateurs sur Facebook ou Instagram ne suffit pas, il faut les rendre dépendants, quel qu'en soit le coût. Voici un bon résumé de Robin Kelly, sénateur américain de l'Illinois :

The business model for your platforms is quite simple: keep users engaged. The more time people spend on social media, the more data harvested and targeted ads sold. To build that engagement, social media platforms amplify content that gets attention. That can be cat videos or vacation pictures, but too often it means content that’s incendiary, contains conspiracy theories or violence. Algorithms on the platforms can actively funnel users from the mainstream to the fringe, subjecting users to more extreme content, all to maintain user engagement.

Dernier levier, afficher toujours de publicités (en comparaison avec les publications de vos amis et des pages que vous suivez). Si vous êtes encore sur Instagram, vous avez pu noter l'invasion progressive des publicités dans votre fil et dans les stories. Instagram s'est mis au diapason de Facebook, et nous sommes probablement arrivés au point de saturation. Même si Facebook et Instagram n'ont pas vraiment de concurrents, la pression publicitaire est à son maximum.

Augmenter la demande : consumérisme et propagande

Proposer de nombreuses opportunités publicitaires ne suffit pas, encore faut-il convaincre les annonceurs de l'efficacité de la publicité sur les applis Facebook et sur son réseau de partenaires. Facebook a plusieurs points forts : sa capacité à cibler une grande partie de la population, à différents moments de la journée, ses critères de ciblages multiples ainsi que ses formats publicitaires "natifs". Mais le point clé est la rentabilité : Facebook doit prouver qu'il fait gagner de l'argent aux annonceurs, et non l'inverse.

Comment Facebook optimise-t-il une campagne publicitaire ? Voici un process standard :

1. En démarrant la campagne publicitaire sans ciblage à priori : cela permet de toucher des utilisateurs et de tester les messages publicitaires.
2. Puis en observant les conversions : afin de comprendre les caractéristiques des utilisateurs qui atteignent l'objectif de l'annonceur, les messages publicitaires les plus efficaces, le meilleur moment et le meilleur contexte pour diffuser la publicité, etc.
3. Enfin en ciblant les utilisateurs similaires : les "lookalikes" ou "audiences similaires" dans le jargon de l'adtech.

Ainsi, l'efficacité des campagnes publicitaires de Facebook est étroitement liée aux informations qu'il détient sur ses utilisateurs ainsi qu'à sa capacité à mesurer correctement les conversions.

Par défaut, l'annonceur indique son but, son budget et son message, l'algorithme de Facebook gère le ciblage automatiquement.

Assez souvent, Facebook connaît à l'avance le type d'utilisateurs à cibler car l'annonceur lui a transmis une liste de clients appelée "audience personnalisée" et lui a demandé de cibler des utilisateurs similaires.

L'annonceur peut laisser Facebook trouver les bonnes audiences ou uploader une "audience personnalisée" ou renseigner manuellement des critères de ciblage. Il verra instantanément une estimation du nombre de personnes touchées.

Cela peut paraître presque innocent dit comme cela, mais le ciblage Facebook a contribué à la victoire de Trump en 2016. L'algorithme de Facebook ne se contente pas d'optimiser les campagnes publicitaires, il favorise également la diffusion de propagande à grande échelle et représente donc une menace sérieuse pour les démocraties.

Facebook vous espionne, partout

Sur ses applications

Le grand public connaît l'application Facebook. Mais celui-ci est également propriétaire des applications Instagram et WhatsApp, qui font partie des applications les plus utilisées au monde. Facebook a également un pied dans le futur avec Oculus, sa plateforme de réalité virtuelle, sur laquelle il aimerait d'ailleurs bien diffuser de la publicité. Chacune de vos interactions y est exploitée pour vous rendre dépendant et monétiser votre attention.

Ici , vous pouvez supprimer vos comptes Facebook et Instagram, faire migrer vos contacts de WhatsApp vers Signal, et ne pas acheter de casque Oculus. Un piège pour Facebook et Instagram, il ne vous faudra pas simplement désactiver vos comptes mais bien les supprimer.

Partout ailleurs

Ce que le grand public ignore, c'est que Facebook vous espionne aussi ailleurs. La liste des outils mis à la disposition de tiers est longue comme le bras, et ceux-ci sont fournis avec une contrepartie, permettre à Facebook de collecter toujours plus d'informations sur vous, pour son propre usage.

Voici quelques exemples, non exhaustifs :

• Les plugins sociaux dont le fameux bouton "Like", très apprécié des éditeurs.
• Le Facebook Audience Network, pour les développeurs d'applications qui veulent de la monétisation publicitaire via l'ad-network de Facebook.
• Le Facebook Pixel et le SDK, qui permettent aux annonceurs de faire remonter l'activité de leurs prospects et clients, depuis leurs sites web et leurs applications, vers Facebook.
• Facebook App Events, qui permet de faire remonter des évènements de toutes sortes (web, app, hors ligne) à Facebook.
• Le Facebook Login, qui permet de se connecter à une application via son compte Facebook.

La plupart des sites et applications utilisent au moins un des outils de Facebook. Et comme l'on vous demande rarement votre avis, Facebook est souvent au courant de ce que vous faites, ceci même si vous n'avez pas de compte Facebook ou Instagram. La publicité vidéo d'Apple pour l'App Tracking Transparency est une bonne illustration du côté invasif de Facebook.

Depuis début 2020 et en réaction à de multiples scandales, Facebook permet à ses utilisateurs de prendre conscience de l'activité "en dehors de Facebook" et de la dissocier de leurs comptes :

Ne vous laissez pas abuser par la propagande de Facebook, "parfois" signifie "en général".

Dissocier l'activité ne veut pas dire la supprimer des serveurs de Facebook... La firme conserve bien toutes vos interactions mais ne les associent plus à votre compte. À noter que Facebook ne vous facilitera pas la tâche : pour dissocier vos activités, il vous faudra :

• Dissocier votre compte de votre activité passée.
• Mais aussi, dissocier votre activité future !

Ce serait trop beau si c'était un peu plus visible et en une seule étape... Comme sur votre compte Google par exemple :

Google, l'autre big browser, vous facilite un peu plus la vie.

Bien évidemment, ni Facebook (ni Google) ne supprime votre activité, celle-ci a une trop grande valeur. Il s'agit simplement de ne plus l'associer à votre compte.

Et si vous n'avez pas de compte Facebook ni Instagram ? Facebook vous surveille quand même, il a vos coordonnées via les carnets d'adresses qu'il a pu aspirer chez vos amis, il conserve précieusement vos activités sur le web, dans les apps et hors ligne. Quel intérêt pour son modèle publicitaire ?

• Facebook mesure l'impact de ses publicités en comparant les taux de conversion entre les personnes exposées à la publicité et les personnes non exposées.
• Vous pourriez être exposé aux publicités du Facebook Audience Network sur des applis tierces.
• Plus généralement, votre comportement permet à l'algorithme de Facebook d'améliorer ses modèles prédictifs.

Une surveillance en danger

Les internautes étant de plus en plus sensibilisés à la protection de la vie privée, la surveillance hors applis Facebook devient plus difficile. Nous allons étudier comment Facebook s'adapte et communique auprès des annonceurs, via le livre blanc "Why you should leverage Facebook's resilient signals", co-écrit avec l'agence française Fifty-Five.

Pourquoi communiquer auprès des annonceurs ? Facebook a besoin de complices pour vous surveiller hors de son App, les annonceurs doivent correctement utiliser les outils mis à disposition par Facebook pour que vos données personnelles remontent correctement et de manière durable (les fameux "signaux résilients") vers l'ogre de Menlo Park.

Tout d'abord, pourquoi est-ce que la surveillance de Facebook hors de ses applis serait en danger ? Pour 3 raisons selon Facebook et Fifty-Five :

• Les nouvelles lois (RGPD, ePrivacy, CCPA, ...) imposent des restrictions légales à la surveillance généralisée telles qu'une base légale pour traiter des données personnelles, et un consentement préalable pour le stockage d'informations ou l'accès à des informations déjà stockées (hors cookies techniques).
• Les protections des navigateurs et systèmes d'exploitations (Apple App Tracking Transparency ou ATT, Webkit Intelligent Tracking Prevention ou ITP, Firefox Enhanced Tracking Protection ou ETP, ...) rendent le tracking plus difficile.
• Les adblockers (uBlock Origin, NextDNS, Adguard, Blokada...) permettent de bloquer les publicités et autres traceurs à la source.

Quel impact pour les campagnes publicitaires des annonceurs ?

Les traceurs actuels de Facebook, pixels et autres SDKs, des signaux peu résilients. On voit également l'opportunité pour Facebook d'étendre sa surveillance à ce que vous faites hors ligne.

Comme on peut le voir :

• Facebook peut continuer à mesurer ce que vous faites sur ses applis (Facebook, Instagram).
• Facebook a du mal à mesurer ce que vous faites sur les sites et applis des annonceurs : en raison des protections navigateurs et autres adblockers, les anciens traceurs Facebook sont de moins en moins efficaces.
• Facebook n'a qu'une vue très partielle de ce que vous faites hors ligne.

En quoi cette vision partielle est-elle problématique pour les annonceurs ? Ici Facebook et Fifty-Five doivent expliquer en quoi la surveillance généralisée serait nécessaire :

Ici, Facebook tente de vous rassurer avec des critères de ciblage très génériques. En réalité, votre profil publicitaire est incroyablement plus détaillé.

La mesure de la performance publicitaire est essentielle. Si Facebook a accès à moins de conversions (achats, inscriptions, installations...), son algorithme aura moins d'informations sur les critères qui fonctionnent (profils utilisateurs, message publicitaire, contexte publicitaire), ce qui diminuera l'efficacité de sa publicité. L'annonceur devra potentiellement payer plus cher pour un résultat moindre.

Comment faire peur aux annonceurs ? S'ils ne permettent pas à Facebook de vous surveiller suffisamment bien, leurs campagnes publicitaires ne fonctionneront plus correctement :

Des "trous" dans la mesure chez les annonceurs ? Une catastrophe selon Facebook...

Si l'annonceur ne comblent pas ces "trous" de mesure, voici les conséquences :

• Moins de conversions attribuées à Facebook : certaines conversions ne seront pas mesurées, le reporting montrera des campagnes publicitaires moins efficaces qu'elles ne le sont en réalité, avec un coût d'acquisition client plus important.
• Une campagne publicitaire réellement moins efficace : Facebook aura moins d'informations pour optimiser la campagne.
• Une information imparfaite : la conséquence, l'annonceur doutera du reporting d'éventuelles futures campagnes publicitaires.

Les "signaux résilients", où comment Facebook contourne vos protections

Comment Facebook permet-il aux annonceurs de combler ces "trous" ? Via ce qu'il appelle les "signaux résilients" :

Avec votre adblocker, vous pensiez être protégé de la surveillance invasive de Facebook ? Erreur...

Avec la complicité des annonceurs, voici comment Facebook contourne vos protections :

• Avec l'API Conversion (aussi appelée CAPI) : si un traceur Facebook peut être altéré ou bloqué par votre navigateur ou votre adblocker, l'idée est ici de fuiter vos données personnelles vers Facebook directement depuis un serveur contrôlé par l'annonceur, via l'utilisation de son API Conversion. L'annonceur peut dédupliquer les évènements déjà envoyés depuis votre surf sur son site web, il peut également fuiter d'autres informations qu'il a sur vous (vos achats "hors ligne", votre scoring dans son CRM, etc).
• Avec la correspondance avancée pour le web les applications : l'annonceur va pouvoir fuiter vos données personnelles d'identification (nom, prénom, adresse email, numéro de téléphone, etc) vers Facebook au moment où vous validez un formulaire. Notez que cette fuite peut même être configurée automatiquement (via le tag javascript Facebook pixel) ou de manière manuelle (via un pixel Facebook IMG).
• Avec les conversions hors ligne : Facebook s'assure de récupérer votre comportement "hors ligne" à savoir tous vos achats en magasin, vos réservations par téléphone, etc. L'annonceur peut fuiter ces informations à Facebook via l'API Offline Conversion, via son interface Facebook ou en s'appuyant sur l'un des nombreux partenaires de Facebook. Dans la liste des complices "hors ligne" : les terminaux de paiements des points de vente, les reçus numériques, les cartes de fidélité, les logiciels des centres d'appels, les logiciels marketing et CRM, les plateformes d'intégrations ainsi qu'une liste à rallonge de "partenaires Facebook Business".

Lorsqu'Apple l'y contraint, des publicités Facebook plus respectueuses de votre vie privée

L'outil de mesure agrégée des évènements (aussi appelé AEM) : permet à Facebook de mesurer l'efficacité des campagnes publicitaires de manière agrégée (256 campagnes publicitaires maximum, pas de suivi individuel) lorsque l'utilisateur a refusé le tracking Facebook ou Instagram sur iOS (via ATT). C'est un outil inspiré de la solution d'Apple, WebKit Private Click Measurement ou PCM, et c'est l'unique solution respectueuse de la vie privée proposée par Facebook.

Vous pourriez être surpris connaissant Facebook : pourquoi ne pas surveiller sur le web les utilisateurs d'iOS qui ont refusé le tracking sur les Apps Facebook ou Instagram ? Parce que dans ses directives pour les développeurs d'applications, Apple est très clair :

Tracking refers to the act of linking user or device data collected from your app with user or device data collected from other companies’ apps, websites, or offline properties for targeted advertising or advertising measurement purposes

Si Facebook violait cette règle, il prendrait le risque de se faire expulser de l'App Store. Vous pouvez approfondir le sujet avec l'article "Understanding Facebook’s updated iOS14 advertising guidance".

Et pourquoi n'avoir pas directement utilisé PCM ? Mystère, Facebook déclare seulement :

Notre solution est semblable à l’outil privé de mesure des clics d’Apple. Toutefois, elle répond à certains cas d’utilisation clés par les annonceurs non pris en compte par Apple.

Notez que si vous refusez le tracking Facebook ou Instagram via la fenêtre iOS ATT, Facebook déclare répercuter ce choix dans le traitement des évènements envoyés via l'API Conversion :

Les évènements envoyés à Facebook via l’API Conversions seront également traités conformément aux limites définies par l’outil de mesure agrégée des évènements.

Comment Facebook traite-t-il les évènements des autres "signaux résilients" (la correspondance avancée et les conversions hors ligne) ? Mystère...

À noter que Facebook peut également être source de propositions lorsqu'il s'agit de proposer des standards publicitaires qui respectent mieux la vie privée. Certaines discussions entre ingénieurs d'Apple et de Facebook (à savoir John Wilander et Ben Savage) permettent parfois de dépasser le conflit Apple vs Facebook, avec des propositions permettant de répondre à des cas d'usages publicitaires, tout en préservant la vie privée des internautes :

• Proposition pour mesurer l'impact d'une publicité : afin de savoir s'il y a une conversion même si l'utilisateur n'a pas cliqué sur une publicité au préalable, ce qui n'est actuellement pas possible avec WebKit PCM. Cette proposition permettrait de savoir si le groupe ayant été exposé à de la publicité a un meilleur taux de conversion que le groupe n'ayant pas été exposé.
• Proposition pour permettre à des plateformes de mesurer les campagnes publicitaires de leurs annonceurs : Ben Savage prend l'exemple d'Etsy, celui-ci permet à ses utilisateurs de diffuser des campagnes Facebook. Mais avec WebKit PCM, "l'annonceur Etsy" est limité à 256 campagnes publicitaires, et Facebook ne peut donc pas mesurer l'efficacité ni optimiser les campagnes des utilisateurs d'Etsy (il manque un niveau de granularité).
• Proposition pour redonner à l'utilisateur le contrôle sur ses centres d'intérêt : permet d'adresser certains problèmes de FLoC, la proposition très décriée de Google pour faire de la publicité comportementale sans cookies tiers.

Les évolutions des navigateurs afin de mieux protéger la vie privée sont discutées au sein du "Privacy Community Group" du W3C, l'organisme chargé de co-construire les standards du web. Facebook joue donc ici son rôle, tenter d'influer sur les évolutions des navigateurs afin de limiter l'impact sur son business publicitaire. Et pour cela, Facebook doit être crédible auprès des ingénieurs d'Apple, de Firefox ou de Brave. Ceux-ci ont pour premier principe le respect de la vie privée des internautes (les ingénieurs Chrome ont souvent le biais publicitaire de Google).

Sur le sujet du W3C et de cette guerre d'influence, lisez l'excellent article "Concern trolls and power grabs: Inside Big Tech’s angry, geeky, often petty war for your privacy".

Les contournements illustrés, exemples de campagnes publicitaires

Afin d'illustrer l'impact des "signaux résilients", Facebook et Fifty-Five donnent 2 exemples.

L'utilisateur voit une publicité mais ne clique pas

Premier cas, l'utilisateur voit une publicité sur Facebook, ne clique pas dessus, mais va ensuite sur le site de l'annonceur pour compléter un formulaire. Il sera rappelé par un centre d'appel, pour finalement s'inscrire.

Vu que le navigateur (Safari ou Firefox par exemple) de cet utilisateur bloque les cookies tiers de Facebook, le traceur de Facebook (pixel) ne peut pas lire l'identifiant utilisateur Facebook sur le site de l'annonceur. Facebook n'est donc pas capable de faire le lien entre l'exposition publicitaire de l'utilisateur et son surf sur le site de l'annonceur.

Mais lorsque l'utilisateur remplit le formulaire, l'annonceur est capable d'appeler l'API Conversion ou la correspondance avancée pour le web. Il peut ainsi envoyer à Facebook les données personnelles d'identification du formulaire (nom, adresse email, numéro de téléphone, etc) et celui-ci peut ainsi faire le lien avec le compte de l'utilisateur. De même, après inscription de l'utilisateur via téléphone, l'annonceur utilisera l'API Conversion pour transmettre l'inscription à Facebook.

L'utilisateur clique sur une publicité

Deuxième cas, l'utilisateur est sur Safari, il clique sur une publicité Facebook, puis il consulte une page produit de l'annonceur 8 jours après pour enfin acheter hors ligne.

Lorsque l'utilisateur clique sur la publicité Facebook, celui-ci parvient à déposer un cookie first-party sur le site de l'annonceur. Le Facebook pixel installé sur le site de l'annonceur récupère en effet l'identifiant de clic fbclid contenu en paramètre d'URL, et le stocke dans le cookie first-party _fbc. Notons que Safari pourrait très bien supprimer ces paramètres de tracking, comme le fait déjà Brave depuis l'année dernière.

Depuis 2019 et la mise à jour ITP 2.1, Safari supprime les cookies créés côté client au bout de 7 jours (ici le cookie _fbc créé par le Facebook pixel). Lorsque l'utilisateur consulte la page produit de l'annonceur après 8 jours, Facebook ne peut plus faire le lien avec son clic initial, il ne reconnaît pas l'utilisateur.

Le contournement est indiqué par Facebook et Fifty-Five : le pré-requis est de passer par du serveur-side tagging comme celui de Google Tag Manager, ce qui permet de créer un cookie HTTP via le header HTTP Set-Cookie et ainsi de contourner la durée de vie à 7 jours des cookies clients.

L'étape suivante est de configurer l'API Conversions pour fonctionner avec Google Tag Manager, action déjà très bien documentée par Facebook et par Simo Ahava.

Ainsi lorsque l'utilisateur consulte la page produit, Google Tag Manager est appelé avec un cookie first-party permanent, le mapping avec l'identifiant de clic fbclic est bien enregistré et le containeur serveur de Google Tag Manager peut correctement appeler l'API Conversions de Facebook pour transmettre les informations. "Bénéfice" supplémentaire : le contournement des adblockers ! Ensuite, lorsque l'utilisateur achète en magasin, l'annonceur utilise l'outil de conversions hors ligne pour transmettre à Facebook les achats de l'utilisateur.

Les antisèches de la surveillance

Pour pousser les annonceurs à adopter ses "signaux résilients", Facebook a profité du remarquable travail de Fifty-Five. Le livre blanc contient ainsi des fiches récapitulatives de chaque "signal".

Un récapitulatif des différents "signaux résilients".

L'API Conversions

Voici l'antisèche pour l'équipe marketing :

Facebook et Fifty-Five conseillent d'installer l'API Conversions en parallèle du pixel Facebook, et donc de collecter les évènements à la fois côté client et serveur.

L'API Conversion permet ainsi de contourner les protections de navigateurs tels que Safari (limite à 7 jours sur les cookies créés en javascript). Elle permet également de contourner les adblockers lorsqu'elle est utilisée conjointement avec du serveur-side tagging. Cette API permet finalement de transmettre des informations hors ligne, telles que le scoring utilisateur.

Voici l'antisèche pour l'équipe technique :

On note en particulier le conseil suivant : "CAPI is a way to secure data for sensitive sector (Bank, Insurance, ...)". Et oui, vos données bancaires ou d'assurance fuitent vers Facebook, mais ne vous inquiétez pas, la connexion est sécurisée ! Encore une fois, tout est fait pour faciliter la fuite de toutes vos interactions, notamment via les intégrations natives :

• Tag Managers pour vos interactions avec le site de l'annonceur
• Plateformes eCommerce, CRM et Customer Data Platforms pour vos achats et interactions hors-ligne.

Mise en avant d'une intégration native au Tag Manager de Google :

L'intégration de l'API Conversions avec le Server-Side Tagging de Google Tag Manager est mise en avant par Facebook, comme l'indique Simo Ahava.

La correspondance avancée

Voici l'antisèche pour l'équipe marketing :

Cette option permet de contourner le blocage des cookies tiers par les navigateurs, et de fuiter vos données personnelles même si vous n'avez jamais cliqué sur une publicité Facebook. En effet, l'annonceur envoie à Facebook vos données personnelles d'identification, ce qui permet à celui-ci de faire le lien avec votre compte Facebook.

On note dans les limitations :

• "Although cookie-less, it is key you collect consent from users" : Facebook et Fifty-Five considèrent-ils que votre consentement n'est pas nécessaire avec les autres "signaux résilients" ?
• "If you work in sensitive sectors such as Banking, a heavier setup is required" : il faut alors passer par la correspondance avancée manuelle et non automatique, à savoir configurer soi-même le pixel (IMG) permettant d'envoyer les données personnelles d'identification plutôt que de laisser le pixel Facebook (javascript) récupérer automatiquement les bons champs du formulaire.

Voici l'antisèche pour l'équipe technique :

Rien de nouveau, si ce n'est le rappel qu'il faut utiliser la correspondance avancée manuelle pour les secteurs "sensibles".

Les conversions hors-ligne

Voici l'antisèche pour l'équipe marketing :

Encore rien de nouveau, seulement le constat que la surveillance continue hors-ligne, elle s'appuie sur vos données personnelles d'identification (nom, email, numéro de téléphone, etc).

Voici l'antisèche pour l'équipe technique :

On peut de nouveau noter le fait qu'il est possible pour l'annonceur d'importer les conversions hors ligne par lui-même, ou de passer par un des nombreux partenaires de Facebook. Le capitalisme de surveillance de Facebook fonctionne grâce à un vaste écosystème.

L'outil de mesure agrégée des évènements (AEM)

Voici l'antisèche pour l'équipe marketing :

Ce paramétrage permet à l'annonceur et à Facebook de "limiter la casse" sur les utilisateurs iOS refusant le tracking. Facebook remonte des informations de performances agrégées, ce qui lui permet d'optimiser les campagnes publicitaires.

À noter que Facebook peut très bien apprendre des campagnes qui tournent sur Android et sur les utilisateurs iOS acceptant le tracking pour mieux comprendre ce qui marche, ce qui ne marche pas (profils utilisateurs et messages publicitaires), et ainsi optimiser les campagnes sur les utilisateurs iOS refusant le tracking.

Facebook et Google, les précurseurs de l'adtech

Comme nous avons pu le voir, Facebook a mis en place une série d'outils pour contourner vos protections et mieux vous surveiller, les "signaux résilients". Ces outils sont proposés aux annonceurs, clé en main, avec une documentation complète :

• Le livre blanc co-écrit avec Fifty-Five, "Why you should leverage Facebook's resilient signals".
• Le webinar de Fifty-Five, "How to leverage Facebook's resilient signals in a post-cookie world".
• Le "Signals Playbook" de Facebook, accompagné de son Webinar.

Le complexe de surveillance de Facebook est impressionnant, mais Google n'est pas en reste. L'API Conversions de Facebook peut s'appuyer sur l'infrastructure du Server-Side Tagging de Google Tag Manager pour contourner adblockers et protections navigateurs. Et Google fait évoluer sa propre surveillance sur le modèle de l'API Conversion avec son "suivi avancé des conversions".

Ces nouvelles pratiques seront malheureusement une source d'inspiration pour d'autres acteurs publicitaires, rendant la surveillance publicitaire encore plus omniprésente et difficile à éviter.

Que peut-on faire ? Cette course à l'armement (marketing de surveillance vs navigateurs et adblockers) ne suffit pas, elle ne protègera jamais les moins informés. Il nous faut donc bannir la publicité ciblée directement dans la loi :

• En faisant pression sur les législateurs, comme peut le faire la coalition internationale, "Ban Surveillance Advertising".
• En appuyant les propositions des régulateurs tels que l'EDPS (European Data Protection Supervisor, la CNIL de l'Union Européenne) : "EU’s top privacy regulator urges ban on surveillance-based ad targeting".

3 ans pour se préparer

En application de la directive ePrivacy, les internautes doivent être informés et donner leur consentement préalablement au dépôt et à la lecture des traceurs "non essentiels". Depuis l'entrée en vigueur du RGPD il y a déjà 3 ans, les exigences en matière de validité du consentement ont été renforcées.

Le 1er octobre 2020, la CNIL a publié des lignes directrices modificatives et sa recommandation sur les cookies et autres traceurs. Elle a également accordé 6 mois aux éditeurs pour se conformer aux règles.

Comme nous avions pu le voir sur ce blog, les anciennes lignes directrices, pourtant laxistes, n'étaient déjà pas respectées. Voici quelques articles pour illustrer l'impunité :

• "Le recueil du consentement sur internet : un mensonge généralisé".
• "Le Figaro, emblème du tracking publicitaire invasif des sites médias français".
• "La grande braderie de vos données personnelles sur Le Bon Coin".

Qu'en est-il des nouvelles lignes directrices ?

La CNIL recommande un "Dark pattern" pour "optimiser" le taux de consentement

En lisant la recommandation de la CNIL, on y découvre une première proposition de design de l'interface de consentement :

Page 9, Figure 4 : une interface claire, un choix aisé pour l'utilisateur.

Ainsi que des considérations générales sur l'interface (j'ai mis les passages clés en gras) :

• "Le responsable de traitement doit offrir aux utilisateurs tant la possibilité d’accepter que de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité."
• "Ainsi, la Commission recommande fortement que le mécanisme permettant d’exprimer un refus de consentir aux opérations de lecture et/ou d’écriture soit accessible sur le même écran et avec la même facilité que le mécanisme permettant d’exprimer un consentement."
• "Par exemple, au stade du premier niveau d’information, les utilisateurs peuvent avoir le choix entre deux boutons présentés au même niveau et sur le même format, sur lesquels sont inscrits respectivement «tout accepter» et «tout refuser», «autoriser» et «interdire», ou «consentir» et «ne pas consentir», ou toute autre formulation équivalente et suffisamment claire."

Lorsque l'on continue la lecture du document, on voit une deuxième proposition de design :

Page 10, Figure 5 : recommandation de la CNIL ! Le "Continuer sans accepter" peut facilement être loupé.

Juste au-dessous de ce design trompeur, la CNIL se contredit :

• "Afin de ne pas induire en erreur les utilisateurs, la Commission recommande que les responsables de traitement s’assurent que les interfaces de recueil des choix n’intègrent pas de pratiques de design potentiellement trompeuses laissant penser aux utilisateurs que leur consentement est obligatoire ou qui mettent visuellement plus en valeur un choix plutôt qu’un autre."
• "Il est recommandé d’utiliser des boutons et une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique."

Ce "Dark pattern" a rapidement été "évangélisé" auprès des éditeurs :

Conseils de Converteo (agence conseil data et techno) aux éditeurs : suivez la "marge de manœuvre" proposée par la CNIL !

Le 1er avril 2021, c'est le grand jour, les sites et applications doivent enfin être en conformité comme le rappelle la CNIL :

Celle-ci n'a pas ménagé les efforts d'éducation, comme rappelé sur son site :

• Dix-huit webinaires pour les professionnels du secteur privé et public.
• De nombreux conseils pratiques et outils disponibles sur le site de la CNIL.
• Une campagne de sensibilisation des organismes publics et privés.

Pour quels résultats ? C'est ce que nous allons regarder via quelques threads Twitter (cliquez sur les liens pour dérouler les nombreux exemples).

L'interface de consentement, une calamité

La plupart des éditeurs ont bien compris comment "optimiser les taux de consentement", avec l'aide de la CNIL :

Le "Dark pattern" de la CNIL, interface standard sur les sites médias.

Vous en redemandez ? Voici le "Dark pattern" de la CNIL en version App :

Gare aux gros doigts !

Autre option, assez largement adoptée, se moquer de la réglementation :

Facebook se fiche de la loi, mais il n'est pas seul.

Mention spéciale à Google :

5 étapes pour refuser la surveillance, mais évidemment cela ne marche pas.

Sur les Apps, ce n'est pas mieux :

Un pari sur le fait que la CNIL n'audite pas les Apps ?

Si vous refusez de donner votre consentement, certains sites décident de pourrir votre expérience de lecture :

Nos éditeurs ont du talent.

Autre option pour vous surveiller, prétendre "l'intérêt légitime" :

Bien sûr, la pratique est illégale.

Il faut le souligner, quelques éditeurs proposent une interface respectueuse :

Une interface propre, encore faut-il que vos choix soient respectés.

Quelques rares exceptions également sur les Apps :

Message à rallonge, mais choix clair (passez sur Twitter pour la capture d'écran complète).

Les cookie walls, un chantage aux données personnelles

Adopté par certains éditeurs comme Webedia ou Prisma Media, le cookie wall en a énervé plus d'un :

Chantage aux données personnelles, bonjour.

On retrouve également le cookie wall sur Apps :

Chantage aux données personnelles, suite.

Le cookie wall est-il légal ? La CNIL a voulu l'interdire, sans succès :

Le « cookie wall » consiste à bloquer l'accès à un site web ou à une application mobile pour l’utilisateur qui ne donnerait pas son consentement. Dans certains cas, cette pratique, également appelée « pay wall », conditionne cet accès à une contrepartie financière, comme un abonnement.

Le Conseil d'État a estimé, le 19 juin 2020, que la CNIL ne pouvait pas interdire, par principe, cette pratique.

Dans l’attente d’une clarification pérenne sur cette question par le législateur européen, la CNIL appliquera les textes en vigueur, tels qu’éclairés par la jurisprudence, pour déterminer au cas par cas si le consentement des personnes est libre et si un cookie wall est licite ou non. Elle sera, dans ce cadre, très attentive à l’existence d’alternatives réelles et satisfaisantes, notamment fournies par le même éditeur, lorsque le refus des traceurs non nécessaires bloque l’accès au service proposé.

On attend donc impatiemment les premières décisions de la CNIL... D'ici là, vous pouvez lire ces excellents articles :

• "Cookie wall : quand vont-ils arrêter de nous prendre pour des abrutis ?" de Numendil.
• "Consent Wall et Cookie Wall" de Romain Bessuges-Meusy, le PDG de la CMP Axeptio.
• "Cookie walls et autres tracking walls : légal, pas légal ?" de Marc Rees.

Un consentement fictif

Vous pourriez vous dire : OK, ce n'est pas si facile de refuser la surveillance, mais j'ai maintenant le choix. Encore faut-il que les éditeurs respectent ce choix... Dans la vraie vie, c'est rarement le cas :

• Nombreux sont les éditeurs qui fuitent vos données personnelles avant même que vous ayez donné (ou refusé) votre consentement.
• Nombreux sont les éditeurs qui fuitent vos données personnelles alors que vous avez refusé de donner votre consentement.

Longue illustration :

L'hypocrisie des éditeurs qui font semblant de respecter la loi.

Sur les Apps, ce n'est pas mieux :

Sur les Apps, souvent le Far West.

Regardons les données personnelles qui fuitent :

Via le logiciel Charles Proxy, il est possible d'observer toutes les requêtes.

À noter qu'Apple ATT n'empêche pas la fuite de données personnelles, seulement le tracking (la surveillance multi-Apps).

Apple vous protège bien mieux que Google contre la surveillance publicitaire, mais si vous voulez éviter toutes les fuites de données personnelles, il vous faudra passer par un bloqueur de traceurs tel que NextDNS.

Comment faire respecter la loi ?

La CNIL a récemment annoncé une vingtaine de mises en demeure :

Au vu de l'historique de l'organisme, je suis circonspect. Lisez par exemple le retour d'expérience de la Quadrature du Net : "Les GAFAM échappent au RGPD, la CNIL complice".

Noyb va néanmoins tenter l'aventure auprès des différentes CNIL européennes :

Pendant que la CNIL envoie péniblement une vingtaine de mises en demeure, Noyb prévoit d'envoyer 10.000 plaintes. On parle ici d'une petite association avec quelques bénévoles : preuve que la CNIL ne manque pas de moyens mais surtout de volonté politique.

Alors, aucun espoir ? Pas si sûr, les avancées les plus importantes pourraient venir des autorités de la concurrence, comme le décrit bien cet article. On croise les doigts et d'ici là, protégez-vous.

La vie privée, un argument produit pour Apple

Face au capitalisme de surveillance développé par Google, Apple a un argument évident, la vie privée. Et il ne s'en prive pas, comme en témoigne cette campagne publicitaire :

Cet argument se retrouve aussi dans les paroles d'un Tim Cook, lors de la conférence "Computers, Privacy & Data Protection" de janvier 2021, un discours tout à fait remarquable.

Apple a toujours été très doué en marketing produit, mais s'agit-il seulement de belles paroles ? Une première réponse est apportée par cette page, une réponse plus détaillée est fournie ici : Apple prend en effet de nombreuses initiatives. On peut par exemple citer :

• Le chiffrement de bout en bout sur iMessage et FaceTime.
• La protection de la vie privée sur Apple Maps.
• Le Secure Element, qui permet à Apple Pay de fonctionner sans connaître votre numéro de carte bleue ni vos transactions.
• Le fait qu'Apple protège de mieux en mieux les accès aux fonctionnalités sensibles de vos appareils iOS tels que la géolocalisation, les photos, le micro ou la vidéo.
• L'initiative "Sign in with Apple", vous permettant de créer un compte sur un service tiers sans partager votre adresse e-mail.

La vie privée est une des valeurs fondamentales d'Apple :

Mais Apple pourrait aller beaucoup plus loin, et je serais prêt à payer pour que les services suivants soient chiffrés de bout en bout : Apple Photos, Calendriers, Contacts, iCloud Drive, Notes ou Messages sur iCloud. Après sa dispute avec le FBI lors de l'attaque terroriste de San Bernardino, durant laquelle il s'est battu courageusement contre l'introduction de portes dérobées sur iOS, Apple avait une opportunité pour étendre l'utilisation du chiffrement de bout en bout à tous ses services. Sous pression du FBI, il n'a malheureusement pas osé :

Apple dropped plans to let iPhone users fully encrypt backups of their devices in the company's iCloud service after the FBI complained that the move would harm investigations, six sources familiar with the matter told Reuters.

Pour le plus grand bonheur des gouvernements, services de polices et services secrets, Apple ne chiffre pas iCloud de bout en bout. Et pour mieux vendre ses produits en Chine, Apple accepte de stocker les clés de chiffrement iCloud de ses utilisateurs Chinois directement sur des serveurs situés en Chine. Autre compromission avec le régime Chinois, Apple censure des Apps en Chine.

Intéressons-nous maintenant aux initiatives d'Apple contre la surveillance publicitaire. Vont-elles assez loin ?

Safari ITP, une bonne protection contre le pistage

En 2017, Apple intègre la fonctionnalité "Intelligent Tracking Prevention" (ITP) à Safari, le but étant de combattre le pistage multi-sites. Depuis cette première sortie, Apple a fait évoluer ITP, avec par exemple le blocage complet des cookies tiers ou la limitation de la durée de vie des cookies déposés via CNAME, ce qui lui permet de vous offrir une bonne protection contre le pistage des sociétés de l'adtech.

Lorsque l'on parle vie privée, Apple a également une excellente influence sur l'écosystème du web.

Les actions d'Apple contre le pistage multi-sites inspirent sans doute d'autres navigateurs. En 2018, Firefox annonce changer sa politique concernant le pistage, souhaitant dorénavant proposer une protection contre le pistage par défaut. En 2019, Firefox passe à l'acte avec "Enhanced Tracking Protection" (ETP), l'équivalent d'ITP, fonctionnalité qu'il a également fait évoluer depuis.

En bonus, si vous utilisez un iPhone ou un iPad et que vous passez par un autre navigateur, les protections d'ITP s'appliquent également ! En effet, Apple verrouille les options des navigateurs tiers, qui se voient obliger d'utiliser WebKit, le moteur de rendu de Safari.

Apple contrebalance l'influence de Google au W3C

Au W3C, l'organisme chargé de construire et de faire évoluer les standards du web, Apple propose des alternatives à Google dans le domaine de la publicité. Si Google a fait beaucoup de bruits avec les propositions visant à remplacer les cookies tiers ("Privacy Sandbox"), notamment la proposition controversée FLoC, Apple propose des standards pour un meilleur respect de la vie privée :

• "Private Click Measurement (PCM)" : pour correctement attribuer des conversions aux campagnes publicitaires. Google a sa propre proposition appelée "Conversion Measurement API", mais celle-ci ne protège guère la vie privée car Google permet à l'annonceur d'attribuer un identifiant unique à chaque clic sur une publicité... Apple limite de son côté les options à 256 valeurs différentes, ce qui permet simplement de savoir quelle campagne publicitaire est efficace.
• "Storage Access API" : Si Apple empêche les tiers de pister l'utilisateur sans son consentement (via les restrictions sur les cookies, le local storage, etc), ceux-ci peuvent demander explicitement l'autorisation à l'utilisateur via cette API. Certains cas d'usages tels que des systèmes d'authentification pouvant justifier cette autorisation.

Toujours au W3C, si Apple n'est pas le seul à défendre la vie privée (Firefox et Brave sont également très actifs), son investissement n'est pas de trop lorsqu'il s'agit de contrebalancer les armées de développeurs Chrome. Ceux-ci vont souvent compromettre la vie privée des utilisateurs sous couvert d'ajouter de nouvelles fonctionnalités au web. Par exemple, voici une liste de 16 fonctionnalités que Safari n'implémente pas car les risques de sécurité et de fingerprint sont trop grands.

Safari pourrait-il aller plus loin ?

Safari pourrait décider de lutter plus radicalement contre la surveillance publicitaire en intégrant par défaut un bloqueur de traceurs et de publicités type uBlock Origin. Avantages pour l'utilisateur :

• Les publicités seraient bloquées.
• Les traceurs 1st-party (analytics, A/B testing, tag managers...) seraient également bloqués. Aujourd'hui par exemple, Google Analytics et Google Tag Manager ne sont pas bloqués par Safari.
• Les traceurs de tiers qui exploitent les vulnérabilités actuelles du web seraient également bloqués. Je pense par exemple à Criteo via son exploitation malsaine du CNAME cloaking, Safari se contentant de limiter la durée de vie des cookies déposés via CNAME à 7 jours.

En parlant de CNAME cloaking, la technique est d'ailleurs utilisé par Apple sur son site web, avec l'outil Adobe Analytics :

Aujourd'hui, Brave va beaucoup plus loin via sa fonctionnalité "Shields" : le but n'est pas d'empêcher le pistage multi-sites mais de bloquer l'exécution des traceurs. Un exemple pour illustrer la différence d'approche : les traceurs utilisant le CNAME cloaking sont bloqués par défaut.

De son côté, Firefox propose moins de protections par défaut mais son système d'extensions est très ouvert (Safari beaucoup moins, vous devez vous contenter d'un "Content Blocker" tels que Firefox Focus), ce qui permet par exemple à uBlock Origin d'être efficace contre le CNAME cloaking.

À noter que les outils marketing peuvent encore malheureusement échapper aux protections des navigateurs et autres bloqueurs de traceurs, parfois même via des solutions clé en main.

Une politique cohérente sur le web... à une exception près

Sur le web, Apple a donc une politique cohérente :

• Safari protège contre le pistage multi-sites.
• Le pistage au sein d'un même site est jugé légitime par Apple, il reste possible.
• Une publicité plus respectueuse de la vie privée est encouragée.

S'il est toujours possible de faire mieux, Safari est à des années-lumière de Google Chrome en ce qui concerne la protection de la vie privée.

Sauf que lorsque l'on parle d'argent, Apple pactise avec le diable : Google paye entre 8 et 12 milliards de dollars à Apple par an pour être le moteur de recherche par défaut sur Safari.

Sur les Apps, un rattrapage nécessaire

Avec iOS 14.5, Apple lance le système "App Tracking Transparency" (ATT), le tracking devient opt-in. Voici la définition du "tracking" selon Apple :

Tracking refers to the act of linking user or device data collected from your app with user or device data collected from other companies’ apps, websites, or offline properties for targeted advertising or advertising measurement purposes. Tracking also refers to sharing user or device data with data brokers.

Cette définition est classique, similaire à celle de Firefox :

Tracking is the collection of data regarding a particular user's activity across multiple websites or applications (i.e., first parties) that aren’t owned by the data collector, and the retention, use, or sharing of data derived from that activity with parties other than the first party on which it was collected.

Elle est également similaire à celle du W3C :

Tracking is the collection of data regarding a particular user's activity across multiple distinct contexts and the retention, use, or sharing of data derived from that activity outside the context in which it occurred. A context is a set of resources that are controlled by the same party or jointly controlled by a set of parties.

Apple est enfin cohérent avec la politique qu'il appliquait déjà sur le web :

• ATT protège contre le pistage multi-Apps.
• Le pistage au sein d'un même App ou sur plusieurs Apps d'une même société est jugé légitime par Apple, il reste possible.

Sur iOS, la surveillance publicitaire a historiquement été facilitée par Apple, via la mise à disposition d'un identifiant publicitaire unique appelé IDFA. Cet identifiant était activé par défaut, les utilisateurs iOS pouvaient le désactiver s'ils le souhaitaient :

Dans Réglages > Confidentialité > Publicité, il était possible de cocher "Suivi publicitaire limité" (ce que j'avais fait, comme le montre la capture), mais l'option était décochée par défaut.

L'option par défaut a une importance capitale : peu de gens changent les paramètres de confidentialité (selon Adjust, seulement 20% des utilisateurs désactivaient l'identifiant).

Apple a donc ici une responsabilité historique : l'IDFA a permis à une multitude de sociétés de vous surveiller facilement, et ceci pendant des années. Pour rappel :

• Avec le lancement de l'iPhone (en 2007), Apple créé un identifiant unique, l'UDID (Unique Device Identifier), idéal pour vous surveiller.
• En 2008 avec la sortie de l'App Store, Apple met l'UDID à disposition des développeurs d'applications : le péché originel, qui ne sera ainsi corrigé que 13 ans plus tard.
• En 2011 et avec l'arrivée d'iOS 5, Apple rend l'UDID obsolète.
• Sauf qu'il faut attendre 2013 pour voir Apple refuser définitivement les Apps qui utilisent encore l'UDID.
• Entre temps (en 2012 avec iOS 6), Apple lance l'IDFA. Il choisit d'activer l'IDFA par défaut, l'utilisateur ne peut pas le désactiver mais seulement indiquer aux applications qu'il ne souhaite pas être pisté (un équivalent de "Do Not Track"), le réglage est bien caché dans "Publicité" (et non dans "Confidentialité").
• Jusqu'à la sortie d'iOS 10 (en 2016), si vous aviez activé "Suivi publicitaire limité", l'application pouvait continuer à utiliser cet identifiant pour le capping, la mesure de conversion, la mesure des visiteurs uniques, la sécurité, la détection de fraude et le debug ! Mais Apple n'avait aucun moyen de vérifier si les applications respectaient vraiment ces règles. Seule option pour l'utilisateur : réinitialiser l'iPhone ou l'iPad, afin de réinitialiser l'IDFA !
• Ce n'est qu'avec iOS 10 donc qu'Apple désactive l'IDFA lorsque l'utilisateur active le "Suivi publicitaire limité" ! L'IDFA est alors remplacé par une valeur non unique composée uniquement de zéros.

Voici la réaction d'un publicitaire à l'annonce du lancement de l'IDFA (en 2012 avec iOS 6), et du "dark pattern" associé à l'option "Suivi publicitaire limité" :

"It's a really pretty elegant, simple solution," says Mobile Theory CEO Scott Swanson. "The biggest thing we're excited about is that it's on by default, so we expect most people will leave it on."

Cette responsabilité historique a donc valu une plainte RGPD devant la CNIL, de la part de la Quadrature du Net :

Changement de paradigme donc avec iOS 14.5, les applications devront vous demander l'autorisation pour vous pister, comme le montre la nouvelle interface (visible dès iOS 14, même si la protection n'est pas encore effective) :

Dans Réglages > Confidentialité > Suivi, "Autoriser les demandes de suivi des apps" est coché par défaut (au pire, les Apps vous demanderont si vous souhaitez être pisté), et vous pouvez décocher l'option.

Pour comparaison, l'équivalent Google Android de l'IDFA est l'Android Advertising ID. Mais les protections sont quasi inexistantes :

• Il est impossible de désactiver l'Android Advertising ID (il était possible de désactiver l'IDFA dès iOS 10).
• Il est seulement possible de le réinitialiser.

L'association noyb a lancé une plainte RGPD contre Google pour le suivi utilisateurs par le biais d'un "Android Advertising ID" sans base juridique valable. On peut noter qu'une plainte RGPD de noyb existe également contre Apple pour le suivi sans consentement via l'IDFA. Mais avec ce rattrapage, Apple risque beaucoup moins gros que Google (noyb signale aussi qu'après la mise à jour, Apple pourra toujours utiliser l'IDFA sans consentement, ce qui est faux).

Techniquement, les publicitaires n'auront plus accès à l'IDFA si vous n'avez pas explicitement donné votre autorisation. Mais les publicitaires ont d'autres armes en main pour vous surveiller (fingerprint, hash de l'adresse e-mail...). Apple va-t-il aussi lutter contre ces techniques ? L'avenir nous le dira, mais il semble bien que cela soit son intention :

• Apple a refusé des applications qui contenaient le SDK d'Adjust, une société marketing qui créait un fingerprinting afin d'identifier les utilisateurs.
• Apple a également déjà refusé des applications chinoises qui avaient créés un fingerprint commun (CAID).

Les paramètres de votre appareil iOS permettant de générer le fingerprint CAID.

De la même manière que sur le web avec son "Private Click Measurement (PCM)", Apple ne laisse pas les publicitaires à l'abandon. La mesure de téléchargements d'applications à la suite d'une campagne publicitaire était effectuée via l'IDFA ou via un fingerprint (réalisé par des sociétés telles que Adjust). Apple met maintenant à disposition des développeurs l'API SKAdNetwork, pour effectuer la mesure tout en protégeant la vie privée des utilisateurs.

Apple contre Facebook

La promesse d'ATT est simple :

Merci Tim Cook.

L'importance de cette mise à jour peut se mesurer à la réaction épidermique de Facebook, qui voit sa capacité de surveillance sévèrement diminuée sur iOS (son SDK étant aujourd'hui omniprésent sur les Apps). Facebook justifie sa démarche par la défense des petits commerces, qui seraient dépendants de la publicité ciblée de Facebook pour trouver de nouveaux clients :

• Facebook a fait témoigner des petits commerces contre la mise à jour d'Apple.
• Même les propres employés de Facebook pointent l'hypocrisie de la démarche : “It feels like we are trying to justify doing a bad thing by hiding behind people with a sympathetic message,”

Facebook a aussi acheté des pages entières de publicité dans de grands journaux américains pour dénoncer la mise à jour d'Apple :

Facebook ne déçoit jamais :

Apple contre les publicitaires français

Les publicitaires français sont à la pointe du combat contre Apple, et après une lettre publique envoyée à Tim Cook en juillet (spoiler : il n'a pas répondu), ils se décident à porter plainte auprès de l'autorité de la concurrence en octobre dernier. L'objet de leur plainte ? L’introduction obligatoire de la sollicitation ATT pour les applications sur iOS qui souhaiteraient faire un suivi de l’activité de l’utilisateur sur des sites tiers.

Première réponse de l'autorité de la concurrence le 17 mars et premier camouflet pour l'industrie publicitaire, sur le volet vie privée :

En l’état de l’instruction, l’Autorité a estimé que la décision d’Apple de mettre en place un dispositif de recueil du consentement complémentaire à celui mis en place par d’autres acteurs de la publicité en ligne, n’apparaissait pas comme une pratique abusive

L'instruction continue néanmoins :

Celle-ci devra notamment permettre de vérifier que la mise en place par Apple de la sollicitation ATT ne peut être regardée comme une forme de discrimination ou « self preferencing », ce qui pourrait notamment être le cas si Apple appliquait sans justification, des règles plus contraignantes aux opérateurs tiers que celles qu’elle s’applique à elle-même pour des opérations similaires.

Il est fort à parier que les publicitaires se fassent aussi débouter sur le volet anticoncurrentiel car Apple ne favorise pas ses propres applications : il ne pratique pas le tracking (et n'utilise donc pas l'IDFA). Apple propose des publicités ciblées sur ses Apps (Apple News, App Store, Bourse), en utilisant les données personnelles récoltées lui-même. Google, Facebook ou n'importe quelle autre App peut faire de même sur iOS, Apple ne s'oppose pas aux publicités personnalisées.

Autre plainte, cette fois-ci devant la CNIL par l'association France Digitale. L'attaque est plus subtile, Apple active par défaut les publicités personnalisés sur ses propres applications :

Si vous allez dans Réglages > Confidentialité > Publicité Apple, l'option publicités personnalisées est activée par défaut.

Clairement, Apple devrait demander votre consentement avant de pouvoir proposer de la publicité personnalisée, il ne respecte donc pas le RGPD. France Digital indique que cela porte un préjudice significatif :

• Aux utilisateurs (c'est vrai, encore que la publicité personnalisée sur Apple News, l'App Store et Bourse soit très loin du préjudice de la publicité personnalisée sur les applis Google ou Facebook).
• Aux startups françaises qui, je cite, "respectent scrupuleusement les règles posées par le RGPD". C'est osé ! La liste des entreprises faisant partie de l'association n'est pas publique, mais on peut noter que Frichti en fait partie, et l'appli qui bafoue le RGPD.

La plainte parle encore de distorsion de concurrence en insinuant qu'Apple proposerait de la publicité personnalisée avec ses "sociétés affiliées" :

Tableau inclus dans la plainte de France Digitale, censé montrer une distorsion de concurrence.

Comme déjà vu, le pistage et la publicité personnalisé au sein d'une même App ou de plusieurs Apps d'une même société est jugé légitime par Apple, cette pratique n'est pas le simple fait d'Apple mais aussi de Google, Facebook, Twitter, etc. France Digitale parle donc des "sociétés affiliées", des partenaires d'Apple qui comploteraient ensemble pour vous traquer.

Les explications d'Apple sur son programme de publicité sont pourtant très clair, il n'y a ni transmission, ni partage de données personnelles avec des tiers :

Apple ne partage ni ne transmet les données pouvant vous identifier personnellement à des parties tierces.

Également, Apple ne récupère pas de données personnelles via des tiers :

La plateforme publicitaire d’Apple ne suit pas vos activités, c’est-à-dire qu’elle n’associe pas les données d’utilisateur ou d’appareil recueillies sur nos apps à des données d’utilisateur ou d’appareil recueillies auprès de tiers à des fins de ciblage ou de mesure publicitaires, et ne partage pas les données d’utilisateur ou d’appareil avec des courtiers en données.

Aucune mention de "sociétés affiliées" dans l'engagement de confidentialité d'Apple, cela ressemble à une invention de France Digitale.

Mais pourquoi un tel acharnement "d'entrepreneurs et investisseurs du numérique français" contre Apple ? Sans doute parce que l'adtech pèse très lourd en France, on peut voir par exemple l'implication de Criteo (le fameux géant du marketing de surveillance français) dès le lancement de France Digitale ici et là. Il faut dire que Criteo n'aime guère Apple, et cela depuis quelque temps déjà.

Apple contre les publicitaires américains

Chez les publicitaires américains, les attaques sont plus subtiles mais guère convaincantes. Vous pouvez lire Ben Thomson ou Eric Benjamin Seufert (chez Ben Thomson ou sur son site). Voici quelques arguments :

• En s'attaquant au tracking, on renforcerait les "Walled Gardens" (Google, Facebook, etc). Ce à quoi répond très bien Wolfie Christl dans ce thread Twitter :

• Sur le renfort supposé aux "Walled Gardens", s'attaquer au tracking n'empêche d'ailleurs pas de s'attaquer aux géants publicitaires. Les 2 axes peuvent se compléter : lisez par exemple la plainte de Brave contre le RTB ("external" data free-for-all), ainsi que la plainte de Brave contre Google ("internal" data-free-for-all). Sans parler vie privée, il serait intéressant de s'attaquer aux abus de position dominante des géants publicitaires, Google et Facebook. Mais les lobbyistes publicitaires ignorent l'option.
• Apple ne chercherait pas à protéger votre vie privée sur les Apps (via ATT), mais plutôt à contrôler l'intégralité de votre expérience. Hors Facebook dérangerait Apple car la découverte de nouvelles Apps ne passeraient plus du tout par l'App Store mais par la publicité personnalisée sur Facebook ou Instagram. En s'attaquant au tracking, Apple chercherait donc à reprendre le contrôle sur la distribution des Apps. Mais quelle est la part réelle de la publicité dans la distribution des Apps ?
• Argument similaire sur le web (via ITP), où Apple chercherait plutôt à asphyxier les ressources publicitaires. En conséquence, les éditeurs devraient miser sur les abonnements via les Apps, sur lesquels Apple touche une commission. Mais pourquoi ne pas proposer de la publicité respectueuse de la vie privée ?
• Apple lutterait contre les acteurs publicitaires pour pousser son propre business publicitaire. Difficile à croire car le business publicitaire d'Apple (App Store, Apple News et Bourse) est dérisoire comparé à ses autres revenus (produits, services). Apple a également fermé iAd, son ad-network, en décembre 2016.

Si la volonté de contrôle d'Apple est évidente, et si le monopole de l'App Store est un énorme problème, les arguments des lobbyistes publicitaires manquent de pertinence. Apple a une raison évidente d'investir pour mieux protéger la vie privée : la demande de protection est forte (et les clients potentiels d'Apple ne sont pas les publicitaires, mais vous et moi).

Apple force la transparence chez les développeurs d'App

Depuis décembre 2020, Apple a rendu obligatoire les étiquettes de confidentialité sur les Apps. Ces étiquettes permettent de mettre en valeur les différences entre applications. Si l'on compare des navigateurs par exemple :

Le spyware Google Chrome.

Le navigateur de DuckDuckGo, respectueux de votre vie privée.

Si l'on regarde maintenant les messageries :

Messenger, le spyware de Facebook, encore pire que WhatsApp.

Signal, une App respectueuse de la vie privée.

Certes, ces étiquettes ont des limites :

• Elles sont basées sur de l'auto-déclaration. Apple va-t-il contrôler si le développeur dit la vérité ?
• Il n'y a pas d'informations sur les données personnelles qui peuvent fuiter vers des tiers. Il serait intéressant de voir qui récupère vos données personnelles et pourquoi.

Mais elles représentent déjà une belle avancée, et pousseront peut-être les développeurs d'Apps à limiter l'usage de données personnelles à celles qui sont strictement nécessaires.

Apple pourrait-il aller plus loin sur les Apps ?

Avec ATT, Apple s'est mis au niveau de Safari ITP (protection contre le tracking). S'il voulait aller plus loin, il pourrait décider de bloquer les publicités et les traceurs 1st-party (analytics, A/B testing, tag managers...). Avantages pour l'utilisateur :

• Les publicités seraient bloquées.
• Les traceurs 1st-party (analytics, A/B testing, tag managers...) seraient également bloqués. Aujourd'hui par exemple, les traceurs de Google Analytics, Segment, Mixpanel ou Amplitude ne sont pas bloqués.

Mais il se mettrait à dos certains développeurs, et ce ne serait pas cohérent avec sa politique actuelle sur le web via Safari ITP.

Malheureusement, cette publicité ne s'applique donc pas aux traceurs 1st-party, votre iPhone communique toujours avec de nombreux tiers, dont ceux de Google (même si les identifiants devraient maintenant être spécifiques à chaque App, car l'IDFA n'est plus disponible par défaut) :

Avec le support natif des DNS chiffrés via iOS 14, il a néanmoins permis à des bloqueurs de traceurs et de publicités de mieux faire leur travail (ces bloqueurs devaient créer un pseudo VPN local, ce qui était une catastrophe pour la batterie). J'utilise pour ma part NextDNS, ce qui me permet de bloquer tous les traceurs et autres publicités.

Oui, Apple vous protège contre la surveillance publicitaire, de mieux en mieux

Comme nous l'avons vu, les protections apportées par Apple contre la surveillance publicitaire sur iOS sont largement améliorables. Mais elles ont le mérite d'être cohérentes et de lutter assez efficacement contre le tracking, comme le prouve d'ailleurs l'énervement de Facebook et de l'adtech en général. Un utilisateur avancé pourra aller plus loin en passant par un bloqueur de traceurs et de publicités tel que NextDNS, AdGuard ou un Pi-Hole.

Même s'il est sain de critiquer une multinationale aussi dominante, et pour des raisons très valables (système fermé, verrouillé, réparabilité très limitée, monopole de l'App Store, "optimisation fiscale", obsolescence programmée, etc), l'alternative "Android by Google" n'est pas crédible si vous souhaitez protéger votre vie privée.

Si vous êtes allergique à Apple mais que vous souhaitez tout de même protéger votre vie privée sur votre smartphone, il vous faudra passer par des distributions qui auront supprimé la couche "Google" d'Android (/e/ par exemple, basé sur Lineage OS et microG), mais il vous faudra de bonnes compétences techniques.

Google sanctionné pour manquement à la loi Informatique et Libertés

Le 7 décembre dernier, la CNIL sanctionne Google à hauteur de 100 millions d'euros pour avoir enfreint la législation française sur les cookies :

Sur le moteur de recherche de Google, la CNIL a relevé 3 violations à l'article 82 de la loi Informatique et Libertés (transposition de la directive « ePrivacy ») :

• Un dépôt de cookies sans recueil préalable du consentement de l’utilisateur : plusieurs cookies poursuivant une finalité publicitaire étaient automatiquement déposés lorsque l'utilisateur se rendait sur google.fr (cookies non essentiels au service).
• Un défaut d’information des utilisateurs du moteur de recherche google.fr : le bandeau d'information ne fournissait aucune information relative aux cookies.
• La défaillance partielle du mécanisme « d’opposition » : désactiver la personnalisation des annonces n'avait pas d'impact sur un des cookies publicitaires.

Le moteur de recherche, vache à lait de Google

Si Google propose une multitude de services, son moteur de recherche génère toujours la majorité de ses revenus :

Lors du 4ème trimestre 2020, la recherche Google générait 56% de ses revenus. Les sites partenaires, YouTube, Google Play ou Google Cloud représentent une part non négligeable des revenus, mais ils sont beaucoup moins rentables.

La recherche est stratégique pour Google, elle lui a permis d'imposer son capitalisme de surveillance à de multiples domaines :

• Dominer la recherche lui a permis de devenir dominant dans l'adtech, cf. "La domination des marchés publicitaires de Google".
• Cette domination est facilitée par l'exploitation de vos données personnelles, sans réel consentement cf. "Google associe vos données de surf à vos données personnelles, et il est difficile d'y échapper".
• Google permet également à des tiers de vous surveiller même lorsque vous prenez des précautions, cf. "Google Tag Manager, la nouvelle arme anti adblock".
• Les revenus générés par son moteur de recherche ont permis à Google d'être dominant dans de nombreux domaines, cf. "Les services Google qui captent vos données personnelles, et les alternatives".

Google face à la CNIL

Nous avons donc :

• D'un côté la loi, censée protéger la vie privée des internautes, matérialisée ici par une sanction de la CNIL.
• De l'autre côté, l'exploitation de vos données personnelles sur le service le plus stratégique de Google, son moteur de recherche.

Quel sera le vainqueur ?

Dans sa sanction, la CNIL relève 2 points :

• Depuis une mise à jour de septembre 2020, Google cesse de déposer automatiquement les cookies publicitaires dès l’arrivée de l’utilisateur sur la page google.fr.
• Le nouveau bandeau d’information ne permet toujours pas aux utilisateurs résidant en France de comprendre les finalités pour lesquelles les cookies sont utilisés et ne les informe pas du fait qu’ils peuvent refuser ces cookies.

La CNIL indique que Google a 3 mois pour informer correctement les utilisateurs, sous peine du paiement d'une astreinte de 100.000 euros par jour de retard. Étudions maintenant ce qui se passe à la première visite sur google.fr.

Google continue le dépôt automatique de cookies publicitaires

Démarrons notre investigation sur google.fr :

• Désactivez votre adblocker.
• Supprimez les cookies sur Chrome (Paramètres > Paramètres avancés > Effacer les données de navigation), ainsi vous êtes déconnecté de votre compte Google.
• Ouvrez la console Chrome (⌘+Option+J sur Mac, Ctrl, Shift et J sur PC), onglet "Network" ou lancez Charles Proxy.
• Puis allez sur google.fr.

Comme vous pouvez le voir, le bandeau d'information fournit maintenant de l'information relative aux cookies, mais ne permet pas de refuser facilement le dépôt de cookies non essentiels.

Que dit la loi ? Si l'on cite la CNIL, le consentement n'est valide que si la personne exerce un choix réel. En particulier, "l'utilisateur doit pouvoir accepter ou refuser le dépôt et/ou la lecture des cookies avec le même degré de simplicité". Ce n'est clairement pas le cas ici.

Google cesse-t-il de déposer automatiquement des cookies publicitaires dès l’arrivée de l’utilisateur sur la page google.fr comme le déclare la CNIL ? Regardons les requêtes via Charles Proxy :

Comme on le voit, Google dépose le cookie NID dès l'arrivée sur google.fr. À quoi sert ce cookie ? Selon les propres mots de Google :

Nous utilisons des cookies, tels que "NID" et "SID", pour personnaliser les annonces sur les sites Google, tels que la recherche Google. Ils nous servent, par exemple, à mémoriser vos recherches les plus récentes, vos interactions précédentes avec les résultats de recherche ou les annonces d'un annonceur, ainsi que vos visites sur le site Web d'un annonceur. Cela nous permet de vous présenter des annonces personnalisées sur Google.

Google a également indiqué à la CNIL que le cookie NID poursuivait une finalité publicitaire (cf. la délibération, point 99) :

La formation restreinte relève que la société GIL a indiqué dans son courrier du 30 avril 2020 que quatre des sept cookies déposés, soit les cookies NID , IDE , ANID et 1P_JAR , poursuivent une finalité publicitaire.

Et pourtant, la CNIL souligne que Google a arrêté cette pratique (point 102) :

Elle souligne néanmoins que durant la procédure de sanction les sociétés ont apporté des modifications à la page google.fr, qui ont notamment amené, depuis le 10 septembre 2020, à l’arrêt du dépôt automatique de ces quatre cookies dès l’arrivée de l’utilisateur sur la page.

Le contrôle de la CNIL a-t-il été correctement effectué ? Toujours est-il que Google continue de violer la loi, cf. le site de la CNIL :

Le consentement doit être préalable au dépôt et/ou à la lecture de cookies. Tant que la personne n'a pas donné son consentement, les cookies ne peuvent pas être déposés ou lus sur son terminal.

Des pièges dans le parcours de consentement Google

Le bandeau d'information Google nous dit :

Si vous acceptez, nous personnaliserons le contenu et les annonces que vous voyez en fonction de votre activité sur les services Google comme la recherche, Maps et YouTube. [...] Cliquez sur "Plus d'informations" pour découvrir les options qui s'offrent à vous

Si je clique sur "Plus d'informations", je suis exposé à une nouvelle fenêtre d'information :

Google détaille ici les données personnelles traitées, les finalités, ainsi que les paramètres de confidentialité. Notez toujours les boutons "J'accepte" et "Autres options" : Google ne permet toujours pas de refuser le dépôt de cookies non essentiels.

Là, vous pourriez vous perdre dans le parcours de Google et cliquer sur "Autres options", en espérant tomber "rapidement" sur l'option pour refuser la surveillance publicitaire. Vous découvrirez cet écran :

Là, Google présente plusieurs options :

• Ajuster les paramètres de confidentialité : c'est la bonne option ! Il vous faut cliquer sur "Ajustez vos paramètres dès à présent".
• Paramétrer les cookies dans le navigateur : option que Google ne recommande pas : "Vous pouvez bloquer une partie ou l'ensemble des cookies, mais cela risque d'empêcher l'exécution de certaines fonctionnalités sur le Web. Par exemple, de nombreux sites Web requièrent l'activation des cookies lorsque vous souhaitez vous y connecter.".
• Installer un module complémentaire pour désactiver le suivi de Google Analytics : Google Analytics est malheureusement loin d'être le seul outil dont Google se sert pour vous surveiller sur le web (Google vous surveille d'abord via la publicité). Inutile de dire qu'une personne soucieuse de sa vie privée préfèrera utiliser un adblocker.
• Vous connecter à votre compte Google : afin de ne plus voir ce rappel ! Google indique en effet : "Si vous effacez régulièrement les cookies de votre navigateur, vous continuerez à recevoir ce rappel de confidentialité, car nous n'avons aucun moyen de savoir que vous l'avez déjà vu". L'inconvénient de vous surveiller par défaut : sans cookies, Google part du principe qu'il a le droit de vous surveiller !

Que se passe-t-il si vous cliquez sur "Ajustez vos paramètres dès à présent" ? Vous revenez à l'étape précédente ! Mais vous n'étiez pas assez attentif, l'étape contient des liens vers la modification de paramètres :

Le parcours du combattant n'est pas terminé.

16 clics supplémentaires pour refuser la surveillance

Cliquons donc sur "Modifier les paramètres de recherche" :

Décochons donc "L'enregistrement des recherches", puis cliquons sur "Retour" et enfin sur "Modifier les paramètres des annonces" :

Ici, il vous faut décocher "Personnalisation des annonces sur la recherche Google" et "Personnalisation des annonces sur le Web". Avec ces paramètres cochés par défaut, Google se permet de vous surveiller sur les "plus de deux millions de sites Web partenaires de Google pour la diffusion d'annonces".

Lorsque vous décochez "Personnalisation des annonces sur la recherche Google", vous avez droit à une petite surprise supplémentaire :

Êtes-vous vraiment sûr de vous ? Google vous rend la tâche encore un peu plus difficile : vos recherches en disent beaucoup sur vous...

Et lorsque vous cliquez sur "Désactiver", Google affiche un message de toute beauté :

"La prise en compte de cette modification par nos systèmes peut prendre un certain temps."

Google ne doit pas s'attendre à ce que vous réussissiez le chemin d'obstacle ! Même punition si vous cliquez sur le bouton "Désactiver" pour la "Personnalisation des annonces sur le Web" :

Là aussi, on voit que c'est compliqué pour Google :

Si vous voulez installer d'autres cookies "Opt-out", qui ne désactivent que la personnalisation des publicités mais laissent les sociétés de l'adtech vous surveiller, Google vous redirige vers le site de l'industrie publicitaire :

Vous pouvez également désactiver la personnalisation des annonces pour plus de 100 autres réseaux publicitaires en ligne.

Revenez encore sur le bandeau d'information pour cliquer maintenant sur "Modifier les paramètres YouTube" :

Cette fois-ci, vous êtes dirigé vers le site YouTube, il vous faut encore décocher "Vidéos que vous regardez sur YouTube" et cliquer sur "Effacer l'historique des vidéos regardées":

Puis il vous faut décocher "Vidéos que vous recherchez sur YouTube" et cliquer sur "Effacer l'historique des recherches" :

Et pour couronner ce beau parcours, lorsque vous revenez sur le bandeau d'information, il vous faut cliquer sur "J'accepte" (cela reste le seul moyen de supprimer ce bandeau d'information, même si vous venez de tout refuser) :

Au total, si vous prenez le chemin le plus rapide, il vous faut 17 clics !

Pendant le parcours de "non consentement", la surveillance continue

Que se passe-t-il pendant ce parcours de "non consentement" ? Si l'on observe les requêtes via Charles :

Google continue d'alimenter ses services publicitaires, dont Google Analytics et Doubleclick.

Malgré votre refus, vous continuez d'être surveillé par Google sur le web

Suite à ce parcours d'obstacles, consultons le site Lemonde.fr (dopé aux traceurs, cf. "Consentement : le pire de l'expérience utilisateur et de la surveillance avec Lemonde.fr") et filtrons les requêtes sur Google :

Comme vous le voyez, Lemonde.fr aime bien Google.

Manque de chance, Google n'a pas supprimé le cookie NID. En conséquence, de nombreuses requêtes sont envoyées depuis le site Lemonde.fr vers Google avec votre identifiant stocké dans le cookie NID (rappel, c'est un cookie publicitaire). Ainsi, la violation suivante est toujours valable :

Lorsqu’un utilisateur désactivait la personnalisation des annonces sur la recherche Google en recourant au mécanisme mis à sa disposition à partir du bouton « Consulter maintenant », un des cookies publicitaires demeurait stocké sur son ordinateur et continuait de lire des informations à destination du serveur auquel il est rattaché.

La formation restreinte a donc estimé que le mécanisme « d’opposition » mis en place par les sociétés était partiellement défaillant, en violation de l’article 82 de la loi Informatique et Libertés.

Google va-t-il proposer un vrai mécanisme de consentement ?

La CNIL a sanctionné Google sur des obligations qui préexistaient au RGPD (article 82 de la loi Informatique et Libertés, transposition de la directive « ePrivacy »).

Or depuis le 1er octobre 2020, la CNIL a publié ses lignes directrices modificatives ainsi qu’une recommandation portant sur l’usage de cookies et autres traceurs. La CNIL a demandé aux acteurs de se conformer aux règles ainsi clarifiées, en estimant que cette période d’adaptation ne devrait pas dépasser six mois.

Quelques points clés :

Refuser les traceurs doit être aussi aisé que de les accepter. La CNIL recommande que l’interface de recueil du consentement ne comprenne pas seulement un bouton « tout accepter » mais aussi un bouton « tout refuser ».

Les utilisateurs devront être en mesure de retirer leur consentement, facilement, et à tout moment.

On attend donc avec impatience le 1er avril et la mise en conformité de Google afin de pouvoir refuser sa surveillance en 1 clic (et non en 17 clics)... En réalité, même les obligations antérieures au RGPD sont bafouées :

• Google a contesté son amende de 100 millions d'euros devant le Conseil d'État.
• Comme on l'a vu, Google vous surveille via le cookie NID, avant même votre consentement mais aussi après votre refus de consentement.
• Tenter de refuser la surveillance de Google est un parcours du combattant.
• Il est permis de douter du caractère dissuasif des sanctions de la CNIL, si tant est qu'elle arrive à se faire payer. 100 millions d'euros et 100.000 euros par jour (soit 36 millions d'euros par an), ce n'est pas si cher pour Google.

Google est l'exemple le plus frappant de ce mensonge au consentement, mais le web français est infesté de sites qui bafouent votre vie privée, exemples :

• "La grande braderie de vos données personnelles sur Le Bon Coin".
• "Le recueil du consentement sur internet : un mensonge généralisé".

Reste à voir si la CNIL prendra des sanctions dissuasives à partir du 1er avril.

Vos alternatives pour éviter la surveillance de Google

Si l'on se restreint au moteur de recherche Google (l'objet de cet article), vous avez d'autres options comme :

• DuckDuckGo : un moteur de recherche américain qui ne vous surveille pas. L'interface est épurée, le moteur de recherche est un des choix par défaut sur Safari, et le gros des résultats est basé sur Bing.
• Qwant : la version française, une interface moins épurée, le gros des résultats est aussi basé sur Bing.
• Ecosia : la version allemande, Ecosia reverse 80% de ses bénéfices à des associations à but non lucratif qui œuvrent au programme de reforestation présent essentiellement dans les pays du sud. Ecosia est aussi principalement basé sur Bing.
• Startpage : la version hollandaise, l'interface est épurée et les résultats sont ceux de Google. Du coup, c'est mon choix (les résultats de Google sont souvent bien plus pertinents que ceux de Bing). Startpage est devenu controversé depuis son rachat en 2019 par une société ayant des participations dans l'adtech (vous pouvez vous faire votre propre opinion en lisant cet article).

Il est intéressant de lire pourquoi Google fournit ses résultats de recherche à Startpage :

Why does Google let Startpage access their search results? Startpage.com has a contract with Google that allows us to use their official "Syndicated Web Search" feed, so we have to pay them to get those results.

À la différence de Bing qui fournit ses résultats à de nombreux méta-moteurs (DuckDuckGo, Qwant, Ecosia...), Google est avare de ses résultats de recherche. Startpage semble être le seul à y avoir accès, pour combien de temps ?

Le pire du capitalisme de surveillance

Je n'avais encore jamais écrit sur Facebook, et pourtant cette société représente ce qui se fait de pire dans le domaine de la surveillance publicitaire. Les conséquences de sa domination sont graves :

• Addictions : Les équipes produit de Facebook ont pour objectif ultime de faire croître l'engagement. Plus vous passez de temps sur ses applications (Facebook, Instagram, Messenger, WhatsApp), mieux vous serez "monétisé".
• Radicalisation : Les contenus extrêmes font réagir, ils favorisent l'engagement sur la plateforme. En conséquence, les algorithmes de Facebook mettent en avant les contenus extrêmes et la désinformation. Facebook est une chance pour les complotistes, les fanatiques et l'extrême droite, ce qui met en danger la démocratie dans de nombreux pays.
• Censures : Facebook et Instagram sont quasi incontournables pour qui souhaite informer ou alerter. Mais les règles de modération sont arbitraires et les recours compliqués. Les modérateurs manquent dans certains pays, ne comprennent pas bien les subtilités culturelles. De nombreux membres de la société civile et activistes se voient censurés.
• Traumatismes pour les modérateurs : ceux-ci sont des contractuels, peu considérés et mal payés, confrontés à des horreurs au quotidien. Ils restent souvent traumatisés pour longtemps.
• Une société digne de 1984 : avec son compère Google, Facebook a un rôle fondateur dans l'installation de la surveillance généralisée dans nos sociétés, mettant à mal la démocratie.

Le très provocant mais honnête mémo 'The Ugly", écrit en 2016 par un des dirigeants de Facebook, résume bien la culture d'entreprise : "Growth at any cost". Voici un extrait :

So we connect more people That can be bad if they make it negative. Maybe it costs a life by exposing someone to bullies. Maybe someone dies in a terrorist attack coordinated on our tools. And still we connect people.

The ugly truth is that we believe in connecting people so deeply that anything that allows us to connect more people more often is de facto good. It is perhaps the only area where the metrics do tell the true story as far as we are concerned.

Et au cœur du modèle de Facebook, on retrouve l'exploitation abusive de vos données personnelles. Le mépris de Facebook pour la vie privée de ses utilisateurs est largement documenté sur le web aujourd'hui. Mais il est rare d'y trouver une histoire retraçant l'érosion de votre vie privée par Facebook, mise en parallèle avec l'état de la concurrence.

Dina Srinivasan est une chercheuse travaillant sur ces sujets, à l'intersection de l'"antitrust" et de la "privacy", j'avais déjà eu l'occasion de parler de son travail dans l'article "La domination des marchés publicitaires de Google". Je vais ici partir de sa thèse "The Antitrust Case Against Facebook" pour décrire comment Facebook a pu imposer sa surveillance publicitaire sur le web et les applications, en dépit d'une préférence marquée des utilisateurs pour un respect de leur vie privée.

Aux origines, le respect de la vie privée était une force de Facebook

Il est difficile de s'en souvenir aujourd'hui, mais initialement le marché des réseaux sociaux était très compétitif. En 2006, le réseau social le plus utilisé était MySpace. Mais Facebook se trouvait aussi face à de nombreux autres réseaux sociaux comme Bebo, Hi5, Friendster ou Orkut (propriété de Google). Comment se différencier dans un marché concurrentiel où le produit est "gratuit" ? Par la qualité, et le niveau de protection de la vie privée est rapidement devenu un point important de différenciation.

En 2006 donc, MySpace était le leader. Mais il était très décrié dans les médias, mis en accusation de favoriser les harcèlements sexuels, suicides ou meurtres (quelques articles de l'époque ici, là ou encore là). La raison ? L'ouverture trop grande de la communication sur MySpace, et le peu de considérations pour la vie privée de ses utilisateurs.

Facebook avait donc un boulevard pour se différencier, ce qu'il a fait :

• MySpace était ouvert à tout le monde, Facebook était initialement réservé aux étudiants, pouvant justifier d'une adresse e-mail universitaire (en ".edu").
• Par défaut, les profils utilisateurs de MySpace étaient ouverts à tout le monde. Aux débuts de Facebook, seuls les amis et les étudiants d'une même université pouvaient consulter leurs profils respectifs.
• Facebook a rapidement donné beaucoup de contrôle à ses utilisateurs, ce que ne permettait pas MySpace : choix de l'ouverture ou de la fermeture de son profil aux amis, amis d'amis, étudiants de la même université. Mais aussi la possibilité d'être visible ou non sur son moteur de recherche, ainsi que des contrôles granulaires sur les informations de contact comme le numéro de téléphone.

Aussi, Facebook a très rapidement embauché un responsable de la vie privée. Sa politique de confidentialité était courte et très claire, avec seulement 950 mots. On peut notamment y lire :

Use of Cookies

A cookie is a piece of data stored on the user's computer tied to information about the user. We use session ID cookies to confirm that users are logged in. These cookies terminate once the users close the browser. We do not and will not use cookies to collect private information from any user.

La logique de réseau privé, le contrôle donné aux utilisateurs ainsi que la courte politique de confidentialité ont été des éléments différenciants par rapport à d'autres réseaux sociaux tels que MySpace. Même si d'autres facteurs ont pu jouer (solide socle technique, élitisme initial, interface utilisateur plus épurée, etc), le meilleur respect de la vie privée a joué un rôle central dans le développement de Facebook.

Beacon, la première tentative (ratée) de surveillance du web

En 2007, Facebook devient le nouveau réseau social à la mode (et j'ouvre mon compte). En novembre, il lance Beacon, une initiative transparente de surveillance publicitaire en dehors de Facebook. Au lancement, le New York Times est l'un des partenaires. Si je lis un article du New York Times, Facebook me propose alors via une pop-up de partager ma lecture à mes amis. Facebook Beacon permet aussi de partager ses achats, la musique écoutée, les films regardés, etc :

Facebook Beacon vous surveille, mais vous êtes informé.

La présence de ces nouveaux traceurs de Facebook lui permet de surveiller le comportement des utilisateurs sur des sites tiers (via un cookie), même si ceux-ci déclinent le partage de leurs activités. Devant le tollé provoqué par Beacon, Facebook se défend pourtant de surveiller les utilisateurs lorsque ceux-ci refusent le partage. Voici un extrait de l'interview du vice président Marketing & Opérations de l'époque au New York Times :

Q. If I buy tickets on Fandango, and decline to publish the purchase to my friends on Facebook, does Facebook still receive the information about my purchase?

A. “Absolutely not. One of the things we are still trying to do is dispel a lot of misinformation that is being propagated unnecessarily.”

Déclaration évidemment démentie quelques heures plus tard par un chercheur. Avec les traceurs Beacon, Facebook surveille aussi les utilisateurs qui se sont déconnectés, ainsi que les personnes qui n'ont pas de compte Facebook. C'est une première violation de la vie privée pour Facebook, en contradiction avec sa politique de confidentialité qui indique alors uniquement utiliser les cookies "to confirm that users are logged in", et "these cookies terminate once the users close the browser".

Rapidement, Facebook est confronté à de nombreuses protestations, des pétitions et même des procès. Plusieurs participants au programme Beacon décident de se retirer. Les autres réseaux sociaux profitent également de ce scandale pour critiquer Facebook et améliorer la gestion de la vie privée sur leurs plateformes. Début décembre 2007, Mark Zuckerberg s'excuse (pour un historique des excuses de Zuckerberg, voici un bon article) et annonce une option d'Opt-out. L'option cachée dans les paramètres ne répondant toujours pas aux exigences des utilisateurs, Facebook fermera Beacon moins d'1 an après.

Ce retrait rapide est la preuve d'un marché encore compétitif. Facebook est sous pression de réseaux sociaux concurrents. Aussi, afin de restaurer une confiance déjà trahie, Facebook annonce en 2009 que tout changement à la politique de confidentialité sera désormais soumis à un vote.

Le bouton Like, un cheval de Troie idéal

Facebook a de la suite dans ses idées, il apprend de ses erreurs et en avril 2010, il introduit le bouton Like lors de sa conférence annuelle pour les développeurs. Pour les éditeurs, c'est une opportunité de profiter d'une distribution facile de leurs articles sur Facebook, et donc d'attirer de nouveaux lecteurs. Et rapidement c'est un succès : dès les premières semaines, plus de 50,000 sites installent le bouton like, dont des éditeurs célèbres tels que CNN, le New York Times, The Wall Street Journal ou Slate.

Mais comme avec Beacon, le bouton Like communique avec les serveurs de Facebook pour s'afficher sur votre écran. Facebook peut ainsi surveiller votre navigation, de nouveau en contradiction avec sa politique de confidentialité. CNET cite ainsi la FAQ de l'époque :

No data is shared about you when you see a social plug-in on an external website.

À la différence de Beacon, Facebook indique que ce produit ne sera pas utilisé dans un but de surveillance commerciale. 2 raisons :

• Facebook se souvient encore du scandale Beacon, et souhaite éviter un nouveau scandale.
• Il doit convaincre les éditeurs, des concurrents sur le marché publicitaire, d'installer ces boutons Like. Théoriquement, il pourrait ainsi revendre moins cher aux annonceurs l'audience du Wall Street Journal, directement sur Facebook.

Un chercheur a pu détailler la fuite des données personnelles via le bouton Like (Facebook Tracks and Traces Everyone: Like This!) dès novembre 2010. Via des cookies qu'il installe même si vous ne cliquez pas sur le bouton Like, le réseau social récupère votre identité, l'URL de la page consultée ainsi que le titre de l'article ou le nom du produit. Là également, la surveillance a lieu même si vous n'avez pas de compte Facebook. Mais à la différence de Beacon, pas de pop-up Facebook vous demandant de partager l'article que vous lisez ou l'achat que vous venez d'effectuer : la surveillance est maintenant invisible.

Comment Facebook réagit-il face à ces nouvelles révélations ? Le directeur technique de l'époque déclare que ces cookies ne sont pas utilisés par Facebook pour surveiller les utilisateurs mais pour protéger les comptes utilisateurs de cyber attaques. Concernant la surveillance des utilisateurs n'ayant pas de compte, il s'agirait là d'un bug qui aurait été corrigé depuis (faux). Le Wall Street Journal indique dans son enquête de mai 2011 que les boutons Like permettaient de vous surveiller sur plus d'un tiers des 1000 sites web les plus visités au monde, et sur plus d'un million de sites web. Devant de tels chiffres, on commence à prendre conscience de l'ampleur de la surveillance généralisée.

En septembre 2011, Facebook est accusé de continuer de surveiller les utilisateurs même après leur déconnexion. Facebook devrait supprimer les cookies lorsqu'un utilisateur se déconnecte et notamment l'identifiant utilisateur, il ne le fait pas, et tente de tromper son auditoire :

Facebook does not track users across the web. Instead, we use cookies on social plugins to personalize content (e.g. show you what your friends liked), to help maintain and improve what we do (e.g. measure click-through rate), or for safety and security (e.g. keeping underage kids from trying to sign up with a different age). No information we receive when you see a social plugin is used to target ads, we delete or anonymize this information within 90 days, and we never sell your information.

Specific to logged-out cookies, they are used for safety and protection, including identifying spammers and phishers, detecting when somebody unauthorized is trying to access your account, helping you get back into your account if you get hacked, disabling registration for underage people who try to re-register with a different birth date, powering account security features such as second factor login approvals and notification, and identifying shared computers to discourage the use of “Keep me logged in.”

Si l'on réfléchit à la meilleure manière pour Facebook d'imposer son capitalisme de surveillance, il lui faut d'abord parvenir à convaincre les éditeurs d'installer ses traceurs. La transparence n'ayant pas réussi (Beacon était présenté comme un outil commercial), Facebook a préféré opérer de manière déguisée (déclarer que le bouton Like ne serait pas utilisé pour de la surveillance publicitaire).

En décembre 2012, le Wall Street Journal revient sur son enquête pour indiquer que les boutons Like se retrouvent maintenant sur 2/3 des sites du top 1000, Facebook répond encore qu'il utilise les informations des boutons Like uniquement pour la sécurité et pour corriger les bugs. Mais la malhonnêteté est bien là. En février 2011, Facebook a déposé un brevet pour surveiller les utilisateurs en dehors de son propre site et proposer de la publicité ciblée basée sur ces profils :

The present disclosure relates generally to social network systems and other websites in which users can form connections with other users, and in particular, to tracking activities of users of social network systems on other domains to, for example, analyze, target, or gauge the effectiveness of advertisements (ads) rendered in conjunction with social network systems.

Avant d'utiliser la collecte de données des boutons Like pour la surveillance publicitaire, Facebook devait encore se débarrasser d'un dernier obstacle : le fait que tout changement de politique de confidentialité devait être soumis à un vote. Voici comment Facebook a procédé :

• Fin 2012, avec plus d'un milliard d'utilisateurs et une entrée en bourse réussie, Facebook propose un vote sur la suppression des futurs référendums concernant sa politique de confidentialité.
• 88% des utilisateurs ont voté contre, mais Facebook arguant du fait que seuls 589,000 personnes avaient voté (une clause indiquait qu'à minima, 30% des utilisateurs devaient voter), il pouvait s'asseoir sur la volonté des participants et abolir les référendums.

De nombreux utilisateurs se sont ensuite plaints de ne pas avoir été informés de ce vote, n'ayant reçu aucune notification ou aucun e-mail. Facebook ne voulait clairement pas que vous votiez.

En juin 2014, Facebook décide d'activer la surveillance publicitaire basée sur les boutons Like (et tous les autres plugins qu'il fournit aux éditeurs : Facebook Login, le pixel Facebook, le SDK pour les applications, etc). Le titre de l'article annonçant la mise à jour est un modèle de novlangue : Making Ads Better and Giving People More Control Over the Ads They See.

Après avoir passé 7 ans à promettre de ne pas exploiter les données collectées par ses plugins pour de la surveillance publicitaire, Facebook renie ses promesses. Pourquoi ? La concurrence a été écrasée (MySpace et Orkut ont fermés, Google+ s'est avéré être un échec) et même si la qualité de Facebook est grandement dégradée par cette atteinte massive à leur vie privée, les utilisateurs n'ont plus d'alternatives viables. Facebook peut maintenant sur-exploiter vos données personnelles pour son plus grand bénéfice.

En 2018, même le cofondateur de WhatsApp conseille de supprimer Facebook.

Avec WhatsApp, Facebook reproduit la même stratégie

WhatsApp est créé en 2009 et très vite, la protection de la vie privée est un axe fort de l'application :

So first of all, let's set the record straight. We have not, we do not and we will not ever sell your personal information to anyone. Period. End of story. Hopefully this clears things up.

En 2012, lorsque le co-fondateur de WhatsApp Jan Koum écrit le billet "Pourquoi nous ne vendons pas de pub", le discours sur la publicité est fort :

La publicité n'est pas seulement une gêne esthétique, une insulte à votre intelligence et une interruption de votre fil de pensées. Dans chaque entreprise vendant de la publicité, une importante partie de leur équipe d'ingénieurs passent leurs journées à affiner l'exploration de données, améliorer le code pour collecter toutes vos données personnelles, améliorer les serveurs qui contiennent toutes les données et s'assurer que tout est bien enregistré, rassemblé, découpé, emballé et envoyé... Au final, le résultat de tout cela est une bannière de publicité légèrement différente dans votre navigateur ou écran de téléphone mobile.

Voici un autre passage du même billet, traitant du recueil de données personnelles :

À WhatsApp, nos ingénieurs passent tout leur temps à réparer des bugs, ajouter de nouvelles fonctionnalités et passer le tout au peigne fin pour offrir une messagerie riche, abordable et fiable pour tous les téléphones dans le monde entier. C'est notre produit et notre passion. Vos données n'entrent même pas en jeu. Cela ne nous intéresse tout simplement pas.

À l'époque, WhatsApp avait une très bonne réputation. L'application était en effet appréciée pour sa simplicité, sa fiabilité, mais aussi pour son positionnement sur la publicité et les données personnelles. Comme avec Facebook à ses débuts, la protection de la vie privée est un avantage compétitif pour WhatsApp, qui lui permet de gagner des parts de marché (sur Facebook Messenger ou Google Hangouts par exemple).

Seulement voilà, en 2014 WhatsApp vend son application à Facebook pour 22 milliards de dollars. Vu l'historique de Facebook, on peut déjà craindre le pire. Jan Koum écrit pourtant sur le blog de WhatsApp :

Voici ce qui va changer pour vous, nos utilisateurs : rien.

WhatsApp restera autonome et fonctionnera indépendamment. Vous pouvez continuer à profiter du service à moindre coûts. Vous pouvez continuer à utiliser WhatsApp n'importe où dans le monde entier ou avec n'importe quel Smartphones que vous utilisez. Et vous pouvez toujours compter sur le fait qu'il n'y aura absolument aucune publicité pour venir interrompre votre communication. Il n'y aurait pas eu de partenariat entre nos deux sociétés si nous avions eu à faire des compromis sur nos principes fondamentaux qui font l'identité de notre entreprise, notre vision et notre produit.

Et en effet, WhatsApp revient ainsi sur sa parole et décide de partager vos données personnelles avec Facebook dès 2016 :

Mais en coordonnant davantage avec Facebook, nous pourrons faire des choses telles que suivre des mesures de base sur la fréquence d'utilisation de nos services des gens et améliorer la lutte contre les spams sur WhatsApp. Et en connectant votre numéro de téléphone avec les systèmes de Facebook, ce dernier peut vous offrir de meilleures suggestions d'amis et vous montrer des publicités plus pertinentes si vous avez un compte Facebook. Par exemple, vous pouvez voir une publicité d'une entreprise avec laquelle vous avez déjà travaillé au lieu de voir celle d'une entreprise dont vous n'avez jamais entendu parler.

Afin de mieux comprendre la portée de cette modification, il convient de s'extraire de la communication de WhatsApp. L'EFF détaille les données dorénavant partagées avec Facebook : numéro de téléphone, carnet d'adresses et données d'utilisation (quand vous utilisez WhatsApp, avec qui vous communiquez, sur quel appareil, votre adresse IP, etc). Ces métadonnées sont extrêmement précieuses pour Facebook, qui même s'il n'a pas accès au contenu de vos conversations WhatsApp (chiffrées de bout en bout), récolte les informations les plus importantes.

À l'époque, WhatsApp laisse un opt-out de seulement 30 jours aux utilisateurs existants (via ce "Dark Pattern"). Les nouveaux utilisateurs n'auront pas ce choix. Et encore, l'opt-out ne permet pas d'arrêter le partage d'informations, seulement d'empêcher Facebook d'utiliser vos informations WhatsApp pour de la publicité ciblée ou l'amélioration de ses produits (suggestion d'amis). Relisons l'EFF à ce propos :

Note that your WhatsApp information will still be passed to Facebook for other purposes such as “improving infrastructure and delivery systems, understanding how [Facebook and WhatsApp] services...are used, securing systems, and fighting spam, abuse, or infringement activities." Changing your settings does ensure, however, that Facebook will not use your WhatsApp data to suggest friends or serve ads.

En Europe, ce partage de données passe mal. L'Allemagne refuse le partage de données, puis les CNIL européennes demandent "instamment" d'arrêter le partage des données personnelles. La CNIL du Royaume-Uni demande ensuite la mise en pause de la synchronisation des données. Enfin la CNIL met en demeure WhatsApp de ne plus transmettre à Facebook les données de business intelligence de WhatsApp. Entre-temps, la Commission Européenne affirme que Facebook a fourni des informations trompeuses lors du rachat de WhatsApp et lui inflige une amende de 110 millions d'euros :

Facebook a indiqué à la Commission qu'elle ne serait pas en mesure d'associer automatiquement et de manière fiable les comptes d'utilisateur des deux sociétés

Ces épisodes sont très bien résumés dans le billet du blog de Killian Kemps, "WhatsApp transfère-t-elle des données à Facebook ?". Ce billet pose une question simple : WhatsApp a-t-il réellement stoppé le partage de vos données personnelles avec Facebook suite à ces plaintes dans l'Union Européenne ? Malheureusement non, même si la réponse n'est pas facile à trouver.

Voici ce que dit la politique de confidentialité de WhatsApp pour les résidents de l'Union Européenne (mise à jour en avril 2018) :

Comment nous travaillons avec d'autres entités Facebook

Nous faisons partie des entités Facebook. En tant que membre des entités Facebook, WhatsApp reçoit des informations des entités Facebook et leur transmet également des informations. Nous pouvons utiliser les informations qu’elles nous envoient, et elles peuvent utiliser celles que nous leur transmettons, afin de nous aider à exploiter, fournir, améliorer, comprendre, personnaliser, prendre en charge et commercialiser nos Services et leurs offres [...].

En approfondissant la question via l'article "Comment nous travaillons avec les entités Facebook", on comprend que les échanges de données personnelles entre WhatsApp et Facebook sont très nombreux. Un point cependant, sans l'action de la Commission Européenne, Facebook irait encore plus loin dans le traitement de vos données personnelles :

Nous ne partageons pas de données afin d'améliorer les produits Facebook sur la plateforme et d'offrir de meilleures expériences publicitaires sur Facebook.

Aujourd'hui, Facebook n'utilise pas les informations de votre compte WhatsApp pour améliorer votre expérience avec les produits Facebook ni pour vous proposer des publicités Facebook plus ciblées sur sa plateforme. Ceci est le résultat de discussions avec le commissaire irlandais chargé de la protection des données et d'autres autorités responsables de la protection des données en Europe. Nous cherchons constamment de nouvelles manières d'améliorer votre expérience avec WhatsApp et les Produits des entités Facebook que vous utilisez. Si, à l'avenir, nous décidons de partager de telles données avec les Entités Facebook à cette fin, nous conclurons d'abord un accord avec le commissaire irlandais chargé de la protection des données afin d'établir un mécanisme qui permette une telle utilisation. Nous vous informerons des nouvelles expériences mises à votre disposition et de nos pratiques concernant l'utilisation de vos données.

Et en effet, si vous n'êtes pas un résidant de l'Union Européenne, Facebook ne se prive de rien :

Facebook et les autres entités de la famille Facebook peuvent également utiliser des informations que nous avons fournies pour améliorer vos expériences au sein de leurs services, comme faire des suggestions de produit (par exemple d’amis, de connexions ou de contenus intéressants) et afficher des offres et des publicités pertinentes.

Depuis début janvier, la dernière mise à jour des conditions d'utilisation de WhatsApp passe mal. La date de mise en application des nouvelles conditions d'utilisation est repoussée : initialement prévue le 8 février, elle aura lieu le 15 mai, le temps pour WhatsApp d'affiner sa communication.

Si le partage de vos données personnelles avec Facebook était déjà effectif depuis presque 5 ans, cette mise à jour va permettre à Facebook d'aller plus loin :

• Partage de vos données transactionnelles WhatsApp avec les "Facebook Shops".
• Partage de vos communications avec les entreprises, via un service d'hébergement des communications proposé par Facebook.

Ce service d'hébergement est une première brèche du chiffrement de bout en bout car ces communications ne seront pas chiffrées chez l'hébergeur (un des 2 "bouts" du chiffrement). Voici comment WhatsApp noie le poisson :

WhatsApp considère les discussions avec les entreprises utilisant l’application WhatsApp Business ou gérant et stockant elles-mêmes les messages des clients comme chiffrées de bout en bout. Une fois le message reçu, il sera sujet aux propres pratiques de l’entreprise en matière de confidentialité. L’entreprise peut permettre à un certain nombre d’employés, voire d’autres prestataires, de traiter le message et y répondre.

Certaines entreprises pourront choisir de stocker les messages des clients et y répondre de façon sécurisée à travers la société mère de WhatsApp, Facebook. Vous pouvez toujours contacter les entreprises pour en savoir plus sur leurs pratiques en matière de confidentialité.

Par facilité, la grande majorité des sociétés choisira sans doute la solution d'hébergement de Facebook. Le contenu de vos discussions avec les entreprises sera donc visible de "l'hébergeur" Facebook et soumis à ses pratiques en matière de confidentialité.

Dernier argument en faveur de WhatsApp donc (notamment si l'on compare à Telegram), vos messages personnels restent protégés par le chiffrement de bout en bout, par défaut :

La confidentialité et la sécurité de vos messages et appels personnels ne changent pas. Ils sont protégés par le chiffrement de bout en bout et ni WhatsApp ni Facebook ne peuvent les lire ou les écouter. Nous n'affaiblirons jamais cette sécurité et nous faisons apparaître cette information dans chaque discussion afin que vous puissiez être au fait de notre engagement.

À noter que WhatsApp utilise le protocole open source de Signal pour le chiffrement des messages, un point fort :

Chaque message WhatsApp est protégé par le même protocole de chiffrement de Signal, sécurisant les messages avant qu’ils ne quittent votre appareil.

Mais pour le reste de vos données personnelles, c'est open bar. Comment WhatsApp a-t-il pu à ce point trahir ses utilisateurs ? Pour une histoire détaillée des compromissions (et résistances) de WhatsApp face à sa maison mère, lisez l'excellent article de Forbes "Exclusive: WhatsApp Cofounder Brian Acton Gives The Inside Story On #DeleteFacebook And Why He Left $850 Million Behind". Le co-fondateur de WhatsApp y déclare notamment :

I sold my users’ privacy to a larger benefit. I made a choice and a compromise. And I live with that every day.

Brian Acton a quitté WhatsApp en septembre 2017 (et son compère Jan Koum en avril 2018). Aujourd'hui, il est à la tête de la Signal Foundation, lancée en février 2018 avec un financement initial de 50 millions de dollars d'Acton. Il a également un rôle opérationnel important chez Signal.

Facebook a depuis dégouté les cofondateurs d'Instagram, Kevin Systrom et Mike Krieger, pour une histoire de jalousie (Instagram est à la mode, plus Facebook) et de croissance à tout prix (dégrader l'application Instagram pour mettre en avant l'application Facebook).

Une fin heureuse ?

On le voit donc, WhatsApp suit le modèle de sa maison mère : il s'est imposé en étant plus respectueux de la vie privée que ses concurrents. Racheté par Facebook et en position dominante, il trahit votre confiance en érodant progressivement votre vie privée.

Va-t-il s'en tirer à bon compte ? Cela dépendra de nos actions collectives. Pour ma part, la tâche est encore plus ardue qu'avec Facebook et Instagram (comptes que j'avais pu fermer il y a quelque temps déjà). J'ai pu migrer quelques conversations et groupes sur Signal, mais je vais devoir convaincre beaucoup de personnes avant d'espérer fermer mon compte WhatsApp.

Confidentialité de WhatsApp sur l'App Store.

Confidentialité de Signal sur l'App Store.

Néanmoins, il est permis d'être optimiste sur le long terme. À la différence de Facebook ou d'Instagram qui n'ont aujourd'hui pas de vrais concurrents, les messageries Telegram et Signal vont donner du fil à retordre à WhatsApp. Et la vague d'installation actuelle de Signal fait plaisir à voir.

Un tweet d'Elon Musk ne peut jamais faire de mal.

On a connu pire comme sponsor.

Signal, plutôt que Telegram