Aujourd'hui, noyb a déposé une plainte contre le célèbre dictionnaire en ligne dict.cc. Le RGPD exige que le consentement soit libre, éclairé, spécifique et sans ambiguïté. Or, lorsque l'on se rend sur dict.cc, les utilisateurs sont incités à consentir, d’un simple clic, au suivi en ligne par pas moins de 1 741 (!) « partenaires ». Il est ainsi impossible pour les utilisateurs de savoir exactement qui a accès à leurs données et comment celles-ci sont réellement utilisées. Bien que dict.cc soit un exemple extrême, les demandes visant à renoncer aveuglément à son droit à la vie privée au profit d’innombrables tiers constituent malheureusement un problème courant sur les sites web et les applications qui s’appuient sur la publicité en ligne, même huit ans après l’entrée en vigueur du RGPD.
Contexte. Les entreprises de publicité en ligne s’appuient fortement sur le suivides habitudes de navigation des internautes, de leurs centres d’intérêt, de leurs interactions et de leurs déplacements pour leur proposer des publicités personnalisées. Or, selon la législation européenne en matière de protection de la vie privée, le suivi en ligne est illégal par défaut. Les entreprises doivent donc demander votre consentement pour que vous « renonciez » à votre droit à la vie privée si elles souhaitent vous suivre partout. C’est pourquoi vous voyez des bannières de consentement partout. Le problème, cependant, est que la plupart de ces bannières sollicitent votre consentement pour des centaines, voire des milliers, d’entreprises de publicité en ligne qui partagent vos données entre elles. Bien que cela soit initialement destiné à la publicité en ligne intrusive, les données sont souvent également partagées et vendues par des courtiers en données à d’autres fins. Même les forces de l’ordre des deux démocratiques et autoritaires achètent ces données à des fins de surveillance.
Consentement non éclairé. dict.ccmentionne mentionne actuellement 1 741 entreprises « partenaires » qui se verraient accorder l’accès à l’appareil et aux données personnelles des utilisateurs. La lecture de l’ensemble de leurs politiques de confidentialité prendrait au moins 170 heures (même en ne consacrant que 6 minutes à la lecture de chaque politique). Cela représente plus d’une semaine entière pour une seule demande de consentement. De plus, ces « partenaires » indiquent souvent qu’ils transmettent vos données à d’autres entités. Pour le plaignant, ainsi que pour les autres utilisateurs du site web, il est donc pratiquement impossible de comprendre les conséquences de leur « consentement ». Cette pratique courante (voir par exemple www.repubblica.it, www.bergfex.de, www.fifa.com) rend pratiquement inconcevable l’obtention d’un « consentement éclairé », tel qu’exigé par le RGPD.
Felix Mikolasch, avocat spécialisé dans la protection des données chez noyb: «Il faudrait des jours, voire des semaines, pour lire et comprendre correctement les politiques de protection des données de 1 741 entreprises. Il est ridicule de supposer que cela permettrait de prendre une décision en connaissance de cause. »
Plainte déposée en Autriche. noyb a désormais déposé une plainte auprès de l’Autorité autrichienne de protection des données, car dict.cc ne dispose pas d’une base juridique valable pour le traitementdes données du plaignant. Nous demandons à l’Autorité autrichienne de protection des données d’ordonner au dictionnaire en ligne de supprimer les données traitées illégalement – et d’informer tous les destinataires desdonnées du plaignant de cette suppression. De plus, noybpropose qu’une amende soit infligée afin d’empêcher des violations similaires à l’avenir. L’Autorité pourrait également prononcer une interdiction plus large ou saisir le Comité européen de la protection des données pour avis, compte tenu de l’importance générale de cette affaire.
Martin Baumann, avocat spécialisé dans la protection des données chez noyb : « Accepter que des milliers d’entreprises“partenaires” utilisent vos données à caractère personnel ne semble pas seulement inacceptable, c’est effectivement le cas. L’autorité de protection des données doit enfin mettre un terme à cette pratique. »
