En 2020, noyb (en collaboration avec le Conseil norvégien des consommateurs) a déposé une plainte contre la société de publicité en ligne Xandr (qui fait désormais partie de Microsoft) pour le traitement de données à caractère personnel provenant de l’application de rencontres Grindr. L’Autorité norvégienne de protection des données vient de rendre sa décision et a infligé à Xandr une amende de 8,5 millions d’euros (92 000 000 NOK) pour ses violations du RGPD. Cette décision porte un coup dur au secteur des technologies publicitaires en ligne.
Publicité en ligne. De nombreuses applications pour smartphones transmettent des données très personnelles de leurs utilisateurs à des milliers de partenaires publicitaires via des identifiants de suivi en ligne. Un rapport du Conseil norvégien des consommateurs (NCC) a révélé que chaque fois que nous utilisons des applications sur nos téléphones, des données personnelles concernant nos centres d’intérêt, nos habitudes et notre comportement sont transmises à un grand nombre d’« entités obscures ». Ces informations servent à établir des profils détaillés, qui peuvent ensuite être utilisés à des fins de publicité ciblée et à d’autres fins.
Trois plaintes. En 2020, le NCC et noyb ont déposé trois plaintes au titre du RGPD contre l’application de rencontres Grindr et plusieurs entreprises d’adtech qui recevaient des données personnelles par l’intermédiaire de l’application. L’une de ces plaintes concernait Xandr, une entreprise de publicité en ligne qui appartient désormais à Microsoft.
Xandr a enfreint la loi. Aujourd’hui, l’Autorité norvégienne de protection des données a conclu que Xandr, filiale de Microsoft, avait enfreint le RGPD. Elle a traité des données à caractère personnel, y compris des informations sensibles relatives à l’orientation sexuelle, sans fondement juridique valable. Xandr a été condamnée à payer une amende d’environ 8,5 millions d’euros.
Felix Mikolasch, avocat spécialisé dans la protection des données chez noyb : «Nous nous réjouissons vivement de cette décision. Les entreprises de technologie publicitaire en ligne telles que Xandr opèrent souvent en coulisses et sont rarement tenues de rendre des comptes sur leurs pratiques. Cela crée un précédent précieux pour des affaires similaires.»
Coup dur pour le secteur des technologies publicitaires en ligne. Cette décision porte un coup dur au secteur de la publicité en ligne et de la surveillance commerciale. De nombreux sites web, applications, plateformes, systèmes d’exploitation et autres transmettent les données des utilisateurs aux entreprises d’adtech. Ces dernières établissent des profils d’utilisateurs et accumulent d’énormes quantités de données à caractère personnel, qui sont partagées entre des milliers d’entreprises à des fins publicitaires et autres. L’amende infligée montre que des entreprises telles que Xandr finissent par être tenues responsables de leurs pratiques douteuses. L’établissement de profils sur les centres d’intérêt, les habitudes, la localisation et le comportement des personnes nécessite un consentement valable – que les entreprises d’adtech n’obtiennent pratiquement jamais.
Finn Myrstad, directeur de la politique numérique au Conseil norvégien des consommateurs : « Cela envoie un signal fort à tous ceux dont le modèle économique repose sur le suivi et le profilage des consommateurs. Si le consentement doit être véritablement éclairé et significatif, on voit mal comment la publicité actuelle, fondée sur la surveillance, pourrait être légale.»
Les géants de la tech mènent un lobbying intense. Parallèlement, la Commission européenne souhaite modifier le RGPD par le biais du « Digital Omnibus ». Les géants de la tech ont exercé une forte pression pour que la loi soit modifiée afin que les identifiants de suivi en ligne ne relèvent plus du champ d’application du RGPD – et la Commission européenne a cédé à leur pression. En conséquence, les entreprises de publicité en ligne peu scrupuleuses et leur pratiques de profilage de masse des utilisateurs, extrêmement problématiques, pourraient se voir donner carte blanche. Des entreprises telles que Xandr (filiale de Microsoft), Google, Meta, Apple, Amazon, Criteo, Grindr et d’autres ne pourraient alors plus être tenus pour responsables des violations liées à ces identifiants de suivi en ligne. Cette proposition de la Commission européenne est actuellement examinée par le Parlement européen et le Conseil.
