Publicité ciblée en ligne : quels enjeux pour la protection des données personnelles ?
Comment les internautes peuvent-ils exercer un choix éclairé, en toute transparence, pour garder le contrôle sur leurs données personnelles alors que nous vivons dans un monde toujours plus connecté ?
Un sujet au cœur de la vie numérique quotidienne
Nous interagissons chaque jour avec une variété de sites web publics ou privés, d'applications et de plateformes numériques en utilisant nos ordinateurs, nos tablettes, nos « smartphones » mais également de plus en plus d’objets connectés à Internet (assistants vocaux, jouets connectés, téléviseurs connectés, consoles de jeux, etc.). Ce faisant, nos données personnelles peuvent être collectées via des traceurs (les « cookies », mais aussi d’autres technologies similaires) et traitées par un certain nombre d’acteurs pour des raisons dont nous ne sommes pas toujours conscients.
Depuis l’entrée en application du règlement général sur la protection des données (RGPD), le ciblage publicitaire a été au cœur de nombreuses plaintes déposées auprès de différentes autorités de protection des données européennes, dont la CNIL. La Quadrature du Net mais également d’autres organisations telles que NOYB, Privacy International ainsi que des particuliers, ont déposé des plaintes qui portent notamment sur le manque de contrôle offert aux internautes sur la collecte de données depuis leurs appareils connectés.
Par ailleurs, les actualités récentes en matière d’exploitation des données en ligne ont entrainé une réelle prise de conscience et sensibilisé le grand public à l’économie des données personnelles soutenant un grand nombre de services d’Internet qui se revendiquent comme « gratuits ». Cette prise de conscience a fait naître des inquiétudes mais également des attentes légitimes en matière de protection des données en ligne.
Dans le même temps, les professionnels du secteur du marketing en ligne et leurs représentants ont demandé à ce que la CNIL explicite ce qui est attendu de leur part pour respecter la réglementation.
Les enjeux numériques de la vie quotidienne étant au cœur de son action, la CNIL a donc décidé de faire du ciblage publicitaire un sujet prioritaire en 2019 et 2020. Après avoir concerté les différents acteurs concernés (associations professionnelles et société civile) pendant l’automne 2019, la CNIL soumet aujourd’hui à consultation publique son projet de recommandation.
Les défis posés par le ciblage publicitaire
La publicité est une source substantielle de revenus pour un large éventail de services en ligne. Comme pour les médias traditionnels (journaux, radio, télévision) ou d’autres services (les publicités dans le métro), les éditeurs de services en ligne et leurs partenaires publicitaires (régies, etc.) segmentent les publics visés afin de rendre la publicité plus pertinente et adaptée.
La particularité de la publicité en ligne réside dans l’extrême personnalisation de certains modèles de publicité, qui cherchent à proposer à chaque individu des publicités spécialement choisie pour lui.
Cependant, cette pratique nécessite de collecter de grande quantités de données personnelles (par exemple, les sites et contenus que vous consultez en ligne peuvent être très révélateurs de vos préoccupations du moment, de votre mode de vie, etc.). C’est la raison pour laquelle cela peut susciter des inquiétudes en termes de protection des données et de la vie privée, notamment au vu du nombre important de sociétés pouvant avoir accès à de telles données.
Ces modèles reposent sur l’accès au terminal personnel de l’utilisateur pour y déposer et lire des traceurs. Le législateur a toujours voulu particulièrement encadrer ces actions, compte tenu du fait que ce terminal personnel est attaché à la sphère la plus intime de l’individu.
Une journée type en ligne
Au lever, vous demandez à votre assistant vocal de vous lire vos derniers courriers électroniques pendant que vous vous habillez pour vous rendre au travail. Dans les transports en commun, vous vous rendez sur une plateforme de microblogging avant de consulter un site d’information en ligne renommé. Sur le chemin, vous vous arrêtez prendre une tasse de café et en profitez pour publier une photo de votre petit-déjeuner en « taguant » l’établissement dans lequel vous vous trouvez sur votre réseau social préféré. Durant la pause déjeuner, vous vous rendez sur un site d’e-commerce afin de rechercher une nouvelle paire de lunettes de ski pour votre week-end à la montagne avant de vous rendre sur votre réseau social pour partager vos plans avec vos amis.
Il ne s’agit que d’une poignée de services, mais les données relatives à ces activités et associées à votre profil ont potentiellement été collectées non pas par une dizaine d’acteurs avec lesquels vous avez eu une interaction en ligne mais par plus d’une centaine d’entreprises différentes en l’espace d’une journée.
Si les sites web et les applications avec lesquels vous interagissez sont visibles, d’autres sociétés peuvent suivre vos activités et collecter des données relatives à votre navigation en ligne sans que cela ne soit nécessairement évident pour vous, pour vous afficher de la publicité. Plus tard dans la journée, vous commencez à voir des messages sponsorisés sur votre plateforme de microblogging à propos de week-ends à la montagne, des annonces publicitaires sur votre réseau social pour les lunettes de ski que vous avez cherchées et des suggestions de nouveaux cafés à découvrir près de votre lieu de travail.
Il ne s’agit pas de coïncidences, mais bien du résultat de la collecte de vos données de navigation et de géolocalisation.
Une collecte souvent invisible
Très peu d'internautes se rendent compte que, souvent, lorsque qu’ils visitent un site web ou utilisent une application mobile, ils n’entrent pas en relation avec une seule entreprise, mais avec un grand nombre de sociétés qui vont collecter et utiliser leurs données. Un simple test avec l’outil Cookieviz développé par la CNIL permet de constater l’ampleur de cette collecte.
L'internaute ordinaire ne sait pas non plus toujours quelles données sont collectées à son sujet, comment, par qui et pour quels objectifs.
Or, la notion de transparence est au cœur de la règlementation relative à la protection des données personnelles. Sans information claire et complète sur les traitements de données nous concernant nous ne sommes pas en mesure de faire des choix éclairés et de contrôler réellement l’usage qui est fait de nos données.
Des profils très détaillés
Les techniques de collecte de données et de profilage ont beaucoup progressé ces dernières années, en particulier grâce à la multiplication des sources de collecte (en ligne et hors ligne). Aujourd’hui, de nombreux acteurs sont en mesure d’accumuler suffisamment d'informations pour créer des profils individuels très détaillés. Ces profils peuvent produire, au fil du temps, une image complète et plus ou moins exacte de votre personnalité, voire révéler des informations que vous n'aurez pas choisies d’exposer (par exemple, des données relatives à vos opinions politiques inférées à partir de l’analyse de vos lectures sur des sites d’information ou encore qui indiqueraient votre orientation sexuelle, par l’identification du genre des personnes dont vous consultez les profils sur des sites de rencontre). Plus un profil est détaillé, plus sa valeur marchande est élevée.
La montée en puissance du profilage est liée au basculement, il y a plus d’une décennie, vers une publicité personnalisée à l’échelle de l’individu. Les anciennes techniques de ciblage publicitaire se limitaient en effet à cibler une audience définie de manière générale (par exemple des femmes de moins de 35 ans) en achetant des emplacements publicitaires sur les sites susceptibles d’être fréquentés par cette audience. Aujourd’hui, l’hyperpersonnalisation des publicités affichées est notamment permise par le biais d’enchères en temps réel (« Real-Time Bidding » en anglais, ou RTB). Chaque publicité affichée à un individu à un moment donné est négociée et délivrée en quelques fractions de secondes.
Pour donner de la valeur à l’emplacement publicitaire disponible et rempli au moment où vous visitez une page, les algorithmes utilisés dans le cadre du RTB récupèrent et valorisent les données relatives à votre profil (genre, âge, pays, centres d’intérêt déduits des sites que vous avez consultés, de vos interactions avec ces sites) ainsi que d’autres données contextuelles (site visité, date et heure, types de campagnes commandées par les annonceurs, etc.). Faites le test en comparant les publicités affichées sur l’ordinateur d’un proche et celles affichées sur le vôtre : elles différeront dans la plupart des cas.
Le stockage d’une quantité considérable de données sur les individus représente un risque en soi. La règlementation relative à la protection des données prévoit plusieurs mesures pour maîtriser ce risque comme le principe de minimisation des données collectées, de limitation de la durée de conservation, l’obligation de sécurité mais également de transparence et de contrôles renforcés donnés aux individus eux-mêmes.
Que sait-on vraiment sur moi ?
Les nouvelles technologies et la capacité de collecter et d'analyser d’importants volumes de données modifient non seulement la manière dont les annonceurs atteignent les consommateurs mais aussi le rôle des éditeurs de contenu monétisant des espaces publicitaires vis-à-vis des consommateurs qui composent leur audience. Il s’agit aujourd’hui d’optimiser l’exploitation des espaces publicitaires en adaptant au profil de chacun le contenu affiché.
Si le profil des consommateurs ne contient pas, dans de nombreux cas, de données directement identifiantes (nom, prénom, adresse électronique), il n’en est pas moins rattaché à un individu.
L’objectif est en effet de « cibler » un individu en adaptant à sa personnalité le contenu qui lui est affiché. Dans de nombreux cas, les informations collectées sont liées à un identifiant unique contenu dans un traceur qui permet de suivre le même internaute dans le temps, enrichissant ainsi progressivement le profil avec de nouvelles informations à mesure qu'elles s'accumulent. Le traceur agit comme une « balise » envoyant un signal permettant de vous reconnaitre à chaque fois que vous consultez un site ou une application.
Par ailleurs, un profil utilisateur n’est pas seulement composé des données que nous générons sciemment telles que les photos ou les publications sur les réseaux sociaux. Ce sont aussi les données générées indirectement : notre activité de navigation, notre historique de géolocalisation, les appareils que nous utilisons et bien d'autres informations qui ont été dérivées, inférées ou prédites à partir d'autres sources. Par exemple, à partir de mes habitudes de navigation, les entreprises peuvent prédire mon sexe, mon revenu, le nombre de mes enfants, mes habitudes d'achat, mes centres d’intérêts et mes opinions politiques.
Des bannières omniprésentes qui ne permettent pas d’exprimer un véritable choix
Afin de protéger les internautes, la règlementation européenne relative à la protection des données impose, en principe, le consentement pour l’utilisation de traceurs sur l’appareil de l’utilisateur. C’est pour cela qu’aujourd’hui, lorsqu’un internaute arrive sur un site web ou une application mobile, une bannière apparaît pour permettre le paramétrage des traceurs.
Or, la multiplication de ces bannières, si elle a permis de rendre plus visible l’existence des traceurs, aboutirait, selon certains, à une « fatigue du consentement » qui signifierait, selon eux, que les internautes ne souhaitent pas que leur accord leur soit demandé.
Selon un sondage IFOP réalisé par la CNIL, 70 % des personnes interrogées trouvent indispensable que les acteurs obtiennent leur accord avant qu’il soit possible de se servir de leurs données de navigation via des traceurs, même si cela prend un peu plus de temps dans la navigation. Signe supplémentaire de cette volonté de contrôle étroit de l’usage des traceurs, les personnes interrogées se prononcent massivement pour que les sites qu’elles fréquentent souvent leur redemandent un consentement à intervalles réguliers (77 % souhaitent ainsi qu’une nouvelle demande de consentement pour utiliser des traceurs ait lieu au moins tous les 3 mois).
L’exigence de consentement imposée aux acteurs n’est pas remise en cause, mais c’est sa traduction pratique qui semble aujourd’hui poser problème.
Le design de ces bannières et les choix et informations présentées peuvent être très subtils. Diverses techniques sont aujourd’hui utilisées pour influer sur le choix de l’utilisateur : couleurs, polices, taille des boutons, formulation utilisées pour mettre en avant ou souligner certaines options plutôt que d'autres, etc.
Les conséquences de l’hyper-personnalisation
Les annonceurs sont préoccupés par la pertinence des publicités qu’ils veulent vous afficher : ils souhaitent vous montrer des publicités pour les produits qu'ils pensent que vous êtes plus susceptibles d’acheter, en fonction des traces numériques que vous laissez.
La publicité a pour objectif d’influencer les comportements et les choix des individus, que ce soit en matière commerciale ou politique.
Certaines approches de ciblage peuvent ainsi aller jusqu'à délivrer, par exemple, des messages individualisés conçus pour exploiter ou même accentuer certaines valeurs personnelles ou préoccupations des individus.
La publicité ciblée, un choix individuel en toute connaissance de cause
La publicité doit relever du choix de l’internaute
Cette plus grande transparence vous permettra de choisir en connaissance de cause :
- de faire l’objet d’un suivi pour maximiser la pertinence des publicités qui vous sont présentées au regard de vos préoccupations du moment et, en adhérant au dépôt de traceurs, à contribuer à la rémunération d’un site ou d’une application que vous souhaitez soutenir ;
- de refuser un tel suivi.
Alors que le maintien de pratiques opaques favorise la défiance des internautes, une transparence accrue vous permettra d’adhérer, ou non, à la publicité ciblée et conduira les acteurs du secteur à développer des garanties de protection de la vie privée de nature à rassurer leurs internautes. La protection des données et le contrôle par les utilisateurs sont un levier important de la définition d’un espace numérique de confiance à long terme.
Toutes les publicités en ligne ne sont pas « personnalisées »
L’affichage de publicité ne nécessite pas dans l’absolu de profiler l’internaute, son contenu pouvant être défini en fonction de son contexte d’affichage et indépendamment des individus qui la visualisent.
La publicité a toujours été une source de revenus importante pour les éditeurs de contenu et un vecteur de croissance important pour nombre de sociétés innovantes. L’objectif de la règlementation n’est pas de remettre en cause ces modèles économiques, ni l’existence même de la publicité mais de veiller au respect des principes fondamentaux de protection des données.
Les internautes doivent être mieux informés et avoir un meilleur contrôle sur leurs données
Le sondage IFOP réalisé par la CNIL met en évidence qu’une majorité des personnes interrogées (90 %) estiment nécessaire de connaître l’identité des entreprises susceptibles de suivre leur navigation via des traceurs, et ce d’autant plus qu’ils considèrent insuffisantes les informations aujourd’hui disponibles sur celles-ci (49 %). Pour autant, les pratiques dans ce domaine doivent progresser, comme en témoigne le même sondage : 65 % des personnes interrogées donnant leur accord à l’utilisation de leurs données personnelles en ligne admettent ainsi avoir déjà accepté le dépôt d’un traceur sans en être tout à fait d’accord, que ce soit par facilité, ou parce qu’ils ne savaient pas comment refuser.
Il appartient donc aux différents acteurs d’améliorer la manière dont ils informent leurs utilisateurs de l’exploitation de leurs données :
- sur le fond, en fournissant plus d’informations sur les données collectées, les objectifs poursuivis par une telle collecte et notamment la création de profils à des fins publicitaires, l’identité des sociétés susceptibles de suivre leur navigation, etc. ;
- sur la forme, en délivrant des informations en des termes simples et compréhensibles pour tous.
Les bannières actuelles doivent donc être améliorées pour vous permettre de dire oui ou non, facilement et sans subir de préjudice.
Enfin, ces interfaces ne doivent pas utiliser de pratiques de design potentiellement trompeuses en utilisant une « grammaire visuelle » qui pourrait vous laisser penser que votre consentement est obligatoire pour continuer la navigation ou qui met visuellement plus en valeur la possibilité d’accepter que celle de refuser.
Si la CNIL ne remet pas en cause les avantages économiques de la publicité comportementale, elle reste convaincue que cette pratique ne saurait exister aux dépens du droit des personnes à la protection de leurs données et de leur vie privée.
Elle souhaite accroître la transparence et garantir une véritable liberté de choix aux internautes en leur donnant davantage de contrôle sur leurs données personnelles.
Le cadre réglementaire de l’Union européenne en matière de protection des données, qui établit des garanties spécifiques, doit être respecté afin de permettre à chacun de profiter des possibilités offertes par la publicité ciblée dans le respect des droits et libertés fondamentaux des individus et à l’économie numérique de se développer dans un environnement de confiance qui garantit l’adhésion de tous à long terme.
