Aucune enquête coordonnée en Europe n’a été menée sur le scandale « Facebook/Cambridge Analytica »

Plus de deux ans après l’éclatement de l’affaire « Cambridge Analytica » sur l’exploitation massive et illégale des données personnelles de dizaines de millions d’utilisateurs de Facebook à des fins de ciblages politico-publicitaires, aucune enquête n’a été menée en France par la Cnil. Surprenant.

Helen Dixon, à la tête de la « Cnil » irlandaise

Aux Etats-Unis, Facebook a écopé l’été dernier d’une amende record de 5 milliards de dollars infligée par la FTC (1) – définitivement confirmée par un tribunal le 23 avril 2020 – pour n’avoir pas géré ni protégé correctement les données personnelles de ses utilisateurs. En Grande-Bretagne, la « Cnil » britannique – ICO (2) – l’a condamné en octobre 2019 au maximum que lui permettait la loi du pays pour violation sur la protection des données, soit 500.000 livres (plus de 565.000 euros). Ces données ont notamment été exploitées en 2016 pour influencer respectivement l’élection présidentielle américaine et le référendum britannique sur le Brexit. Mais bien d’autres pays ont eux-aussi enquêté sur ce siphonnage de données personnelles opéré illégalement par la société londonienne Cambridge Analytica (devenue Emerdata) sur près de 100 millions d’utilisateurs de Facebook : 50 millions aux Etats-Unis, 87 millions si l’on y ajoute d’autres pays dans le monde. Mais connaîtra-t-on jamais l’ampleur de la manipulation à portée planétaire ?

La Cnil n’a pas jugé bon d’enquêter
En Australie, la « Cnil » australienne – OAIC (3) – a lancé en mars dernier une action judiciaire contre Facebook pour avoir transmis Cambridge Analytica les données personnelles de 311.127 Australiens. Au Canada, la « Cnil » canadienne – OPC (4) – a saisi en février la justice contre Facebook accusé là aussi d’avoir transmis des données privées sans autorisation à Cambridge Analytica. En Europe, en dehors de la Grande-Bretagne où Cambridge Analytica avait son siège social, l’Italie – via son gendarme de la concurrence AGCM – a rappelé à l’ordre la firme de Mark Zuckerberg accusée de continuer à collecter de façon non transparente des données personnelles en violation de ses engagements pris en novembre 2018 – assortis à l’époque de deux amendes pour un total de 10 millions d’euros. En Espagne, comme par ailleurs au Brésil, Facebook a dû aussi mettre la main au portefeuille à la suite du scandale « Cambridge Analytica ». Et en France ? Continuer la lecture

Consentement des internautes : cookies et autres traceurs sont dans le viseur de la Cnil, Europe oblige

Sont parues le 19 juillet au Journal Officiel les lignes directrices de la Cnil concernant les « opérations de lecture ou écriture dans le terminal d’un utilisateur (notamment aux cookies et autres traceurs) », en attendant ses recommandations pour début 2020, et le futur règlement « ePrivacy » européen.

Par Olivia Roche, avocate, et Prudence Cadio, avocate associée, cabinet LPA-CGR avocats

L’utilisation des cookies et a u t re s t raceurs est actuellement encadrée par la directive européenne dite « ePrivacy » (1), plusieurs fois modifiée, notamment par la directive de 2009 renforçant l’obligation d’information des internautes et leur consentement (2). Si cette dernière a vocation à être abrogée et remplacée par le règlement européen « ePrivacy » (3), celui-ci est toujours en discussion devant les instances européennes. Toutefois, l’entrée en vigueur en mai 2018 du RGPD – règlement général sur la protection des données du 27 avril 2016 – a permis un premier pas vers la modernisation des règles entourant l’utilisation de traceurs et cookies.

Le consentement doit être « éclairé »
Dans cette lignée, la Commission nationale de l’informatique et des libertés (Cnil) a d’ores et déjà anticipé les changements à venir, forçant ainsi les acteurs du secteur de la publicité en ligne à prévoir une évolution très prochaine de leurs pratiques. Pour se mettre en conformité avec le RGPD, l’ordonnance du 12 décembre 2018 a abrogé l’article 32-II de la loi relative à l’informatique, aux fichiers et aux libertés (la fameuse loi de 1978, modifiée depuis) au profit du nouvel article 82 remplaçant le terme « accord » par celui de « consentement » tenant ainsi compte de la nouvelle terminologie consacrée par le RGPD.
Résultat, vis-à-vis de l’internaute : « Ces accès [à des informations déjà stockées dans son équipement terminal] ou inscriptions [des informations dans cet équipement] ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle » (4). Le 21 mars 2019, l’avocat général de la Cour de justice de l’Union européenne (CJUE) présentait, dans l’affaire « Planet49 » des conclusions répondant à plusieurs questions préjudicielles posées par la cour fédérale de justice allemande sur l’encadrement du recours aux cookies et l’application du RGPD. L’avocat général rappelle notamment que pour être valide le consentement doit être « éclairé ». Cela implique que l’internaute doit être informé de la durée de fonctionnement des cookies, ainsi que de l’identité des tiers qui ont accès à ses informations par ce biais (5). Cette position est conforme aux recommandations du groupe de travail « Article 29 », devenu le Comité européen de la protection des données (CEPD), qui place le consentement au coeur du régime des données personnelles. Le CEPD précise que « la notion de consentement telle que présentée dans le projet de règlement “ePrivacy” reste liée à la notion de consentement au sens du RGPD » (6).
Prenant acte de ces évolutions et dans la continuité de son plan d’action 2019-2020 sur le ciblage publicitaire en ligne, publié en juin dernier, la Cnil a fait évoluer ses recommandations, anticipant elle aussi les évolutions du futur règlement « ePrivacy » qui remplacera la directive de 2002 et dont la dernière version du projet officiel a été publiée le 22 février dernier (7). L’autorité de contrôle française a ainsi adopté le 4 juillet dernier une délibération afin de remplacer les lignes directrices promulguées par la délibération de 2013 encadrant jusqu’à présent l’utilisation des cookies (8).
Elle montre sa volonté de faire du renforcement de l’encadrement du ciblage publicitaire une priorité et de mettre fin à des pratiques encore très répandues dans ce secteur. Ces nouvelles lignes directrices permettent ainsi d’apporter de premières explications sur l’application concrète du nouvel article 82 de la loi « Informatique et Libertés » (9).

Cookies « http », cookies « flash », etc.
Il ne s’agit que d’une première étape, puisque la Cnil a déjà annoncé qu’elle publierait d’autres recommandations sectorielles, notamment « au premier trimestre 2020 » une recommandation qui « précisera les modalités pratiques de recueil du consentement » (10), lesquelles feront suite à une consultation publique et une concertation avec les professionnels du secteur. « Des groupes de travail se tiendront au second semestre 2019 entre les services de la Cnil et chaque catégorie d’acteurs (éditeurs de contenus, annonceurs, prestataires et intermédiaires de l’écosystème du marketing, représentants de la société civile), par l’intermédiaire de leurs organisations professionnelles représentatives » (11). La Cnil revoit sa position et renforce les règles applicables aux cookies et autres traceurs. Les nouvelles lignes directrices de 2019 apportent des changements majeurs par rapport à ses recommandations antérieures de 2013.

Révision et renforcement des règles
A titre préliminaire, l’autorité de contrôle prend soin de préciser que le champ d’application de cette délibération est très large, puisqu’elle vise tous types de terminaux – notamment, smartphones, ordinateurs, consoles de jeux – et porte non seulement sur (12) : les cookies dit « http » (« par lesquels ces actions sont le plus souvent réalisées ») mais également sur les cookies dit « flash » (« local shared objects », ou objets locaux partagés), le « local storage » (ou stockage local) mis en oeuvre au sein du HTML5, les identifications par calcul d’empreinte du terminal, les identifiants générés par les systèmes d’exploitation (qu’ils soient publicitaires ou non) et les identifiants matériels (adresses MAC, numéros de série, …).
La Cnil réitère le principe selon lequel le consentement doit être manifesté par l’utilisateur « de manière libre, spécifique, éclairée et univoque par une déclaration ou par un acte positif » (13), conformément aux dispositions du RGPD (Article 7 concernant « les conditions applicables au consentement » du RGPD). L’autorité de contrôle française détaille les contours de ce principe par des illustrations. Ainsi, elle affirme sans ambiguïté que les « cookies walls », à savoir la pratique consistant à bloquer l’accès à un site Internet ou un service pour « qui ne consent à être suivi » est contraire à l’exigence d’un consentement libre.
De même, le consentement doit être spécifique, ce qui signifie que l’acceptation globale de conditions générales d’utilisation « ne peut être une modalité valable de recueil du consentement » qui doit être donné de manière distincte pour chaque finalité. Un simple renvoi vers des conditions générales d’utilisation ne saurait non plus suffire à répondre à l’exigence d’un consentement « éclairé » qui requiert qu’une information complète, visible, accessible et aisément compréhensible soit mise à disposition de l’utilisateur au moment du recueil de son consentement. Enfin, l’un des changements les plus contraignants pour les acteurs du secteur de la publicité en ligne reste la suppression de la pratique dite du « soft opt-in », consacrée par la Cnil en 2013, consistant à considérer que la poursuite de la navigation sur un site Internet ou une application mobile valait consentement. Le caractère « univoque » du consentement requis par le RGPD exige à présent que l’internaute procède à une action positive pour recueillir son accord. Il ne sera plus non plus possible de se référer aux paramètres du navigateur de l’internaute, puisque la Cnil considère, conformément à la jurisprudence du Conseil d’Etat (14) que les « nombreux réglages » mis à disposition par les navigateurs web ne « permettent pas d’assurer un niveau suffisant d’information préalable des personnes », ni de « distinguer les cookies en fonction de leurs finalités ».
L’ensemble des exigences ne visent, néanmoins, que les cookies et traceurs pour lesquels un consentement est requis. De fait, la Cnil a réaffirmé le principe d’exemption pour certains cookies, notamment ceux dédiés aux mesures d’audience ou ceux destinés à « permettre ou faciliter la communication par voie électronique » ou « strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur » (par exemple, les cookies d’identification).

Mais cette exception confirme la règle : continuer sa navigation ou scroller, autrement dit, faire défiler la page vers le bas de l’écran à l’aide de la molette d’une souris, d’un pavé tactile, mais également sur un écran tactile de téléphone portable ou de tablette à l’aide d’un doigt, n’est plus suffisant pour recueillir le consentement de l’internaute. Il faudra entreprendre les changements nécessaires pour assurer d’isoler le consentement de l’internaute et de rendre visibles les informations exigées. La preuve d’avoir recueilli, de manière conforme, le consentement de l’utilisateur, devra en outre être apportée et conservées par ses acteurs, lesquels devront pour ce faire mettre en place certainement de nouveaux outils, comme ceux d’historisation.

Délai accordé d’environ un an
Il est à noter que pour les opérateurs en conformité avec la délibération de 2013, la Cnil a concédé une période transitoire d’adaptation d’un an environ (six mois après la publication de la future recommandation prévue en 2020), laissant ainsi à ceux-ci le temps de mettre en oeuvre les mesures opérationnelles qui s’imposent. Mais l’autorité a déjà prévenu que « cette période d’adaptation n’empêchera pas la Cnil de contrôler pleinement le respect des autres obligations qui n’ont fait l’objet d’aucune modification et, le cas échéant, d’adopter des mesures correctrices pour protéger la vie privée des internautes ». @

Consentement préalable : le futur règlement « ePrivacy » redonne la main aux internautes

Alors que publicitaires et éditeurs s’alarment de la prochaine obligation d’obtenir le consentement préalable des internautes – dès le niveau du navigateur Internet – avant de déposer des cookies, les consommateurs s’apprêtent à reprendre le pouvoir avec le projet de règlement « ePrivacy ».

La Commission européenne veut que sa nouvelle proposition de règlement sur la vie privée et les communications électroniques (ePrivacy) – présentée
en janvier dernier (1) – entre en vigueur le 25 mai 2018
« au plus tard », soit dans un peu moins d’un an maintenant, en même temps le règlement général
« Protection des données » déjà promulgué, lui, le 4 mai 2016. Mais l’une des mesures, à savoir le consentement préalable des internautes avant tout cookie, satisfait les uns (les consommateurs) mais inquiète les autres (les éditeurs de sites web).

Consentement au niveau des navigateurs
Le Bureau européen des Unions de consommateurs (Beuc), lequel compte plus d’une quarantaine de membres dont UFC-Que choisir et la CLCV (2) en France, n’a de cesse de demander « instamment » aux législateurs européens d’adopter des règles obligeant les fournisseurs de services sur Internet à instaurer de « robustes paramètres de confidentialité par défaut » et à « imposer des limites strictes à la collecte des don-
nées ». Selon le Beuc, citant une enquête Eurobaromètre sur la vie privée en ligne,
une grande majorité (82 %) des Européens interrogés considère que « les systèmes
de surveillance de leurs activités en ligne (tels que les cookies) ne devraient pouvoir être activés qu’avec leur consentement préalable ».
Basé à Bruxelles, le Beuc vient de publier son « position paper » – daté de juin (3) –
sur le projet de règlement « ePrivacy » . Il accueille avec satisfaction les dispositions
de l’article 8.1 du projet de règlement qui met le consentement de l’internaute au cœur du dispositif. « La formulation de l’article, qui se réfère “à l’utilisation de traitement et des capacités de stockage” du terminal en plus “de la collecte d’informations” sur un
tel équipement, garantira que toute sorte de mécanisme de suivi à la trace (tracking mecanism) tombera sous le coup de cette disposition, pas seulement des outils traditionnels tels que les cookies », explique l’organisation européenne des consommateurs. Le ciblage publicitaire est, selon le Beuc présidé par le Suédois Örjan Brinkman (photo), l’une des raisons principales de la généralisation du tracking (suivi) et des pratiques de monitoring (surveillance) auxquelles les consommateurs peuvent être soumis. Le Beuc regrette que « l’essentiel du modèle économique sur lequel la publicité est basée a été développé au détriment de la vie privée des consommateurs, sur une surveillance 24h/24 7j/7 et sur une monétisation de chaque mouvement du consommateur par une myriade d’acteurs (publicitaires, éditeurs, réseaux publicitaires, plateformes d’Ad-Exchange, Data Brokers, etc) ». La plupart des internautes en sont inconscients et/ou impuissants face à cette situation. De plus, déplore le Beuc, il n’y a pratiquement aucun autre choix que d’accepter d’être suivi à la trace si vous voulez avoir l’accès au service en ligne. L’article 9.2 du projet de règlement, lui, prévoit la possibilité d’exprimer le consentement préalable en utilisant les paramètres techniques appropriés de logiciel permettant l’accès à Internet. Cette mesure au niveau des navigateurs Internet (4) devrait aider, d’après le Beuc, à réduire le nombre de demandes de consentement et éviter les demandent systématiquement de la part des prestataires de services au risque d’être invasifs pour la vie privée. Et de rappeler que les « Cnil » européenne (réunies dans le G29) ont considéré que – pour être valables – les paramètres techniques pour recueillir le consentement préalable ne peuvent pas être prédéterminés pour accepter tous les cookies en vrac par exemple. Des informations complètes et entièrement visibles sont aussi nécessaires afin de s’assurer d’obtenir un consentement valable de la part de l’internaute. En outre, il ne devrait pas être possible de contourner le choix fait par l’utilisateur dans les paramètres. Quoi qu’il en soit, le Beuc demande au législateur européen à ce que soient bannis les « tracking walls » (barrières d’accès au contenu) qui proposent aux internautes de les suivre en échange d’une levée des restrictions d’accès aux contenus du site web. De même, la désactivation des « anti-tracking tools » (outils anti-surveillance) ne devrait être faite qu’avec le consentement de l’internaute (5).

Les éditeurs de presse et de sites se rebiffent
De leur côté, une trentaine d’éditeurs de presse en Europe ont publié fin mai une
« Lettre ouverte au Parlement européen et au Conseil de l’Union » (6) pour faire part de leurs inquiétudes, notamment sur le consentement préalable à partir des navigateurs :
« Le passage d’un consentement pour la collecte de données sollicité par chaque éditeur de presse en ligne lorsque son site est consulté à un consentement global recueilli par quelques puissantes plateformes, est une mauvaise solution pour l’avenir de la presse ». Plusieurs organisations professionnelles françaises (7) ont-elles aussi exprimé en juin (8) leurs préoccupations. @

Charles de Laubier