Armingaud Avocat

Profilage, décisions individuelles automatisées et publicité ciblée - to agree, or not to agree, is that the question

9 min de lecture

Télécharger .md

Le secteur de la publicité en ligne a été l’un des secteurs les plus touchés par l’entrée en vigueur du RGPD, qui a profondément transformé tant les règles de son jeu que les rapports de forces au sein de cet écosystème. Ainsi, de très nombreux acteurs européens de la publicité ciblée ont subi une inversion de la charge de la conformité réglementaire par leurs prestataires, notamment américains, sous couvert d’une exigence de consentement des personnes concernées imposée par le RGPD. Cette inversion s’est notamment traduite au travers d’avenants aux contrats existants, transférant la responsabilité d’un recueil de consentement sur les éditeurs de services, sans préjudice de l’absence du contrôle effectif sur les traitements de données réalisés par leurs prestataires.

Mais quel régime est-il effectivement applicable au consentement relatif à la publicité ciblée ? Tout profilage est-il réellement soumis au consentement des personnes ? Et quid du régime de décisions individuelles automatisées ?

Les lignes directrices sur la prise de décision individuelle automatisée et profilage1, initialement adoptées par le G29 le 3 octobre 2017 et révisées le 6 février 2018, tentent d’apporter des clarifications à ce sujet et analysent en détail les deux notions clés : « profilage » et « décision individuelle automatisée », issues de l’article 22 du RGPD.

Si les vertus pédagogiques des Lignes Directrices, et notamment la première vingtaine de pages, exégétique, sont indéniables, leurs conclusions, consacrées aux critères de prise de décision automatisée, et des « effets juridiques à l’égard d’une personne physique » ou « l’affectant de manière significative de façon similaire », soulignent une hésitation des parties prenantes quant au régime de la publicité ciblée, voire même une apologie partisane d’un consentement, pourtant dispensable.

La prise de décision individuelle automatisée ou la redondance du droit d’opposition

En premier lieu, le positionnement de cette notion à l’Article 22 RGPD est importante. En effet, à la différence des traitements relatifs aux données de mineurs2, aux « catégories particulières de données » (ou données sensibles)3 ou aux données relatives aux condamnations pénales et aux infractions4, la prise de décision individuelle automatisée n’est pas soumise à un régime d’interdiction a priori.

En effet, l’Article 22 se trouve dans le Chapitre 3 (« Droits de la personne concernée ») Section 4 (« Droit d’opposition et prise de décision individuelle automatisée ») du RGPD. Cette prise de décision ouvre donc aux personnes concernées un droit négatif de « ne pas » faire l’objet d’un tel traitement, soit un droit d’opposition. Conséquence logique, ce droit d’opposition ne s’applique pas lorsque le traitement est nécessaire à la conclusion ou à l’exécution d’un contrat (ce qui pourrait entrainer l’absence d’objet de ce même contrat), ou lorsqu’il est fondé sur le consentement de la personne (dans la mesure où ce dernier, lorsqu’il constitue la base légale du traitement, doit pouvoir être retiré à tout moment).

En second lieu, cette prise de décision individuelle ne vise que les décisions fondées exclusivement sur un traitement automatisé (sans aucune intervention humaine), et sous réserve qu’elles puissent produire « des effets juridiques la concernant ou l’affectant de manière significative de façon similaire ». Ni l’effet juridique, ni l’affectation similaire n’ont pourtant été définis par le RGPD.

Le profilage, une sous-catégorie de la prise de décision automatisée

Si les décisions individuelles automatisées semblaient assez explicites par elles-mêmes, le RGPD a cependant jugé utile de définir le profilage5. L’articulation de l’Article 22 fait de ce profilage une sous-catégorie de la prise de décision individuelle automatisée. À cet égard, on soulignera que l’intervention humaine, à une étape quelconque de la chaîne de traitement, et pour autant qu’elle soit substantielle, suffirait à exclure un telle traitement de l’une ou l’autre de ces catégories.

Les Lignes Directrices rappellent que les opérations de profilage, comme tout autre traitement de données personnelles, doivent être réalisées en conformité avec les principes classiques du RGPD, tels que les principes généraux relatifs au traitement de données personnelles6, l’obligation de justifier d’une base légale pour le traitement7, l’obligation d’information des personnes concernées8, le respect des droits de personnes concernées9, etc.

Une telle approche renforce le fait que le consentement ne constitue, là encore, que l’une des six possibles bases légales de traitement et ne saurait, ab initio, être soumis au consentement des personnes concernées.

Par conséquent, même si le profilage suscite beaucoup de discussions relatives à son impact sur la vie privée de personnes, il n’est, stricto sensu, qu’une opération de traitement comme les autres, et reste simplement soumis aux principes et obligations classiques du RGPD.

Le droit ayant horreur du vide, le CEPD s’est emparé de cette opportunité pour clore le débat, pourtant ardu, initié lors de l’adoption du RGPD. Ainsi, les Lignes Directrices interprètent-elle les dispositions de l’Article 22 comme constituant une « interdiction générale »10 de la prise de décisions individuelles entièrement automatisées qui auraient l’un ou l’autre de ces effets, et fixent-elles des critères d’appréciation d’un « effet similaire » de manière libérale en se focalisant sur la publicité comportementale en ligne.

La publicité ciblée, un profilage pas comme les autres ?

Les régulateurs européens ont effectivement poussé leur raisonnement et leurs attentes le plus loin possible : les Lignes Directrices explicitent que le profilage aux fins de publicité ciblée est susceptible d’avoir des effets d’une importance similaire aux effets juridiques pour les personnes concernées11), sauf à ce que la segmentation ne vise que des aspects démographiques de base.

Ainsi, le CEPD considère que le fait d’enfermer une personne dans une catégorie spécifique limitée à ses préférences pourrait, par sa nature intrusive, porter atteinte à sa liberté de choisir certains produits ou services : « il serait difficile pour les responsables du traitement de justifier le recours à des intérêts légitimes comme base légale pour des pratiques intrusives de profilage et de suivi à des fins de marketing ou de publicité, par exemple celles qui impliquent le suivi d’individus sur plusieurs sites web, emplacements, dispositifs, services ou courtage de données »12. Difficile, peut-être, mais pas impossible. Pourtant, l’interdiction générale posée par le CEPD renverse la présomption posée par le principe de responsabilisation (« accountability framework ») du RGPD.

En effet, les pratiques décrites comme intrusives dans les Lignes Directrices constituent les fondements même du modèle économique de l’internet libre et gratuit, reposant sur la publicité en ligne, « le suivi d’individus sur plusieurs sites web » (au travers de cookies publicitaires), « emplacements » (au travers de la géolocalisation publicitaire), ou « dispositifs » (au travers de traceurs numériques SDK).

Imposer un consentement a priori alors même que la rédaction de l’Article 22 exclut le droit d’opposition en cas, notamment, de consentement préalable de la personne, reviendrait à nier la pertinence rédactionnelle et l’arbitrage effectué par le législateur européen. En effet, personne n’aurait la moindre raison, au moment de la collecte de ses données, de consentir à un quelconque profilage -réduction en mode binaire des attributs d’une personne humaine- sans aucune contrepartie immédiatement visible.

L’exigence d’un consentement spécifique au profilage ferait également doublon avec celle d’ores et déjà présente au sein de la directive européenne ePrivacy13 préalablement à la collecte de ces mêmes données. Ce deuxième étage de consentement à l’utilisation des données, après un premier étage pour leur collecte, constituerait alors un désaveu total de la pertinence du mécanisme posé par la Directive ePrivacy et qui est pourtant aujourd’hui maintenu dans le cadre de sa révision.

Et pourtant… un an après l’entrée en vigueur du RGPD, les régulateurs nationaux se sont emparés du sujet pour appliquer la position du CEPD et renforcer cette exigence de consentement. Cela s’est notamment traduit par quatre mises en demeure de la CNIL intervenues entre juin et octobre 201814 pour défaut de recueil d’un consentement valable à la collecte puis au traitement de données de géolocalisation à des fins publicitaires.

Si en vertu de la Directive ePrivacy, le consentement est exigé pour la simple collecte des traceurs numériques ou géolocalisation, l’usage ultérieur des données collectées, notamment aux fins de publicité ciblée et de profilage, peut, quant à lui, être fondé sur une autre base légale, telle que la nécessité aux fins des intérêts légitimes du responsable du traitement.

Il reviendra aux acteurs impliqués de faire alors la démonstration de la pertinence de cet intérêt légitime, pour autant qu’il ne grève pas les intérêts ou les droits ou libertés fondamentaux des personnes, au travers, par exemple et si nécessaire, de la mise en œuvre de garanties fortes réduisant les incidences sur les personnes concernées. Une telle approche nous parait plus en phase avec la responsabilisation des acteurs d’un écosystème, appelée de ces vœux par la lettre du RGPD, en lieu et place de l’infantilisation sommaire édictée par le CEPD.

Car au final, comme l’affirmait l’ancien fossoyeur de la vie privée en ligne, « même si certains individus n’aiment pas les publicités, personne n’aime les publicités qui ne sont pas pertinentes »15… sous toutes réserves.

Footnotes

  1. Lignes directrices relatives à la prise de décision individuelle automatisée et au profilage aux fins du règlement (UE) 2016/679 WP251 rev.01 (« Lignes Directrices » - par souci d’homogénéité et dans la mesure où les Lignes Directrices ont été avalisées par le Comité Européen pour la Protection des Données (« CEPD »), nous parlerons par la suite du CEPD et non du G29) ↩

  2. Article 8 du RGPD ↩

  3. Article 9 du RGPD ↩

  4. Article 10 du RGPD ↩

  5. Article 4.4 du RGPD (« Toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ») ↩

  6. Article 5 du RGPD (traitement licite, loyal et transparent ; limitation de finalités ; minimisation et exactitude de données ; limitation de durée de conservation) ↩

  7. Article 6 du RGPD ↩

  8. Articles 12 à 14 du RGPD ↩

  9. Articles 15 à 22 du RGPD ↩

  10. Lignes Directrices, p. 9 et s. ↩

  11. Lignes Directrices, p. 23 ↩

  12. Lignes Directrices, p. 16 ↩

  13. Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (« Directive ePrivacy »), actuellement en cours de révision - Article 5.3 (cookies et traceurs en ligne) et 6.3 (géolocalisation) ↩

  14. Décisions n°MED-2018-022 et n°MED-2018-023 du 25 juin 2018, Décision n°MED-2018-043 du 8 octobre 2018 et Décision n°MED-2018-042 du 30 octobre 2018 ↩

  15. https://www.washingtonpost.com/news/the-switch/wp/2018/04/10/transcript-of-mark-zuckerbergs-senate-hearing/?utm_term=.70a0dd26a1f6 ↩

Vue Graphique

Liens retour