--- visibility: private Language: - French tags: - GDPR - profiling - automated-decision Publication Date: '2019-07-03' Publication Type: - Article Ext. Link: 'https://www.docs-crids.eu/s/docs-crids/item/453359' Source: Revue Lamy droit de l'immatériel n°160 2019 Author(s): - '[[Claude-Étienne Armingaud]]' - '[[Olga Kurochkina]]' NoteType: Publications icon: "\U0001F4DA" date: '2019-07-03' title: >- Profilage, décisions individuelles automatisées et publicité ciblée - to agree, or not to agree, is that the question created: '2019-07-03' modified: '2019-07-03' published: '2019-07-03' --- Le secteur de la publicité en ligne a été l’un des secteurs les plus touchés par l’entrée en vigueur du [[Official Texts/GDPR|RGPD]], qui a profondément transformé tant les règles de son jeu que les rapports de forces au sein de cet écosystème. Ainsi, de très nombreux acteurs européens de la publicité ciblée ont subi une inversion de la charge de la conformité réglementaire par leurs prestataires, notamment américains, sous couvert d’une exigence de [[consent|consentement]] des [[data subject|personnes concernées]] imposée par le RGPD. Cette inversion s’est notamment traduite au travers d’avenants aux contrats existants, transférant la responsabilité d’un recueil de [[consent|consentement]] sur les éditeurs de services, sans préjudice de l’absence du contrôle effectif sur les [[processing|traitements]] de [[personal data|données]] réalisés par leurs prestataires. Mais quel régime est-il effectivement applicable au [[consent|consentement]] relatif à la publicité ciblée ? Tout [[profiling|profilage]] est-il réellement soumis au [[consent|consentement]] des personnes ? Et _quid_ du régime de décisions individuelles automatisées ? Les lignes directrices sur la prise de décision individuelle automatisée et profilage[^1], initialement adoptées par le G29 le 3 octobre 2017 et révisées le 6 février 2018, tentent d’apporter des clarifications à ce sujet et analysent en détail les deux notions clés : « _[[profiling|profilage]]_ » et « _décision individuelle automatisée_ », issues de l’article 22 du RGPD. Si les vertus pédagogiques des Lignes Directrices, et notamment la première vingtaine de pages, exégétique, sont indéniables, leurs conclusions, consacrées aux critères de prise de décision automatisée, et des « _effets juridiques à l'égard d'une personne physique_ » ou « _l'affectant de manière significative de façon similaire_ », soulignent une hésitation des parties prenantes quant au régime de la publicité ciblée, voire même une apologie partisane d’un [[consent|consentement]], pourtant dispensable. # La prise de décision individuelle automatisée ou la redondance du droit d’opposition En premier lieu, le positionnement de cette notion à l’Article 22 RGPD est importante. En effet, à la différence des traitements relatifs aux données de mineurs[^2], aux « [[special categories of personal data|catégories particulières de données]] » (ou données sensibles)[^3] ou aux données relatives aux condamnations pénales et aux infractions[^4], la prise de décision individuelle automatisée n’est pas soumise à un régime d’interdiction _a priori_. En effet, l’Article 22 se trouve dans le Chapitre 3 (« _Droits de la personne concernée_ ») Section 4 (« _Droit d'opposition et prise de décision individuelle automatisée_ ») du RGPD. Cette prise de décision ouvre donc aux [[data subject|personnes concernées]] un droit négatif de « _ne pas_ » faire l'objet d’un tel traitement, soit un droit d’opposition. Conséquence logique, ce droit d’opposition ne s’applique pas lorsque le traitement est nécessaire à la conclusion ou à l’exécution d’un contrat (ce qui pourrait entrainer l’absence d’objet de ce même contrat), ou lorsqu’il est fondé sur le [[consent|consentement]] de la personne (dans la mesure où ce dernier, lorsqu’il constitue la base légale du traitement, doit pouvoir être retiré à tout moment). En second lieu, cette prise de décision individuelle ne vise que les décisions **_fondées exclusivement_** sur un traitement automatisé (sans aucune intervention humaine), et sous réserve qu’elles puissent produire « _des effets juridiques la concernant ou l'affectant de manière significative de façon similaire_ ». Ni l’effet juridique, ni l’affectation similaire n’ont pourtant été définis par le RGPD. # Le profilage, une sous-catégorie de la prise de décision automatisée Si les décisions individuelles automatisées semblaient assez explicites par elles-mêmes, le RGPD a cependant jugé utile de définir le profilage[^5]. L’articulation de l’Article 22 fait de ce profilage une sous-catégorie de la prise de décision individuelle automatisée. À cet égard, on soulignera que l’intervention humaine, à une étape quelconque de la chaîne de traitement, et pour autant qu’elle soit substantielle, suffirait à exclure un telle traitement de l’une ou l’autre de ces catégories. Les Lignes Directrices rappellent que les opérations de profilage, comme tout autre [[processing|traitement]] de [[personal data|données personnelles]], doivent être réalisées en conformité avec les principes classiques du RGPD, tels que les principes généraux relatifs au traitement de données personnelles[^6], l’obligation de justifier d’une base légale pour le [[processing|traitement]][^7], l’obligation d’information des [[data subject|personnes concernées]][^8], le respect des droits de [[data subject|personnes concernées]][^9], etc. Une telle approche renforce le fait que le [[consent|consentement]] ne constitue, là encore, que l’une des six possibles bases légales de traitement et ne saurait, _ab initio_, être soumis au [[consent|consentement]] des [[data subject|personnes concernées]]. Par conséquent, même si le profilage suscite beaucoup de discussions relatives à son impact sur la vie privée de personnes, il n’est, _stricto sensu_, qu’une opération de traitement comme les autres, et reste simplement soumis aux principes et obligations classiques du RGPD. Le droit ayant horreur du vide, le CEPD s’est emparé de cette opportunité pour clore le débat, pourtant ardu, initié lors de l’adoption du RGPD. Ainsi, les Lignes Directrices interprètent-elle les dispositions de l’Article 22 comme constituant une « _interdiction générale_ »[^10] de la prise de décisions individuelles entièrement automatisées qui auraient l’un ou l’autre de ces effets, et fixent-elles des critères d’appréciation d’un « _effet similaire_ » de manière libérale en se focalisant sur la publicité comportementale en ligne. # La publicité ciblée, un profilage pas comme les autres ? Les régulateurs européens ont effectivement poussé leur raisonnement et leurs attentes le plus loin possible : les Lignes Directrices explicitent que le profilage aux fins de publicité ciblée est susceptible d’avoir des effets d’une importance similaire aux effets juridiques pour les [[data subject|personnes concernées]][^11]), sauf à ce que la segmentation ne vise que des aspects démographiques de base. Ainsi, le CEPD considère que le fait d’enfermer une personne dans une catégorie spécifique limitée à ses préférences pourrait, par sa nature intrusive, porter atteinte à sa liberté de choisir certains produits ou services : « _il serait difficile pour les responsables du traitement de justifier le recours à des intérêts légitimes comme base légale pour des pratiques intrusives de profilage et de suivi à des fins de marketing ou de publicité, par exemple celles qui impliquent le suivi d’individus sur plusieurs sites web, emplacements, dispositifs, services ou courtage de données_ »[^12]. Difficile, peut-être, mais pas impossible. Pourtant, l’interdiction générale posée par le CEPD renverse la présomption posée par le principe de responsabilisation (« _accountability framework_ ») du RGPD. En effet, les pratiques décrites comme intrusives dans les Lignes Directrices constituent les fondements même du modèle économique de l’internet libre et gratuit, reposant sur la publicité en ligne, « _le suivi d’individus sur plusieurs sites web_ » (au travers de cookies publicitaires), « _emplacements_ » (au travers de la géolocalisation publicitaire), ou « _dispositifs_ » (au travers de traceurs numériques SDK). Imposer un [[consent|consentement]] _a priori_ alors même que la rédaction de l’Article 22 exclut le droit d’opposition en cas, notamment, de [[consent|consentement]] préalable de la personne, reviendrait à nier la pertinence rédactionnelle et l’arbitrage effectué par le législateur européen. En effet, personne n’aurait la moindre raison, au moment de la collecte de ses données, de consentir à un quelconque profilage -réduction en mode binaire des attributs d’une personne humaine- sans aucune contrepartie immédiatement visible. L’exigence d’un [[consent|consentement]] spécifique au profilage ferait également doublon avec celle d’ores et déjà présente au sein de la directive européenne ePrivacy[^13] préalablement à la collecte de ces mêmes données. Ce deuxième étage de [[consent|consentement]] à l’utilisation des données, après un premier étage pour leur collecte, constituerait alors un désaveu total de la pertinence du mécanisme posé par la Directive ePrivacy et qui est pourtant aujourd’hui maintenu dans le cadre de sa révision. Et pourtant… un an après l’entrée en vigueur du RGPD, les régulateurs nationaux se sont emparés du sujet pour appliquer la position du CEPD et renforcer cette exigence de [[consent|consentement]]. Cela s’est notamment traduit par quatre mises en demeure de la CNIL intervenues entre juin et octobre 2018[^14] pour défaut de recueil d’un [[consent|consentement]] valable à la collecte puis au traitement de données de géolocalisation à des fins publicitaires. Si en vertu de la Directive ePrivacy, le [[consent|consentement]] est exigé pour la simple collecte des traceurs numériques ou géolocalisation, l’usage ultérieur des données collectées, notamment aux fins de publicité ciblée et de profilage, peut, quant à lui, être fondé sur une autre base légale, telle que la nécessité aux fins des intérêts légitimes du responsable du traitement. Il reviendra aux acteurs impliqués de faire alors la démonstration de la pertinence de cet intérêt légitime, pour autant qu’il ne grève pas les intérêts ou les droits ou libertés fondamentaux des personnes, au travers, par exemple et si nécessaire, de la mise en œuvre de garanties fortes réduisant les incidences sur les [[data subject|personnes concernées]]. Une telle approche nous parait plus en phase avec la responsabilisation des acteurs d’un écosystème, appelée de ces vœux par la lettre du RGPD, en lieu et place de l’infantilisation sommaire édictée par le CEPD. Car au final, comme l’affirmait l’ancien fossoyeur de la vie privée en ligne, « _même si certains individus n'aiment pas les publicités, personne n'aime les publicités qui ne sont pas pertinentes_ »[^15]… sous toutes réserves. [^1]: Lignes directrices relatives à la prise de décision individuelle automatisée et au profilage aux fins du règlement (UE) 2016/679 WP251 rev.01 (« **Lignes Directrices** » - par souci d’homogénéité et dans la mesure où les Lignes Directrices ont été avalisées par le Comité Européen pour la Protection des Données (« **CEPD** »), nous parlerons par la suite du CEPD et non du G29) [^2]: Article 8 du RGPD [^3]: Article 9 du RGPD [^4]: Article 10 du RGPD [^5]: Article 4.4 du RGPD (« _Toute forme de [[processing|traitement]] automatisé de [[personal data|données à caractère personnel]] consistant à utiliser ces [[personal data|données à caractère personnel]] pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique_ ») [^6]: Article 5 du RGPD (traitement licite, loyal et transparent ; limitation de finalités ; minimisation et exactitude de données ; limitation de durée de conservation) [^7]: Article 6 du RGPD [^8]: Articles 12 à 14 du RGPD [^9]: Articles 15 à 22 du RGPD [^10]: Lignes Directrices, p. 9 et s. [^11]: Lignes Directrices, p. 23 [^12]: Lignes Directrices, p. 16 [^13]: Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (« **Directive ePrivacy** »), actuellement en cours de révision - Article 5.3 (cookies et traceurs en ligne) et 6.3 (géolocalisation) [^14]: Décisions n°[[MED-2018-022]] et n°[[MED-2018-023]] du 25 juin 2018, Décision n°[[MED-2018-043]] du 8 octobre 2018 et Décision n°[[MED-2018-042]] du 30 octobre 2018 [^15]: [https://www.washingtonpost.com/news/the-switch/wp/2018/04/10/transcript-of-mark-zuckerbergs-senate-hearing/?utm_term=.70a0dd26a1f6](https://www.washingtonpost.com/news/the-switch/wp/2018/04/10/transcript-of-mark-zuckerbergs-senate-hearing/?utm_term=.70a0dd26a1f6)