RGPD : Google semble se positionner aussi sur l’intérêt légitime pour justifier sa collecte et son traitement des données

L’IAB Europe tente depuis le printemps de normer les dispositifs de CMP pour les rendre à la fois interopérables pour la transmission des données et conformes au RGPD, via son “transparency & consent framework”. Non sans difficultés, puisque la conformité du framework au texte européen a été remise en cause par la Cnil.

Si elle s’est prononcée favorable à cette initiative pour normer les pratiques du marché, l’organe de protection des données personnelles a souligné que la simple intégration du framework est insuffisante pour garantir la validité du consentement recueilli, comme l’a montré la mise en demeure (lire le texte complet) en novembre 2018 de Vectaury, société française de publicité géolocalisée sur mobile (via un SDK).

“Le RGPD impose à chaque opérateur de données de s’assurer de la légitimité du consentement et de sa traçabilité. Le contrat est à ce titre insuffisant. C’est à l’acteur qui va retraiter des données de s’assurer que ce travail a été fait correctement en amont par le partenaire qui lui transmet ces données”, soulignait la Cnil en décembre au JDN pour expliquer sa décision.

Une V2 du framework attendue ces prochains mois 

Les lacunes du dispositifs ont d’ailleurs été pointées par l’industrie. Les éditeurs français et leurs régies ont ainsi demandé en novembre à l’IAB de revoir le framework pour mieux le préciser (lire notre article), tandis que Google, même s’il a signé une lettre d’engagement pour rejoindre le framework de l’IAB en décembre (notre article) temporise toujours pour s’inscrire totalement dans la démarche, affirmant vouloir attendre une deuxième version du framework, annoncée pour le printemps – mais un report à l’été est évoqué.

L’IAB travaille donc sur une amélioration du framework qui s’appuie sur des retours du marché et sur les motivations des sanctions prononcées par la CNIL. L’objectif affiché : une rédaction des finalités plus fine et plus précise, des nouveaux réglages techniques, une meilleure sécurité de la transmission des données, ainsi qu’une meilleure intégration de l’intérêt légitime dans les finalités exprimées.

Ce dernier point est clef et pourrait résoudre les difficultés exprimées par les éditeurs et leurs prestataires pour respecter le RGPD : très utilisé par l’industrie des médias et de la publicité en ligne en Allemagne, l’intérêt légitime est peu mis en avant pour l’instant en France pour justifier la collecte et le traitement des données personnelles à des fins de tracking et de ciblage publicitaire (lire notre article comparatif).

L’intérêt légitime est prévu par le RGPD

Les professionnels français lui préfèrent souvent, actuellement du moins, la mise en place de dispositifs techniques du recueil du consentement, les CMP. Le fondement de l’intérêt légitime n’est pourtant pas moins valide que le consentement pour respecter le RGPD, estiment les juristes (lire à ce sujet l’entretien de Nina Gosse, avocate au cabinet De Gaulle Fleurance & Associés, à mind Media).

Pour la première fois, Google semble s’orienter vers l’option de l’intérêt légitime. Le 21 janvier, la Cnil a en effet sanctionné Google d’une amende de 50 millions d’euros pour deux violations du RGPD (lire sa décision complète).

En réponse, Google se dit “optimiste” pour faire annuler cette décision. Jeudi 21 février, Keith Enright, chief privacy officer de Google, s’est exprimé en ce sens lors d’une conférence organisée à Dublin par le think thank Institut des affaires européennes et internationales : “Nous sommes optimistes sur le fait que, après examen, nous serons en mesure de démontrer que la manière dont nous avons obtenu notre consentement dans le contexte de nos produits et services atteint effectivement une norme appropriée en vertu du RGPD”, a-t-il dit, selon des propos rapportés par le site du quotidien Irish Independent.

Google évoque l’intérêt légitime 

Toujours selon les propos rapportés, Keith Enright a semblé argumenter en s’appuyant sur le fondement de l’intérêt légitime. Son raisonnement : c’est la collecte et le traitement de données réalisés par Google qui lui permettent de proposer des publicités ciblées génératrices de revenus ; des revenus qui lui permettent ensuite de mettre gratuitement ses services et ses produits à disposition des utilisateurs d’internet.

Keith Enright (sa fiche LinkedIn) a en effet souligné que Google développe “des produits et des services pour tous. Et nous avons financé ce travail avec un modèle commercial financé par la publicité”, ajoutant que “cela permet également la création d’applications gratuites, le développement de médias indépendants, ainsi que la possibilité pour les créateurs de contenu du monde entier de rendre leur contenu accessible au public le plus large possible, partout dans le monde.”

Le terme d’intérêt légitime n’est pas cité explicitement par ce haut cadre américain, mais certaines formulations employées le sous-tendent. “Les expressions “it also allows for free apps, it allows for independent media to flourish, it allows for content creators all over the world to make their content available to the broadest possible audience all over the planet” commencent à ressembler à un draft d’un “legitimate interest assessment”, puisque ces formulations tentent de justifier la légitimité des traitements de données opérés par Google”, estime ainsi Frédéric Grelier, chief data officer de Weborama.

Un constat partagé par Etienne Drouard, avocat associé au cabinet K&L Gates (et qui représente certains éditeurs français de contenus et services en ligne) : “lorsqu’on parle de services utiles, de mesures de protection effectives et, in fine, de droit d’opposition des personnes, c’est qu’on n’évoque pas le consentement du RGPD, mais l’intérêt légitime”, observe-t-il.

MAJ mardi 5 mars, 12h15 :

L’intérêt légitime sera-t-il davantage mis en avant désormais par Google pour justifier la collecte et l’usage des données en France dans son appel de la sanction infligée par la CNIL ? Un porte-parole du groupe affirme que non auprès de mind Media. Le groupe se dit d’ailleurs en phase avec la nécessité d’obtenir le consentement pour les publicités personnalisées. Le désaccord avec la CNIL porte sur les modalités d’obtention du consentement, plus précisément sur les détails et la façon dont Google présente des informations et des questions aux utilisateurs afin d’obtenir leur consentement.