Amende de 60 millions d’euros par la Cnil : Criteo dénonce une position “anti-publicité en ligne”

Près de neuf mois après la proposition du rapporteur de la Cnil d’infliger 60 millions d’euros d’amende à Criteo pour violation du RGPD, la société adtech a pu présenter ses arguments de défense lors d’une audience libre dans les locaux de l’Autorité jeudi 16 mars. 

La proposition du rapporteur faisait suite à deux plaintes, dont une déposée par l’association Privacy International en 2018 contre plusieurs sociétés adtechs et fournisseurs de données : Acxiom, Oracle, Quantcast, Tapad et Criteo, ainsi que deux agences de référencement de crédit, Equifax et Experian. 

A l’issue de son enquête, le rapporteur a déterminé une série de violations du RGPD, rappelées lors de l’audience. Selon ses conclusions, aucune mesure n’a été mise en place pour assurer que les données utilisées sont celles d’une personne qui a donné son consentement. Il indique également que Criteo n’a pas mis en place d’audit de ses partenaires – les sites d’éditeurs -, parfois non-conformes, et s’est contenté du contrat noué avec eux comme preuve de consentement valide – appliquant ainsi partiellement le principe de responsabilité conjointe.

Une violation du principe de transparence est aussi pointée : la politique de confidentialité en ligne – changée fin 2022 – ne donnait pas à l’époque toutes les informations relatives au traitement des données personnelles des utilisateurs. Enfin, toujours selon le rapporteur, Criteo ne répondait que partiellement aux demandes d’accès à leurs données formulées par des utilisateurs, en ne diffusant qu’une partie des informations collectées (dans ses tables de réconciliation des données). Plus globalement, il a souligné le risque de réidentification de personnes physiques à partir des données de la société en cas d’attaque malveillante.

Litige sur la responsabilité conjointe du traitement 

Représentée par plusieurs avocats du cabinet Baker Mckenzie – dont Yann Padova, ancien secrétaire général de la Cnil -, Laurence Hadj, data protection officer et Nicolas Rieul, directeur général Europe de l’Ouest, Criteo a d’abord dénoncé les arguments de l’Autorité sur la responsabilité conjointe de traitement du consentement avec les éditeurs.

“La force obligatoire du contrat est suffisante pour assurer que le consentement a été bien recueilli, alors que le rapporteur exige que Criteo contrôle. Cette obligation d’audit n’est pas définie par le RGPD, et il n’appartient donc pas à Criteo de vérifier la licéité du recueil de consentement des sites”, a ainsi déclaré Marie-Catherine Ducharme, avocate chez Baker Mckenzie.

Sur ce même point, les avocats affirment que les contrôles sur 12 sites (dont 7 réalisaient un recueil du consentement jugé non-valable), en plus d’être considérés comme étant anecdotiques au regard des “400 000 sites” sur lesquels Criteo diffuse de la publicité, ont été réalisés entre septembre et novembre 2020, pendant la période de “grâce” avant applications des nouvelles recommandations de l’autorité. Ils pointent également le fait que la Cnil a opéré des contrôles sur ces sept sites et a constaté des manquements sans qu’ils aient été sanctionnés. 

Une amende jugée disproportionnée

Mais c’est surtout sur le montant de l’amende – 3 % du chiffre d’affaires de Criteo – au regard des manquements et des précédents que la défense a insisté. “En se limitant aux manquements sur sept sites, la sanction équivaut à 9 millions d’euros par site, quand elle était de 50 000 euros pour le Figaro. Criteo va être sanctionné pour des violations commises par ces sites, contre le principe de responsabilité pénale”, a avancé Yann Padova, avocat chez Baker McKenzie.

La défense s’est aussi appuyée sur l’exemple de la sanction infligée à un grand groupe de distribution (Carrefour en 2020, ndlr), dans le cadre de laquelle les particularités du modèle économique (un volume important et une marge faible, au même titre que Criteo, estiment-ils) avaient été prises en compte. “Dans le cas d’une sanction infligée à une entreprise de la tech ayant son siège en Irlande,  quatre manquements au RGPD jugés particulièrement graves, votre commission a prononcé une sanction à 0,023 % du chiffre d’affaires”, a ajouté l’avocat Yann Padova (Baker Mckenzie). C’était début 2022 contre Facebook. 

Une “position politique” contre la publicité

Enfin, ils estiment que la décision du rapporteur relève de la “position politique” adoptée par la Cnil contre la publicité ciblée dans son objet même. Le rapporteur avait rappelé en début d’audience que si Criteo n’a pas dans ses bases l’identité de la personne physique, le risque de ré-identification est plus important que ce que la société ne laisse entendre – insistant sur le fait que les données pseudonymisées restent personnelles, et peuvent être utilisées par des personnes malveillantes.

De son côté, Criteo affirme – en plus de ne détenir que des données pseudonymisées (mail et IP hashés notamment) –  avoir fourni une étude, basée sur le modèle d’attaque du procureur et du journaliste – techniques utilisées pour tester les modèles d’anonymisation – démontrant le contraire, que la Cnil n’aurait pas prise en compte.

En conclusion de la séance, le président de la formation restreinte de la Cnil a indiqué que, la décision étant soumise à coopération européenne des différents organes de protection des données, il est à ce stade impossible de donner le calendrier dans lequel sera rendue la décision finale.