Le rapporteur de la Cnil veut sanctionner Criteo d’une amende de 60 millions d’euros

Une enquête préliminaire du rapporteur de la Cnil a constaté plusieurs violations du RGPD dans les pratiques de reciblage publicitaire de Criteo et propose une amende de 60 millions d’euros, a annoncé sur Twitter l’association Privacy International vendredi 5 août.

La Cnil n’a pas encore publié l’information mais a transmis les résultats de son enquête préliminaire aux deux structures. L’organe avait été saisi en novembre 2018 d’une plainte de l’association de protection de la vie privée qui accusait alors plusieurs sociétés collectant les données des internautes en Europe d’infractions au RGPD ; Criteo mais aussi Acxiom, Equifax, Experian, Oracle, Quantcast et Tapad. L’instruction de la Cnil a débuté début 2020.

Une absence de base légale ?

“Criteo crée des profils très invasifs et granulaires sur les internautes sans leur en parler, a précisé sur Twitter Privacy International. C’est illégal. Elle considère que le fait de pseudonymiser les données des individus signifie qu’elle ne peut pas savoir qui sont les individus et que tout va donc bien. Ce n’est pas vrai ; ils (Criteo, ndlr) savent exactement qui sont les individus parce qu’au cœur de leurs services se trouve la prédiction “au niveau de l’acheteur individuel”.

“Ils effectuent un suivi inter-appareils et obtiennent davantage d’informations auprès d’autres courtiers en données, ce qui leur permet d’avoir une vision incroyablement fine de la plupart des activités d’une personne tout au long de la journée”, a ajouté l’association. C’est également illégal car personne ne sait d’où proviennent toutes ces données. Ils ne disent pas aux gens avec qui ils partagent toutes ces données et ces profils et n’essaient évidemment même pas de leur demander leur consentement. Nous nous félicitons des conclusions de la Cnil.”

Le rapporteur accrédite les arguments de l’association britannique selon laquelle Criteo n’avait pas de base légale pour la façon dont la société collecte et utilise les données des internautes pour ses activités publicitaires.

Criteo conteste

De son côté, Criteo s’est dit dans un communiqué “fortement en désaccord avec les conclusions du rapport”.

“Nous sommes fortement en désaccord avec les conclusions du rapport de l’enquêteur de la Cnil, tant sur le fond relatif aux affirmations de l’enquêteur sur la non-conformité au RGPD que sur le quantum de la sanction proposée, a indiqué Ryan Damon, directeur juridique de Criteo. Nous estimons que les mérites de ce rapport sont fondamentalement erronés et que les sanctions proposées sont sans commune mesure avec ces prétendues actions non conformes. Nous attendons avec impatience la poursuite du dialogue avec la Cnil ainsi que la défense de notre dossier devant l’arbitre ultime d’une décision finale. Criteo continue de respecter les normes de confidentialité les plus élevées et exploite une entreprise mondiale entièrement transparente et conforme à la réglementation. Nous n’aurons aucun autre commentaire tant que ces procédures en cours ne seront pas résolues.”

La société française doit maintenant livrer ses explications à la Cnil puis une audition formelle aura lieu devant la commission des sanctions de l’organe. La Cnil publiera ensuite un projet de décision, qui sera soumis à consultation. Sa décision finale est attendue mi-2023, selon Criteo.