Paul Ouvrard-Arnaud (dentsu France) : “La sanction de la DPC irlandaise contre Meta est un vrai séisme pour le secteur publicitaire”

La DPC, l’autorité de protection des données irlandaise, vient de conclure dans deux décisions que Facebook, Instagram et WhatsApp ne respectaient pas le recueil préalable du consentement utilisateur au dépôt de cookies. Quel regard portez-vous sur les sanctions prononcées ?

Meta s’appuyait sur l’acceptation et l’application des conditions générales d’utilisation de ses services numériques pour justifier de proposer par défaut à ses utilisateurs des publicités ciblées en fonction de leurs données à caractère personnel, sans leur demander – et donc obtenir – de façon explicite leur consentement. Après plusieurs années d’enquête, l’autorité de protection des données irlandaise vient de conclure au non-respect du RGPD. Il s’agit d’un vrai séisme pour le secteur publicitaire. Une décision en ce sens, c’est-à-dire conduisant à la généralisation du consentement explicite, pouvait être attendue dès le dépôt de la plainte, mais elle vaut aussi et surtout par le montant total des deux sanctions, 395,5 millions d’euros, qui est important. Et l’injonction faite à Meta de se mettre en conformité sous trois mois, c’est-à-dire de changer ses dispositifs et de recueillir le consentement de ses utilisateurs pour leur adresser des messages publicitaires ciblés, est particulièrement douloureuse pour le groupe. C’est une décision majeure.

Malgré tout, il a fallu quatre ans à l’autorité de protection des données irlandaise pour prendre ces décisions. Comment expliquer une telle durée ? 

Il est difficile d’apporter une réponse claire à cette question sans être l’une ou l’autre des parties à la procédure devant l’autorité irlandaise de protection des données, mais il est évident qu’il y a aujourd’hui un malaise vis-à-vis de l’action de l’autorité irlandaise. On a déjà vu à travers de précédentes sanctions que les amendes qu’elle propose sont sous-estimées et très souvent largement augmentées ensuite par le Comité puropéen à la Protection des données, le CEPD, soit le rassemblement de l’ensemble des autorités européennes, qui tranche en cas de désaccord entre autorités nationales. Pour les récentes décisions concernant Meta par exemple, la sanction initialement proposée en Irlande était de 59 millions d’euros, très loin des 395,5 millions finalement annoncés. Cette minimisation constante du montant des sanctions par la DPC contraste avec les décisions rendues par les autres autorités européennes. On a presque l’impression que l’autorité irlandaise ne souhaite pas endosser pleinement son rôle de régulateur. La durée des investigations de la DPC semble également difficilement justifiée. On a pu voir d’autres affaires, portant très complexes, comme l’examen du Transparency & consent framework de l’IAB Europe par l’autorité de protection des données belge, être menées bien plus rapidement.

Les tensions persistantes entre la DPC irlandaise et les autres régulateurs européens des données étonnent. Quel regard portez-vous sur cette relation ?

Plusieurs points dans ce traitement du cas Meta font effectivement apparaître un malaise. NYOB, l’association dont le président est à l’origine de la plainte, avait déjà révélé en 2021 que l’autorité irlandaise souhaitait imposer la conclusion d’un accord de confidentialité sur les investigations en cours, pratique plutôt inhabituelle selon l’association, qui est habituée à échanger avec des autorités de contrôle. De même, lors de la revue des montants des sanctions, le CEPD avait enjoint à l’autorité irlandaise de procéder à des investigations complémentaires sur Meta, notamment sur les données sensibles – les données relatives par exemple à la santé, à l’opinion politique ou encore à l’orientation sexuelle – qui sont traitées par la société,  ce que l’autorité irlandaise a vertement refusé. Un refus pareil, aussi direct et catégorique est un événement rare dans le cadre habituel des autorités de contrôle. L’Irish Times le pointait dans un article du 23 janvier dernier : l’autorité irlandaise est en décalage par rapport à ses homologues européens. La DPC fait cavalier seul. On finit véritablement par se demander si l’objectif premier de l’autorité irlandaise est de protéger les intérêts des citoyens européens ou alors ceux de Meta. 

Comment expliquer que certaines plateformes, comme Meta ici, tardent autant à appliquer les textes réglementaires ? 

Il faut recontextualiser. Jusqu’en 2018, l’absence de gestion du consentement des utilisateurs était une pratique très largement partagée en ligne, à la fois par les grands éditeurs médias et par les fournisseurs de services digitaux. Il s’agissait de compliquer volontairement le refus du ciblage publicitaire par les utilisateurs : l’option n’était pas nécessairement accessible à l’inscription et, lorsqu’elle était présente, ne pouvait être trouvée qu’en explorant en profondeur les paramètres de confidentialité de ces solutions. Seules les personnes averties et patientes, étaient à même de pouvoir retrouver ces différentes options dissimulées derrière plusieurs pages, accessibles parfois uniquement après avoir cliqué, successivement, sur cinq ou six liens précis. 

Il était difficile pour Meta de laisser aux utilisateurs la possibilité d’exprimer leur choix au sens et selon les conditions du RGPD afin de réaliser ce ciblage publicitaire. Cela risquait de conduire une grande partie de ses utilisateurs à refuser ce ciblage et donc à refuser ce qui constitue une bonne partie des revenus de cette société auprès des annonceurs : la diffusion de publicité supportée par un ciblage dont la précision et la pertinence sont assurées par l’utilisation de données personnelles de ses utilisateurs. Quatre ans après le dépôt de plainte par Noyb, celle-ci a finalement abouti à une décision qui était attendue. 

Selon Noyb, la première amende de 390 millions d’euros infligée par la DPC contre Facebook et Instagram est largement sous-estimée. Partagez-vous ce constat ? 

Oui, mais de manière partielle. Il faut avoir en tête que le RGPD ne détaille pas comment les sanctions doivent être fixées. Il indique juste le montant maximal de la sanction pouvant être infligé en fonction de la nature du manquement constaté. Dans le cadre de cette décision contre Meta, le manquement constaté correspond un point essentiel du RGPD : la mise en œuvre d’un traitement de données sans base légale appropriée. La sanction maximale dans ce cas peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent. Les autorités européennes approchent ce montant maximal de manière très hétéroclite : certaines d’entre elles ont adopté et publié des grilles de sanctions, avec alors une sanction durcie en fonction de la présence ou non d’un certain nombre de critères aggravants, quand d’autres autorités sont restées plutôt discrètes sur le sujet. L’autorité irlandaise de protection des données, tout comme la CNIL en France d’ailleurs, se situe dans ce second cas.  Ceci étant dit, un point important est relevé par Noyb : l’autorité irlandaise affirme avoir été dans l’incapacité d’estimer la part de revenus de Meta issue du traitement illégal alors qu’elle a les pouvoirs, selon le RGPD, de demander cette information à Meta. Là encore, l’autorité irlandaise fait preuve d’un étrange manque de volonté d’assumer son rôle de protecteur de la vie privée des citoyens européens. 

Quel a été selon vous l’impact le plus important du RGPD dans la relation entre les éditeurs de sites et leurs audiences ?

Le secteur publicitaire d’aujourd’hui n’est pas celui de 2018. Il a essuyé, depuis, plusieurs tempêtes qui ont poussé une partie des acteurs publicitaires à fortement évoluer vers une bataille pour l’obtention du consentement de l’utilisateur pour le dépôt des cookies et traceurs, indispensables au fonctionnement de la publicité en ligne. L’avènement des nouvelles règles relatives à l’obtention de ce consentement a eu un impact extrêmement important sur les éditeurs de petite ou moyenne taille. Il est devenu indispensable pour une grande partie des éditeurs de sites internet, régies publicitaires numériques et annonceurs compris, de requérir le consentement de leurs utilisateurs et de réussir à les convaincre. Ce processus n’est pas sans difficulté pour les régies et annonceurs : déployer un recueil du consentement conforme, c’est aussi devoir aménager une possibilité de refus de la part des utilisateurs ; refus empêchant ensuite de diffuser de la publicité ciblée ou même de mesurer les impacts de cette publicité. Les régies ont pu, en se reposant sur une partie d’une décision du Conseil d’Etat, faire le choix de conditionner le refus du consentement au dépôt de cookies et traceurs par l’utilisateur à la souscription d’un abonnement, même modique. Ce mécanisme, plutôt agressif, leur permet d’éviter une perte trop importante de consentement et donc de volume de diffusion publicitaire sans données. Mais la mesure des arrivées et conversions générées par les campagnes continue d’être perturbée, ces régies restant largement dépendantes de l’obtention du consentement au dépôt de cookies sur les sites des annonceurs pour réaliser cette mesure. Le rapport à l’audience change et la mesure de la performance en temps réel, qui est la première promesse de la publicité en ligne, s’en trouve compliquée ; cela au détriment du secteur publicitaire dans son ensemble. 

Partagez-vous le sentiment exprimé par une large partie des acteurs de la publicité en ligne selon lequel le RGPD a donné un avantage comparatif aux plateformes ?

Oui, le rôle des grands acteurs du secteur, les “walled gardens”, a été, de façon paradoxale, progressivement renforcé depuis l’instauration du RGPD en 2018. Certes l’arrivée du texte avait fait planer des questions sur eux, mais on s’est vite aperçu qu’ils n’étaient pas autant dépendants de l’obtention préalable du consentement des utilisateurs que ne le sont les régies traditionnelles : le consentement ne leur étant pas encore imposé puisque leur diffusion publicitaire reposait assez peu sur l’utilisation de cookies et qu’ils ont réussi à développer depuis quelques années des solutions de mesure ne reposant pas sur le cookie. Un déséquilibre de valeur s’est donc créé à partir de 2018 et il s’est petit à petit accentué. Les petits et moyens acteurs risquant de perdre une partie importante de leur audience tandis que les grands acteurs n’étaient qu’assez peu impactés. Clairement, il était devenu plus intéressant, aux yeux des annonceurs, de passer principalement par ces walled gardens pour leurs campagnes publicitaires. 

De manière plus structurelle, quels peuvent être les effets de cette sanction de la DPC sur le secteur et sur Meta en particulier ? Peut-elle permettre de rééquilibrer le marché publicitaire en ligne ?

Cette décision prise contre Meta généralise à l’ensemble des acteurs publicitaires la nécessité d’obtenir un consentement, ce qui replace l’ensemble des régies, des éditeurs et des plateformes sur un pied d’égalité en matière de diffusion des publicités ciblées. Tous sont désormais assujettis aux mêmes règles et tous sont donc susceptibles de subir de manière équivalente les effets de cette obligation du recueil du consentement des utilisateurs ; la relation des plateformes avec leurs audiences va changer. Est-ce suffisant pour un rééquilibrage du marché publicitaire ? Les prochains mois seront décisifs pour appréhender l’ensemble des effets de cette décision, notamment en fonction de la mise en œuvre effective par Meta du recueil du consentement et de la réaction de ses utilisateurs.