Paul Ouvrard-Arnaud (dentsu France) : « La sanction de la DPC irlandaise contre Meta est un vrai séisme pour le secteur publicitaire »

La DPC, l’autorité de protection des données irlandaise, vient de conclure dans deux décisions que Facebook, Instagram et WhatsApp ne respectaient pas le recueil préalable du consentement utilisateur au dépôt de cookies. Quel regard portez-vous sur les sanctions prononcées ?

Meta s’appuyait sur l’acceptation et l’application des conditions générales d’utilisation de ses services numériques pour justifier de proposer par défaut à ses utilisateurs des publicités ciblées en fonction de leurs données à caractère personnel, sans leur demander – et donc obtenir – de façon explicite leur consentement. Après plusieurs années d’enquête, l’autorité de protection des données irlandaise vient de conclure au non-respect du RGPD. Il s’agit d’un vrai séisme pour le secteur publicitaire. Une décision en ce sens, c’est-à-dire conduisant à la généralisation du consentement explicite, pouvait être attendue dès le dépôt de la plainte, mais elle vaut aussi et surtout par le montant total des deux sanctions, 395,5 millions d’euros, qui est important. Et l’injonction faite à Meta de se mettre en conformité sous trois mois, c’est-à-dire de changer ses dispositifs et de recueillir le consentement de ses utilisateurs pour leur adresser des messages publicitaires ciblés, est particulièrement douloureuse pour le groupe. C’est une décision majeure.

Malgré tout, il a fallu quatre ans à l’autorité de protection des données irlandaise pour prendre ces décisions. Comment expliquer une telle durée ?

Il est difficile d’apporter une réponse claire à cette question sans être l’une ou l’autre des parties à la procédure devant l’autorité irlandaise de protection des données, mais il est évident qu’il y a aujourd’hui un malaise vis-à-vis de l’action de l’autorité irlandaise. On a déjà vu à travers de précédentes sanctions que les amendes qu’elle propose sont sous-estimées et très souvent largement augmentées ensuite par le Comité puropéen à la Protection des données, le CEPD, soit le rassemblement de l’ensemble des autorités européennes, qui tranche en cas de désaccord entre autorités nationales. Pour les récentes décisions concernant Meta par exemple, la sanction initialement proposée en Irlande était de 59 millions d’euros, très loin des 395,5 millions finalement annoncés. Cette minimisation constante du montant des sanctions par la DPC contraste avec les décisions rendues par les autres autorités européennes. On a presque l’impression que l’autorité irlandaise ne souhaite pas endosser pleinement son rôle de régulateur. La durée des investigations de la DPC semble également difficilement justifiée. On a pu voir d’autres affaires, portant très complexes, comme l’examen du Transparency & consent framework de l’IAB Europe par l’autorité de protection des données belge, être menées bien plus rapidement.

Les tensions persistantes entre la DPC irlandaise et les autres régulateurs européens des données étonnent.