Une liste de 650 000 cibles publicitaires proposées par Xandr a été dévoilée 

Le média allemand netzpolitik et le média américain The Markup, tous deux spécialisés dans l’information liées aux données personnelles, ont publié jeudi 8 juin une liste d’offres de segments d’audiences publicitaires commercialisées par la marketplace de Xandr. Elle a été “récemment découverte” par un chercheur “sur le site web” de la société adtech.

Datée de mai 2021, cette liste contient un peu plus de 650 000 cibles commerciales destinées aux marques et aux éditeurs. La société était alors détenue par AT&T, avant d’être acquise en 2022 par Microsoft. Certains segments sont classiques au sein du marché publicitaire programmatique, par exemple ceux liés au secteur automobile, qui constituent le groupe le plus important, ou les segments liés à la socio-démographie (ciblage par sexe, âge, sur le point de divorcer, retraités conservateurs, familles multiculturelles, etc.).

D’autres segments sont plus problématiques. Notamment ceux concernant les modes de vie (mères très dépensières, visites de lieux malsains…). Autres segments proposés et potentiellement intrusifs, ceux liés à la santé (dépressifs, visiteurs de cliniques, viagra, diabète…), à la religion (musulman, juif…) et sur l’orientation sexuelle ou l’origine.

Le fichier, qui a sans doute été mis à jour depuis 2021, contenait les noms de 93 fournisseurs de données, les principaux étant Oracle, Liveramp, Nielsen, Adsquare, Foursquare, Experian et Acxiom. L’ensemble des données ont été publiées par les deux médias sur GitHub. The Markup en publie un décryptage et une série de visualisations. 

La zone grise de l’adtech de nouveau questionnée

Certains segments proposés semblent utiliser des données sensibles et donc dépasser le champ prévu par le RGPD, un cas symptomatique du laxisme parfois constaté au sein de la publicité programmatique malgré l’instauration et les mises à jour du TCF. Au détriment des acteurs plus vertueux parmi les marques, adtechs et éditeurs.

La question du consentement libre et éclairé pour le recueil de données et celle de l’exploitation parfois faite des données personnelles posent aussi question ici. Interrogées par netzpolitik, plusieurs autorités régionales de protection des données allemandes ainsi que l’autorité fédérale se sont d’ailleurs dites sceptiques sur la licéité du recueil de consentement pour agréger un tel volume de données. Elles ont annoncé des contrôles sur ce point et sur le caractère légal de certains segments.