Analyses d’Arthur Messaud

Arthur Messaud est juriste à La Quadrature Du Net. Après s’être battu au Parlement européen, en 2013, pour repousser le lobbying sans précédent des GAFAM dans le cadre de l’élaboration du Règlement général sur la protection des données (RGPD), Arthur coordonne cinq ans plus tard les actions de groupe qui visent aujourd’hui à appliquer ce même texte contre ces mêmes GAFAM.

Durée de la vidéo: 14mn

La question politique de la publicité en ligne peut être abordée par l’angle du droit des données personnelles, qui démarre véritablement avec la directive de 1995,¹ alors assez visionnaire dans ses principes.

Son principe de base est qu’il est interdit de traiter des données personnelles (toute information sur, ou rattachée à, une personne), alors considérées bien au-delà des (seules) données numériques. Les fondements idéologique et juridique motivant l’encadrement du traitement des données personnelles relèvent d’une part de la protection de la vie des personnes, et d’autre part de la liberté de conscience et de se définir. Cette dernière vie à éviter qu’un déséquilibre ne s’installe entre les capacités technologiques (notamment détenues par les entreprises), et les capacités de humains.²

Face à ce principe une série d’exceptions sont prévues, dont certaines sont liées à des cas tout à fait précis.³

Ensuite, il est prévu que les données personnelles pourront être traitées s’il y a un « intérêt légitime », qui sera déterminé collectivement comme quelque chose d’utile pour la société. Il s’agit d’un mécanisme de contrôle a posteriori qui renvoie au futur (au législateur, au juge et à la CNIL) le soin de déterminer si une situation de traitement des données bénéficie d’un intérêt légitime, ou bien porte atteinte aux intérêts des personnes surveillées et doit alors être sanctionnée.

Enfin, deux autres cas de figures autorisent le traitement des données. D’abord simplement, dans le cadre d’un contrat qui l’exige.⁴ Ensuite, lors qu’aucune de toutes ces autres situations ne se présente (cas précis, contrat ou qu’il n’y a pas d’intérêt légitime), alors seule la personne susceptible d’être surveillée est celle qui donne son consentement.

En 2002, la directive Eprivacy vient préciser celle de 1995 pour ce qui relève du secteur numérique, et aborde l’enjeu de la « prospection par email », donc de la publicité. Elle indique que par défaut, la prospection par mail est interdite sans le consentement, mais que le dépôt de cookie sur les ordinateurs des gens ne nécessite pas leur consentement préalable.⁵ Elle refuse donc l’intérêt légitime à la prospection par mail, mais pas au dépôt de cookie. Les technologies des cookies étaient alors nouvelles, et la surveillance s’est ensuite fortement développée. Conscient de ces évolutions, le législateur européen retire en 2009 le bénéfice de l’intérêt légitime aux activités de dépôt de cookie, dès lors associées au profilage à des fins de publicité ciblée, donc interdites sans l’obtention du consentement des personnes concernées.

Les raisons pour lesquelles on a depuis observé les industries se développer, est que le consentement exigé pour ces activités a été constamment violé. De fait, les autorités chargées de protéger nos données, comme la CNIL,⁶ avaient des pouvoirs extrêmement faibles.

Puis le règlement européen sur la protection des données (RGPD), objet d’intenses batailles d’influence au niveau européen depuis 2013,⁷ est entré en vigueur le 24 mai 2018. Il reprend pour l’essentiel les principes du droit préexistant, mais les montants maximaux des amendes sont élevés à 4 % du chiffres d’affaire mondial, et il est précisé que le consentement ne peut pas être arraché ou deviné.⁸

Dans ce nouveau cadre, LQDN s’appuie sur la logique juridique et politique ancienne des décideurs qui, depuis ses débuts est en faveur de ses valeurs,⁹ pour porter plainte avec 12000 personnes contre chacun des GAFAM et Linkedin (pour toucher Microsoft).¹⁰ Au delà de la publicité, l’objectif est de repousser l’analyse comportementale de masse. Compte tenu du fait que les CNIL européennes, bien qu’impuissantes jusqu’à lors, avaient montré la volonté de procéder à des condamnations, nous défendons actuellement un certain enthousiasme. C’est important pour faire face au sentiment que « c’est déjà trop tard, ils sont trop gros en face » qui est venu remplacer le « j’ai rien à cacher » d’hier pour ne pas aborder ces débats. Si ça ne marche pas cette fois, nous changerons probablement radicalement de stratégie, mais la population est très encourageante dans la prise de conscience longue, qui vient de loin et est en train de gagner toutes les personnes.¹¹

Concernant l’enjeu de l’effet pervers selon lequel en situation d’oligopole (Facebook et Google sur le marché de la publicité ciblée), les règles RGPD pourraient ne faire que renforcer les situations dominantes, celui-ci est réel si seulement si la loi n’est pas correctement appliquée.¹²

Concernant les enjeux des capteurs d’audience dans l’espace public, les stratégies individuelles d’invisibilisation et de contournement sont probablement la pire approche d’un point de vue politique, menant à la désorganisation avec des réactions individuelles face à des enjeux bien trop grands.¹³ Il ne faut pas se cacher, ce sont les pratiques des entreprises qui doivent changer. Il est aussi important de contester la légalité de ces dispositifs (peut être en parlant de dispositifs « tolérés » plutôt que « légaux ») indépendamment des avis et doctrines de la CNIL qui peuvent être contestées dans leur conformité aux directives européennes. Savoir si c’est là un combat ou si c’est licite, est un débat précis en cours entre les Etats membres dans le cadre du règlement Eprivacy.¹⁴ Face au matériel existant dans la rue, il faudrait en avoir une liste bien précise, et adopter des logiques de destruction quand on est certain qu’ils sont contraires aux règles.