Vos données personnelles sont mises aux enchères 376 fois par jour

Vous connaissez l’adage. « Si c’est gratuit, c’est toi le produit. » Et, en l’occurrence, on ne croit pas si bien dire. Car une étude du Conseil Irlandais des Libertés Civiles (ICCL) estime que la vente de nos données personnelles représentait un marché de plus de 117 milliards de dollars l’an dernier en Europe et aux États-Unis.

Dans un rapport glaçant, l’ICCL détaille l’étendue des enchères en temps-réel (ou RTB, pour real-time bidding), la technologie qui, au jour le jour, permet aux annonceurs d’acheter des miettes de nos données personnelles pour nous servir de la publicité ciblée.

Nos données mises aux enchères des centaines de fois par jour

Le papier de l’ICCL n’est pas avare en données choc. En l’occurrence, on y apprend que les données d’un Américain moyen sont ballotées sur les places de marché environ 747 fois par jour. Pour les internautes européens, c’est 376 fois par jour.

Mais quelles données au juste attisent tant la convoitise des annonceurs ? D’après le Bureau de la Publicité Interactive (IAB), on retrouve le plus souvent les points de datas suivants :

• Âge
• Sexe
• Localisation
• Empreintes numériques des sites visités

Toutes ces informations combinées permettent aux régies publicitaires de présenter aux internautes des annonces qui correspondent à des profils-types, basés en grande partie sur l’historique de navigation et, comme l’indique cette liste, sur l’empreinte numérique des sites visités précédemment.

Sans aucune surprise, c’est Google qui se hisse au sommet de la chaîne alimentaire en termes de revente de données personnelles. D’après l’ICCL, le géant du Web met aux enchères des données personnelles d’utilisateurs auprès de quelque 4 698 entreprises, rien qu’aux États-Unis.

Xandr, propriété de Microsoft, le talonne. Suivi par Verizon et PubMatic. Néanmoins, les données d’Amazon et de Facebook (deux énormes poissons de la collecte de données) ne sont pas incluses dans l’étude.

Une collecte de données illégale ?

Pour Nader Henein, vice-président de la recherche en confidentialité pour Gartner, il ne fait aucun doute que cette collecte de données à très grande échelle est illégale.

Dans les colonnes de The Register, le spécialiste explique que les entreprises de l’adtech justifient leurs agissements en se cachant derrière le bouclier de « l’intérêt commercial légitime », prévu dans le cadre du RGPD.

Or, explique-t-il, « de nombreux régulateurs ont rejeté cette déclaration. Donc la réponse est "oui", c’est une violation du [RGPD]. »

D’ailleurs, The Register rappelle que ce n’est pas la première fois que le RTB attire l’attention des autorités. En 2019, Google et d’autres géants du Web ont été accusés par le Royaume-Uni de violer la loi en mettant aux enchères les données personnelles de leurs utilisateurs. Une enquête est d’ailleurs toujours en cours.

Une régulation difficile

Trois autres affaires sont également en cours. L’une à Hambourg, impliquant la propriété de Microsoft Xandr ; une contre la commission de protection des données d’Irlande, pour avoir failli à réguler le RTB ; et une troisième à Bruxelles à l’encontre d’un appel émis par l’IAB contre une décision de justice belge entérinant le caractère illicite du RTB.

Mais la bataille s’annonce périlleuse pour les régulateurs, l’IAB ayant pris soin d’amender ses documents légaux pour y faire apparaître qu’ « il n’y a aucun moyen technique de limiter la façon dont les données sont utilisées après qu’elles ont été reçues par un fournisseur pour la prise de décision / l’enchère / l’après affichage d’une publicité ».

De plus, Nader Henein se dit pessimiste. Pour lui, l’Union Européenne n’arrivera pas à faire plus étant donné que sa cible est un type de technologie, et pas un acteur en particulier. Aussi, il considère que les États-Unis n’ont pas d’appareil légal suffisamment véhément pour s’opposer à ces pratiques.

Source : The Register