Les technologies RTB (« real-time bidding » ; achat d’espaces publicitaires en temps réel) sont-elles conformes aux exigences du RGPD ? Brave Software en doute.
L’entreprise américaine, qui édite un navigateur basé sur Chromium, a déposé, ce 12 septembre 2018, plainte contre Google « et d’autres acteurs de la pub en ligne » (non cités).
Deux dossiers sont pour l’heure ouverts, auprès des Cnil irlandaise et britannique. Jim Killock, directeur exécutif de l’organisation Open Rights Group, s’y est associé, au même titre que Michael Veale, d’University College London.
Les plaignants fondent leur argumentaire sur les spécifications techniques d’OpenRTB et d’Authorised Buyers. Le premier fait office de standard dans l’industrie publicitaire. Le second (ex-DoubleClick Ad Exchange) est exploité spécifiquement par Google.
Pour l’un comme pour l’autre, un constat : chaque enchère implique la transmission de données personnelles relatives aux internautes (localisation, historique de navigation, adresse IP…) à « des dizaines, voire des centaines » de sociétés.
Ce mécanisme, estime Brave, va à l’encontre de plusieurs dispositions inscrites notamment à l’article 5 du RGPD. Rien n’exige, en l’occurrence, des acteurs de la chaîne RTB qu’il notifient les internautes de la diffusion de leurs données… tout comme de ce qu’il en est fait ultérieurement.
Brave considère en outre que sont transmises bien plus de données que nécessaire à l’affichage de publicités pertinentes. Et qu’à défaut de garde-fous adéquats sur la question de l’utilisation ultérieure, les maillons de la chaîne RTB ne peuvent se prévaloir d’un « intérêt légitime ».
L’éditeur américain se montre tout particulièrement inquiet du fait qu’une fois diffusées, les données échappent à tout contrôle, alors même que certaines peuvent être « sensibles » (origine ethnique, orientation sexuelle, opinions politiques…).
L’IAB (Interactive Advertising Bureau) est chargé de définir les spécifications d’OpenRTB.
Sa branche européenne a créé un cadre censé favoriser le recueil du consentement des individus pour toute communication à des tiers. Problème, selon Brave : ledit cadre admet que les responsables de traitement perdent tout contrôle sur l’usage des données une fois qu’elles ont été diffusées.
Il serait par ailleurs possible, pour les responsables de traitement, de se dispenser du consentement des individus. Ce en s’appuyant sur une base légale obtenue par les tiers auxquels les données sont transmises.
Même principe chez Google, avec également des doutes sur l’accès aux données par les annonceurs qui ne remportent pas les enchères.
En vertu de l’article 62 du RGPD, Brave réclame que soit lancée une enquête à l’échelle de l’Union européenne.
Sa charge, qui pourrait faire jurisprudence dans la sphère adtech, intervient parallèlement à l’abandon de Google en tant que moteur de recherche par défaut en France et en Allemagne. Qwant prend le relais au nom d’une extension de « l’expérience de confidentialité ».
Crédit image : Denphumi – Shutterstock.com
Quelle part d’incertitude faut-il accepter dans la mise en conformité des IA avec le RGPD…
Microsoft a dévoilé les prix des mises à jour de sécurité étendues pour Windows 10.…
Docaposte a sélectionné une douzaine de spécialistes français pour créer un Pack cybersécurité spécialement étudié…
La Surface Pro 10 sera disponible le 9 avril en France. Passage en revue de…
Que réserve Office 2024 ? Une première version de test officielle sera disponible en avril.…
Microsoft Teams évolue dans une version « unifiée » qui permet de combiner les usages…