Dans son étude de 38 pages publiée jeudi 25 janvier [PDF], l'association UFC-Que Choisir explique que « des entreprises de toutes tailles, dans presque tous les secteurs de la consommation hors ligne et en ligne, sont impliquées dans l'économie des données personnelles ». Elle arrive quelques jours après une étude de Consumer Reports et The Markup aux États-Unis sur le partage des données des entreprises avec Facebook.

• Facebook reçoit des données de milliers d’entreprises, jusqu’à 48 000 pour une personne

L'association explique avoir effectué des tests qui démontrent « qu'en consultant à peine une dizaine de sites parmi les plus fréquentés en France, les données personnelles collectées sont partagées plus de 4 000 fois avec plus de 1 000 tiers ».

Elle dénonce une « surveillance commerciale » effectuée par les systèmes de publicité ciblée en ligne « alimentée par le système d’enchères en temps réel, ou real-time bidding (RTB) en anglais, une technologie publicitaire présente sur quasiment tous les sites web et applications ».

• Une régie publicitaire surveillait plus de 5 milliards de portables via 500 000 applications

Un parcours du combattant pour l'effacement des données

Dans son document, l'UFC-Que Choisir dénonce la « circulation constante de données personnelles entre des milliers d'entreprises » via les cookies.

Elle a scruté le fonctionnement de dix des cinquante sites les plus consultés en France : 20minutes.fr, allocine.fr, cdiscount.fr, leboncoin.fr, lemonde.fr, marmiton.org, meteofrance.com, orange.fr, programme-tv.net et yahoo.com.

Elle y a recensé 1 040 tiers collectant les données personnelles des internautes, des courtiers en données et fournisseurs de publicité en ligne. L'association a voulu simuler le parcours d'un consommateur demandant l’effacement de leurs données auprès de toutes ces entreprises.

Comme l'UFC-Que Choisir l'explique, il faut d'abord trouver le contact de tous les délégués à la protection des données (DPD) désignés par les entreprises. Mais les sites ne facilitent pas cette recherche. Ils indiquent une liste de « partenaires » mais pour 26 d'entre eux, leurs sites ne fonctionnaient pas « et 715, donc plus de deux tiers, ne proposaient pas leur politique de protection des données en français ». Sur 117 sites (11 %), l'association n'a pas trouvé l’adresse électronique ou un autre moyen de contact.

Elle a remarqué aussi que « sur certains de ces sites, la politique de protection des données a visiblement été copié-collé sans prendre la peine de remplir les espaces réservés avec les informations correspondantes ».

Si l'UFC-Que Choisir a trouvé 923 adresses mails de contact, 8 % d'entre elles ne fonctionnaient pas et 35 % de ses mails envoyés sont restés sans réponse après le délai de 30 jours fixé par le RGPD. Sur les 1 040 entreprises tierces, l'association n’a donc pu obtenir une réponse que dans la moitié des cas environ.

La pseudonymisation, arbre qui cache la forêt de données

Et ce n'est pas fini. Sur les 465 réponses reçues, 227 « confirmaient simplement que l'adresse électronique de l'expéditeur ne pouvait pas être trouvée dans les bases de données de l'entreprise », ce qui ne veut pas dire qu'elles ne possèdent pas d'information sur l'internaute. En effet, ces entreprises n'ont pas besoin du nom de l'internaute ou de son email pour l'identifier. Elles utilisent souvent un identifiant publicitaire, ce qui permet de ne pas lier directement les données à l'identité civile de l'internaute.

D'ailleurs, 189 autres ont demandé des informations supplémentaires en raison de cette pseudonymisation des données. Mais ça complexifie la démarche de suppression : la personne doit fournir cet identifiant.

Certaines des entreprises l'accompagnent mieux que d'autres dans cette démarche : « dans 79 cas, le DPD fournissait un lien vers un site permettant au consommateur d’afficher de manière simplifiée l'identifiant du navigateur, ce qui peut être considéré comme la méthode la plus claire et facile pour le consommateur », explique l'association.

Mais « dans les autres réponses, les démarches demandées au consommateur étaient plus complexes : 11 réponses incluaient un lien défectueux, 87 demandaient au consommateur de trouver lui-même l'identifiant publicitaire dans les paramètres du navigateur ou du système d'exploitation, et 11 exigeaient même des justificatifs excessifs tels qu'une pièce d'identité ou une déclaration sur l'honneur ».

Enfin, 49 « se contentaient d'envoyer un message générique renvoyant vers la politique de protection des données de l'entreprise, sans tenir compte de la demande spécifique ».

Dénonciation du profilage des consommateurs

Dans son étude, l'association en profite pour dénoncer le profilage des consommateurs par l'utilisation d'algorithmes « capables d’analyser minutieusement les comportements de navigation, les préférences et les historiques d'achats pour créer des annonces sur mesure, incitant ainsi les consommateurs à succomber à des achats impulsifs ».

« Par exemple, la filiale de Microsoft spécialisée dans la publicité classe les consommateurs en fonction de plus de 650 000 traits de personnalité et situations personnelles », explique l'UFC-Que choisir.

« Nombre de ces traits sont extrêmement intimes, tels que "dysfonction érectile", "dépression", "gros acheteur de test de grossesse", "dépendance aux opioïdes", "sympathisant de syndicats", "réceptif aux messages émotionnels", "dépendance au jeu de hasard", ou encore "problèmes d'argent" », ajoute-t-elle. Le profilage est effectivement une activité de base des agences de publicité, des data brockers et des géants du Net comme Google ou Microsoft.

Ce profilage est mis en place par des trackers. L'association explique que ceux-ci peuvent être visibles comme « le bouton J’aime de Facebook, une vidéo YouTube intégrée, l’option de se connecter avec son compte Google ou Facebook etc ».

Un profilage jusque sur le site de Que Choisir

Preuve en est de l’omniprésence des trackers sur le Net, le site de Que Choisir, qui se bat pourtant contre ces dérives, n’en est pas exempt. Quand on s'intéresse à la page « Politique de protection des données personnelles », on peut lire, dans la liste des cookies qui ne sont pas strictement nécessaires – que l'internaute peut donc choisir de refuser – que l'association utilise des outils pour l'« optimisation de la promotion ».

On y trouve : Google Ads (fonction de pixel de conversion publicitaire), Google/Doubleclick (fonction de retargeting, d’obtention d’informations sur les visiteurs [Google Insight]) et Microsoft Bing Ads (fonction de pixel de régie publicitaire).

Sont également présents, toujours sous réserve de votre consentement, des « fonction[s] de script affichant un bouton de partage sur les pages » pour Facebook et Twitter. On y retrouve aussi Google Analytics (fonction de web analyse) et AT Internet/Analytics Suite. Autant de trackers connus pour, malheureusement, être très bavards.

Il existe par contre un formulaire très bien fait pour contacter le délégué à la protection des données (DPO) afin d’obtenir « communication, rectification ou suppression des informations » vous concernant.

Des dark patterns...

Dans son étude, l'UFC-Que Choisir en profite aussi pour, une nouvelle fois, dénoncer les dark patterns, « ces fameuses interfaces conçues pour manipuler le libre choix des consommateurs. Le consommateur les rencontre le plus souvent sur les bannières cookies ».

L'association rappelle que certaines pratiques utilisées par ces dark patterns ont été « identifiées par le Comité européen de la protection des données (CEPD) comme non conformes au RGPD : il s’agit notamment des cases pré-cochées, de l’absence d’un bouton de refus dès l’apparition de la bannière, et de l’usage de boutons incitatifs (par exemple, un petit bouton "refuser" gris et en contraste faible à côté d’un grand bouton vert "accepter") ».

Et l'association prend, à titre d'illustration, la capture d'écran montrant la bannière cookies du site leboncoin.fr :

Elle montre les différentes fenêtres de configuration de cette bannière :

Par rapport à la capture ci-dessus de l’UFC-Que choisir, on remarque un petit changement sur le pop-up de consentement de Le Bon Coin : sur la ligne « Vous autorisez » il y a désormais « Refuser tout » et « Accepter tout », permettant de pré-cocher toutes les cases correspondantes en dessous (y compris les partenaires).

Et effectivement, il y a beaucoup à redire sur la bannière de leboncoin.fr. Mais l'étude aurait aussi pu se pencher sur le site de quechoisir.org.

... utilisés aussi par l'UFC-Que Choisir

Malheureusement, comme on peut le constater sur la capture d'écran ci-dessous, l'association ne fait pas exception sur l'utilisation d'un dark pattern :

Le bouton pour « tout accepter et fermer » est mis très fortement en avant et celui pour « continuer sans accepter » est, lui, mis en retrait.

Et quand on veut personnaliser ses choix, on tombe certes sur un formulaire sur lequel aucun choix n'est fait par défaut, mais aussi où le lien sur « Afficher plus d'informations » (difficilement cliquable, puisqu'il faut faire un clic droit + ouvrir dans un autre onglet) renvoie vers un formulaire vide.

Comme si la configuration de l'outil de management de consentements utilisé par l'association, Trustcommander, n'avait pas été finalisée. Il est aussi possible que les informations supplémentaires soient déjà celles affichées sous le lien. Dans tous les cas, la présentation laisse planer le doute et peut perdre l’internaute, dommage.

Contactée, l’UFC-Que Choisir botte en touche

Contactée sur l'utilisation de Google Ads, Google/Doubleclick, Microsoft Bing Ads (fonction de pixel de régie publicitaire) sur son site web ainsi que sur le dark pattern de son outil de management de consentement et de son « étonnante » configuration, l'association n'a pas répondu précisément sur ces points.

L'UFC-Que Choisir a décidé de se retrancher derrière le principe de « licéité, loyauté et transparence » du RGPD qu'elle respecterait, selon elle, « strictement ». Concernant son outil de management de consentement, selon l'association, il serait « parfaitement conforme à la maquette de ce qui avait été proposé par la CNIL sur son document de recommandations de 2021 ».

Voici, in extenso, la réponse de l'UFC-Que Choisir qui nous précise d’emblée qu'elle ne fera « pas d’autre commentaire » :

« Notre association est particulièrement active dans le domaine de la protection des données personnelles. Respecter le RGPD n'implique pas d'arrêter toute activité commerciale, mais plutôt d'adopter une approche loyale et transparente dans le traitement des données personnelles. La conformité au RGPD renforce la confiance avec les parties prenantes, en garantissant un traitement éthique et responsable des informations.

C’est ce que nous essayons de faire, afin de satisfaire notre public qui est la seule source de financement de nos missions. Le premier principe du RGPD est énoncé à l'article 5, paragraphe 1, lettre (a) du règlement. Ce principe est le suivant :

• • Licéité, loyauté et transparence : Les données à caractère personnel doivent être traitées de manière licite, loyale et transparente à l'égard de la personne concernée.

Cela signifie que le traitement des données personnelles doit être basé sur une base juridique valable, que les individus doivent être informés de la manière dont leurs données sont collectées et utilisées de manière transparente, et que le traitement doit être conforme aux principes de loyauté et de transparence. En d'autres termes, les personnes concernées doivent être conscientes de la collecte et du traitement de leurs données, et cela doit être effectué de manière éthique et conforme à la loi

Notre politique « données personnelles » respecte strictement ce principe. Ajoutons que contrairement à bon nombre de titres de presse nous ne faisons aucune publicité dans nos médias et nous n’avons aucun revenu d’affiliation.

Quant à la CMP [Consent management platform, ndlr] la nôtre est parfaitement conforme à la maquette de ce qui avait été proposé par la CNIL sur son document de recommandations de 2021 ».