Le Contrôleur européen de la protection des données (CEPD) a jugé que la Commission avait violé le règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions (l'équivalent du RGPD pour les institutions européennes) en lançant une campagne de publicité ciblée sur le réseau social X du 15 au 28 septembre 2023 à propos du projet de règlement européen controversé « Chat Control ».

Dès octobre 2023, des accusations ont été faites publiquement, attaquant un « micro-ciblage » de la Commission européenne, sur la base de critères politiques et religieux, des tweets faisant la promotion de son décrié projet de règlement visant à scanner les messageries à la recherche de contenus pédosexuels. Ylva Johansson, la Commissaire européenne à l'origine de la proposition de règlement de lutte contre les contenus pédosexuels, a admis quelques jours après que l'exécutif de l'UE enquêtait sur cette campagne controversée de publicités ciblées.

• Une nouvelle polémique entache la proposition de lutte contre la surveillance des contenus pédosexuels
• #ChatControl : la Commissaire européenne visée par plusieurs plaintes et enquêtes

La plainte de noyb fait mouche

Mais, en parallèle, l'association autrichienne noyb s'est portée représentante d'une personne ciblée par cette publicité et a déposé une plainte mi-novembre 2023 [PDF].

Dans ce document, les avocats de l'association expliquaient que cette personne a reçu une publicité sur le réseau social X promue par le compte @EUHomeAffairs.

Le texte du tweet sponsorisé en néerlandais affirmait :

« Les abuseurs se cachent derrière leurs écrans tandis que les enfants souffrent en silence Il est grand temps de mettre fin aux abus sexuels sur les enfants #online La majorité des citoyens soutiennent la proposition #EUvsChildSexuelAbuse Et vous ? Lisez ici ↓ »

Celui-ci était accompagné d'une vidéo de 47 secondes « affichant un texte supplémentaire soulignant le prétendu soutien de l'opinion publique à la législation proposée », explique la plainte. Ce tweet est encore visible sur la plateforme d'Elon Musk.

Le CEPD conclut à un traitement illégal

Ce vendredi 13 décembre, l'association créée par Max Schrems a publié la décision [PDF] du CEPD.

Celui-ci, après avoir enquêté estime en conclusion « que la Commission a enfreint l'article 4, paragraphe 1, point a), l'article 4, paragraphe 2, l'article 5, l'article 10, paragraphe 1, et l'article 26 du règlement en traitant illégalement les données à caractère personnel de l'auteur de la réclamation, y compris des catégories particulières de données à caractère personnel, sans base juridique valable dans le cadre de la campagne de publicité ciblée que la Commission a menée sur la plateforme de médias sociaux X du 15 au 28 septembre 2023 ».

Dans cette décision, le CEPD relate les arguments de la Commission européenne. Celle-ci affirme notamment que la sélection des mots clés d' « inclusion » et d' « exclusion » des utilisateurs ciblés « n'a pas été effectuée en utilisant des données à caractère personnel d'utilisateurs spécifiques de X ».

Elle ajoute que « la sélection des mots-clés visait à créer la base permettant à X de choisir les utilisateurs spécifiques auxquels les informations seraient transmises ». Elle argue qu'une « "stratégie de ressemblance" sert à cibler les personnes qui ont des intérêts similaires à ceux des followers d'un autre compte » et que « l'algorithme de X détermine ces utilisateurs sur la base de ce qu'ils repostent, cliquent et publient ».

La Commission explique que la personne doit avoir été ciblée sur les bases d'une combinaison de trois critères :

• démographique : elle a ciblé des personnes majeures de certains pays dont les Pays-Bas et de certaines langues dont le néerlandais ;
• par des mots clés que la Commission ne précise pas ;
• des interactions sur le réseau social concernant les sujets d'éducation, de technologies et d'informatique

Les arguments de la Commission n'ont apparemment pas convaincu la CEPD. L'autorité a prononcé un rappel à l’ordre envers la Commission en vertu de l'article 58(2)(b) du règlement cité au début de notre article.

La publicité politique ciblée continue 10 ans après l'affaire Cambridge Analytica

noyb affirme d'ailleurs dans son communiqué que la Commission européenne a aussi « ciblé des utilisateurs qui n'étaient pas intéressés par des mots-clés tels que : #Qatargate, brexit, Marine Le Pen, Alternative für Deutschland, Vox, Christian, Christian-phobia ou Giorgia Meloni ».

L'un des avocats de noyb, Felix Mikolasch a déclaré que « depuis Cambridge Analytica, il est clair que les publicités ciblées peuvent influencer la démocratie. L'utilisation des préférences politiques pour les publicités est clairement illégale. Néanmoins, de nombreux acteurs politiques s'appuient sur cette pratique et les plateformes en ligne ne prennent pratiquement aucune mesure. Par conséquent, nous saluons la décision du CEPD ».