BlueSquirrel a dit:

Ca reste donc rentable. C’est sûr que ça l’est moins que s’il n’y avait pas l’amende, mais ça reste bien plus rentable que mettre la clé sous la porte en se mettant en conformité.

Non, rien n’indique que la mise en conformité provoquerait la mise sous la porte et couterait plus cher que l’amende.

Le RGPD a juridiquement tué la pub ciblée, point.

Absolument pas. Le RGPD a mis un terme à la jungle où chacun faisait ce qu’il voulait. Le RGPD n’a pas pour but de tuer le business des entreprises, mais de cadrer les choses, notamment :

• en obligeant les entreprises à faire l’état des lieux des données collectés et des traitements ;


• à minimiser les données collectées (le “on collecte et on verra plus tard” n’est pas toléré) ;


• à s’assurer d’avoir une base légale pour le traitement des données (et non, le consentement n’a jamais été l’unique base légale, il y en a 6, dont l’intérêt légitime)


• à informer les gens de leurs droits et des traitements.

Il est dommage que nous n’ayons pas le rapport préliminaire de la CNIL, cela permettrait d’y voir beaucoup plus clair. On ne peut que se baser sur les éléments fournis par Privacy Internal sur tweeter. Si on les reprends :

1. défaut d’information. Mise en conformité possible


2. défaut de compréhension de ce qu’est la pseudonymisation : mise en conformité possible


3. le croisement des données en tant que tel n’a rien d’illégal. Comme tout traitement de données, il doit avoir une base légal et les utilisateurs informés => mise en conformité possible


4. défaut d’information. Mise en conformité possible.

Etonnamment, Privacy International ne semble pas, dans ses griefs, mentionner l’absence du droit à l’opposition.

En bref, le RGPD n’a pas tué la publicité ciblée. Elle a tué le tracking en douce sans information à l’utilisateur.

Et du point de vue des dégâts sur la publicité ciblée, plus que le RGPD, je pense que les navigateurs et les adblockers ont fait plus de mal encore à ce secteur en ajoutant jour après jours des mécanismes de protection de la vie privée.

BlueSquirrel a dit:

Sans consentement valide de l’utilisateur, grosse nuance, l’information n’est pas du tout suffisante, on est plus en pré 2018 avec les bandeaux “ce site utilise des cookies, en poursuivant votre navigation vous l’acceptez”. Le RGPD exige que le consentement de l’utilisateur soit recueilli, et que ce consentement soit :

1. je n’ai jamais dis que l’information était suffisant. J’ai dis que c’était nécessaire


2. le RGPD n’exige pas le consentement. Le RGPD exige une base légal et le consentement en est une. Le RGPD précise en outre que pour qu’un consentement soit considéré comme valide, il doit être éclairé, univoque, libre et spécifique.

Les annonceurs ne veulent pas te demander ton consentement, ils veulent que tu le donnes : ici encore, grosse nuance. Ils savent très bien que s’ils demandent simplement et honnêtement la plupart des gens va refuser et ils vont donc mourrir. C’est pour ça que la plupart des pop-ups cookies violent tout ou partie des 4 critères de validité que j’ai listé plus haut.

Enorme amalgame entre un site affichant de la publicité (et recourant à un annonceur) et l’annonceur lui-même. Et le fait que la demande de consentement sur le site X ou Y soit bancal n’est pas la faute de l’annonceur.

Navigateurs qui répondent au besoin des utilisateurs de ne pas être pistés. Et j’ai comme un doute, la plupart des gens étant sur Chrome, qui est à la traîne côté vie privée (normal, c’est Google derrière).

Pas besoin. Le droit, ou l’envie, si tu veux, mais ce n’est pas un besoin. Idem pour les bloqueurs

D’ailleurs les bloqueurs sont un excellent exemple du fait que les annonceurs veulent te forcer la main : le fait que l’utilisateur ait un tel bloqueur s’apparente à mon sens à un refus de donner son consentement pour être pisté. Mais alors pourquoi existe-t-il un jeu du chat et de la souris permanent entre les annonceurs qui tentent de contourner les blocages (par ex via alias CNAME) et les bloqueurs qui s’adaptent aux contournements ? Parce que les annonceurs veulent pister quand même ces utilisateurs qui manifestent pourtant très clairement le souhait de ne pas l’être :)

C’est ton interprétation. L’apparition des bloqueurs, ce n’était pas tant pour éviter le pistage, mais plutôt pour accélérer le chargement des pages, notamment celles qui abusaient de la publicité, à une époque où les connexions haut-débits n’étaient pas encore aussi répandu, et sur mobile pour diminuer la consommation de data.

L’origine ne trouve absolument pas son origine contre le tracking, mais contre le confort d’utilisation (chargement plus rapide) et gain (moins de data = facture moins grosse).

Parce que les annonceurs veulent pister quand même ces utilisateurs qui manifestent pourtant très clairement le souhait de ne pas l’être :)

Parce qu’ils veulent surtout afficher de la publicité. Une publicité non affiché, c’est une publicité qui aura 0 chance d’être cliquée. Une publicité non traquée sera seulement moins ciblée.

BlueSquirrel a dit:

Dans le cas de Critéo et autres entreprises du genre le consentement est la seule base légale possible. D’ailleurs c’est la pire des bases légales existantes, tu passes par elle justement quand tu n’as pas de bonne raison légitime d’exploiter les données, ce qui est le cas de ce genre d’entreprise qui ne fournit aucun service aux utilisateurs.

Au contraire, le consentement, c’est la voie royale, car tu as un accord explicite non sujet à interprétation. L’intérêt légitime, à défaut d’avoir une jurisprudence dessus, est aussi utilisable. C’est une question d’interprétation et c’est d’ailleurs pour cela que les premières décisions de la CNIL à ce sujet vont être très intéressantes (et sans doute qu’elles prennent également autant de temps).

Si si, besoin. Sinon la plupart des concepteurs de navigateurs ne miserait pas autant de marketing sur la vie privée : Ils ont identifié un besoin et y répondent pour que leur produit (le navigateur) se “vende”.

Identifier un besoin (=une demande) et avoir besoin de (=nécessité) c’est très différent. On est bien dans une demande, et non une nécessite. Ta phrase initiale était donc incorrecte. Ce n’est pas pour le plaisir de jouer sur les mots, mais tu jouais sur les nuances tout à l’heure, donc autant être précis jusqu’au bout ;)

Je te suggère d’aller discuter avec des propriétaires de sites web, le consensus semble être que seule la pub ciblée est suffisamment lucrative pour que le site puisse en vivre. Donc le business de la pub peu ou pas ciblée…

Je me souviens d’une époque où pourtant cela marchait très bien. Avec l’apparition des bloqueurs de pub (et donc la diminution des revenus), ils (=les sites) ont cherché à augmenter autrement les revenus… via des publicités ciblées plutôt que de réfléchir à changer leur mode de financement basé exclusivement sur la publicité et d’une manière complètement disproportionnés pour certains d’entre eux.

Résultats des courses : parce que des sites ont eu de mauvaises pratiques, on s’attaque aux régis publicitaires. Le problème n’est pas la régis publicitaire en tant que tel, le problème est ceux (=les sites) qui les utilisent.

Le fonctionnement d’une régie publicitaire peut tout à fait être compatible avec le RGPD. Dire que le RGPD a tué le business de la publicité ciblée est un contre-sens. S’attaquer aux régis en leur reprochant des pratiques qui ne relèvent pas de leur ressort, c’est être à côté de la plaque (j’ai bien dit “des” pratiques et pas “les pratiques”, nuances importantes car il y a bien des griefs tout à fait justifiés à leur encontre)

Et non, ces annonceurs ne veulent pas simplement afficher une pub quitte à ce qu’elle soit non-ciblée, ils contournent activement les techniques mises en place pour empêcher le traçage, car c’est sur la data que leur business est fondé, sur le profilage le plus précis possible des gens, pas sur des pubs random non-ciblées qui génèrent quasi aucun clic justement car non-ciblées et donc pas ou peu pertinentes.

Sauf que tu oublies un détail (que j’ai pourtant déjà mentionné) : pas de pub affiché = pas de revenus. Tu pourras avoir derrière toutes les données que tu veux sur les utilisateurs, si tu ne peux pas le monétiser derrière, cela ne sert à rien. L’objectif premier, c’est donc bien l’affichage de la publicité.

De très nombreux sites peuvent afficher une publicité ciblée sans traçage car s’adressant à un lectorat particulier.

Le jeu du chat et de la souris sur les mesures techniques de traçage/antitraçage/affichage de pub, etc… c’est parce qu’on a aujourd’hui

1. un web qui paie les excès et abus de certains et


2. qui refuse de/n’arrive pas à se renouveller et s’adapter.

Ces entreprises tentent de contourner les bloqueurs non pas pour leur composante anti-pub, mais avant tout pour leur composante anti-traçage.

Non. cf ci-dessus.

garn a dit:

je ne parle pas de couler l’entreprise, mais j’ai travaillé dans suffisamment de grandes entreprises pour savoir que oui, 60m pour criteo c’est rien. Après, on peut pas faire plus, c’est la législation qui compte, donc mieux vaut 60m que rien du tout

Honnêtement, même avec la meilleure volonté du monde, je ne sais pas comment on peut dire cela. 60 millions, dans le cas de Criteo, c’est presque la moitié du bénéfice au niveau mondial, et c’est plus que le bénéfice réalisé au niveau européen. C’est tout ce que l’on veut, sauf rien. 60 millions pour une boite qui faite 60 milliards de bénéfices, oui, c’est rien, je suis d’accord. C’est loin très d’être le cas ici.

Je n’argumente pas contre Criteo en particulier, même si je ne suis pas fan de ce type d’entreprise. C’est juste logique de ne pas trouver l’amende dissuasive.

Deux choix s’offrent à Critéo :

• se mettre en conformité et ne plus payer d’amende à ce sujet à l’avenir. Ou


• quitter le marché européen (et pour une boite française, ce serait le comble).

Comment peut-on trouver que l’amende n’est pas dissuasive ? Car une amende CNIL, c’est pas un laisser passer pour l’avenir. Tant que l’entreprise ne se sera pas mise en conformité, la CNIL pourra revenir et infliger d’autres amendes, et si la société ne fait rien, il n’est pas absurde d’imaginer que le contrôle serait plus rapide et le montant de l’amende atteindre rapidement le maximum en cas de récidive.

Une sanction de la CNIL, c’est au minimum une mise en conformité dans un délai imparti. Il peut y avoir une sanction financière (mais ce n’est pas une obligation) ainsi qu’un devoir d’affichage de la sanction (pour la rendre publique).

garn a dit:

Tu as surement raison d’un point de vue pécunier mais ca n’est pas ce qui importe a ces entreprises si tu leur dis “ok vous payez 100% de votre bénéfice sur 3 ans mais après vous faites ce que vous voulez”, elles signent.

Je ne partage absolument pas ton point de vue. Déjà, parce qu’on ne peut pas généraliser sur ce que veulent les entreprises. Et à moins d’être au conseil d’administration d’une de ces entreprises, tu ne peux rien dire. Et si c’est le cas, tu pourras juste le faire pour cette entreprise en particulier.

Ensuite, comme je l’ai dis plus haut, l’amende n’est pas un passe droit. Si l’entreprise ne fait rien, elle peut s’en prendre d’autres après le délai qui lui aura été accordé. Et les délais de la CNIL sont relativement court (quelques mois).

Sans oublier que la CNIL peut mettre une astreinte en cas de non respect, pour un montant maximum de 100 000 € / j de retard (36 millions / an, ce n’est pas rien dans le cas qui nous occupe). Sans oublier non plus qu’en cas de non respect de l’astreinte, tu peux être sûr que la CNIL va réexaminer le dossier (on ne peut pas vraiment dire le rouvrir puisqu’il serait clos uniquement une fois l’injonction respectée). Le non respect d’une injection relève ensuite du pénal (si je ne dis pas de bêtise, si un professionnel du droit pouvait confirmer/infirmer) et peut donc mener à des poursuites judiciaires.

Enfin, et surtout pour une entreprise côté en bourse, avec des actionnaires à qui rendre des comptes, l’argent est tout, sauf secondaire.

Nicky5 a dit:

Le soucis est qu’on n’a pas la garantie que les données de la BDD ne sont pas en clair :/

Ce n’est pas une obligation de chiffrer les données en base de données. Et si un pirate arrive à récupérer les données, ce qui sera très certainement sanctionné c’est la faille aillant permis d’accéder aux données :

• si la BD est accessible depuis internet => aie


• si les données ont été accédées via une injection SQL => aie (car on s’est très bien aujourd’hui comment s’en prémunir, cela fait parti de l’état de l’art)


• si les données ont été accédées via une intrusion dans le système d’informations => pas aie (en tout cas, pas forcément, ça va dépendre du pourquoi du comment)

Il n’y a qu’une donnée à ma connaissance qui a l’obligation de ne pas être stockée en clair en BD : les mots de passe. Et pour un stockage chiffré (et non hashé), il faudrait avoir de très sérieuses justifications devant la CNIL pour que cela ait une chance de passer…

Maintenant, il y a un élément à prendre en compte dans l’article 32 du RGPD, c’est le “coûts de mise en oeuvre” de la sécurisation. Un truc qui ne coute rien (comme un certificat let’s encrypt pour sécuriser les communications), ça risque de faire en cas de contrôle. Un dispositif de sécurité qui nécessiterait une refonte complète du système d’information et donc des coûts prohibitifs n’est pas nécessaire si d’autres viennent compenser ce dispositif.

Pour le cas de la base de données, il n’est pas nécessaire de procéder à un chiffrement par colonne par exemple, si on chiffre toute la base d’un coup, ou si la partition sur laquelle est stockée la base de donnée est elle-même chiffrée.

Une mesure, seule et isolée peut sembler inutile. Mais un ensemble de mesures non. Par exemple, base de données non disponible sur internet, IPs filtrées, stockage chiffré, log des activités et monitoring des activités suspects, gestion de droits, etc…

En tant que simple utilisateur, il est quasiment impossible de connaître les mesures qui sont effectivement mises en place. Il y a seulement des éléments qui peuvent alerter sur quelques manquements (connexion HTTP et non HTTPS, renvoi du mot de passe en clair par mail au lieu d’une réinitialisation, …)