Après des années à ne pas vouloir demander le consentement de ses utilisateurs avant de leur présenter de la publicité en fonction de leur comportement sur ses réseaux sociaux, Meta se résigne à le faire en Europe, sous la pression d'une partie des régulateurs de l'Union qui considèrent que le RGPD l'oblige.

Dans une mise à jour d'un billet de blog expliquant comment Meta interprète les lois européennes (et notamment le RGPD) sur le traitement des données personnelles concernant la publicité, l'entreprise a annoncé mardi qu'elle allait finalement demander le consentement de l'utilisateur avant de mettre en place son système de publicité comportementale.

En clair, Instagram et Facebook devraient bientôt vous demander l'autorisation de vous présenter des publicités ciblées, par exemple pour la marque de montres dont vous avez visité le site il y a quelques jours ou pour des culottes menstruelles.

Un bras de fer depuis cinq ans

Mais Meta ne change pas ce fonctionnement de gaieté de cœur. Il a fallu plusieurs années de batailles juridiques autour du RGPD avant qu'elle ne se résigne à bien vouloir demander le consentement de ses utilisateurs.

Le 25 mai 2018, l’association autrichienne de défense de la vie privée noyb avait déposé plainte, parlant de « consentement forcé » en s'appuyant sur le RGPD applicable depuis le jour même.

C'est seulement en janvier dernier que la Data Protection Commission (DPC), l'équivalent de la CNIL en Irlande, a annoncé, sous pression de ses homologues européennes, infliger une amende de 390 millions d'euros (210 millions pour Facebook et 180 millions pour Instagram) pour ne pas avoir clairement exposé à ses utilisateurs les informations sur les opérations de traitement de leurs données à caractère personnel et leurs finalités, et ne pas avoir demandé leur consentement.

Le 4 juillet dernier, la Cour européenne de justice s'est prononcée pour une même interprétation du RGPD en relevant que « malgré la gratuité des services d’un réseau social en ligne tel que Facebook, l’utilisateur de celui-ci ne saurait raisonnablement s’attendre à ce que, sans son consentement, l’opérateur de ce réseau social traite les données à caractère personnel de cet utilisateur à des fins de personnalisation de la publicité. Dans ces conditions, il doit être considéré que les intérêts et les droits fondamentaux d’un tel utilisateur prévalent sur l’intérêt de cet opérateur à une telle personnalisation de la publicité par laquelle il finance son activité, de sorte que le traitement effectué par celui-ci à de telles fins ne saurait relever de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD ». 

Après cette décision, Meta avait peu de chance de pouvoir retourner la situation, même avec une DPC complaisante à son endroit. Enfonçant le clou, la CNIL norvégienne interdisait, mi-juillet et temporairement, la publicité contextuelle de Meta en s'appuyant sur cette décision de la Cour européenne.

• RGPD : 390 millions d'euros d'amende pour Meta
• La CNIL norvégienne interdit temporairement la publicité contextuelle de Meta

En attente d'application

Dans un communiqué de l'association noyb, Max Schrems a réagi à l'annonce de Meta : « Après plus de cinq ans de procédure, Meta arrive enfin à la conclusion qu'il doit demander aux gens s'il est autorisé à les espionner à des fins publicitaires. Il a fallu que des ONG et une autorité allemande intentent un procès pour que nous en arrivions là, alors que le régulateur irlandais n'a cessé de protéger Meta ».

Si Meta explique sa nouvelle position, elle n'a pas pour autant encore changé la mise en œuvre de son système de publicité comportementale. Les utilisateurs de ses plateformes vont devoir encore attendre un peu avant de pouvoir choisir s'ils lui permettent d'adapter la publicité aux données qu'elle collecte sur eux ou non.

Et Max Schrems exprime encore son scepticisme : « Nous verrons si Meta applique réellement l'obligation de consentement à toutes les utilisations de données personnelles à des fins publicitaires. Jusqu'à présent, il est question de publicités "hautement personnalisées" ou "comportementales", mais ce que cela signifie n'est pas clair. Le RGPD couvre tous les types de personnalisation, y compris sur des éléments tels que l'âge, qui n'est pas un "comportement". Il est évident que nous poursuivrons le contentieux si Meta n'applique pas pleinement la loi ».

Impacts financiers

Dans sa mise à jour, Meta semble vouloir rassurer les annonceurs utilisant ses plateformes  : « Il n'y a pas d'impact immédiat sur nos services dans la région. Une fois ce changement mis en place, les annonceurs pourront toujours mener des campagnes publicitaires personnalisées afin d'atteindre des clients potentiels et de développer leurs activités. Nous avons tenu compte de ce changement dans nos perspectives commerciales et dans les informations publiques que nous avons communiquées à ce jour ».

Mais comme le souligne le Wall Street Journal, « l'impact sur les recettes publicitaires pourrait être important. Si un grand nombre d'utilisateurs refusent les publicités basées sur leur activité sur Instagram ou Facebook, les systèmes de Meta se retrouveraient avec moins de signaux pour déduire les intérêts et construire des audiences pour les publicités qui constituent la majeure partie de ses revenus. Cela pourrait rendre ses publicités moins efficaces, ce qui pourrait peser sur les prix ».

Et les pays de l'Espace économique européen (EEE), dans lesquels s'applique le RGPD, ne sont pas insignifiants financièrement pour Meta. Le Wall Street Journal fait remarquer que l'entreprise a déclaré générer 23 % de ses 31,5 milliards de dollars de recettes publicitaires au deuxième trimestre dans la région Europe (qui comprend certes, dans l'annonce dans les chiffres de Meta, le Royaume-Uni et la Turquie dans lesquels le RGPD ne s'applique pas, mais dans laquelle l'EEE pèse de façon importante).