Publicité & surveillance

Les plateformes sont gratuites. Le produit, c’est vous — dans un sens plus précis que ne le laisse d’habitude entendre la formule.

Comment lire cette page. Touchez un mot souligné pour voir le terme académique précis et une brève définition. Dépliez un encadré « Pour aller plus loin » pour les preuves et les points contestés. Le texte principal se suffit à lui-même : vous pouvez ignorer les deux et saisir quand même tout l’argument.

Les débuts

DoubleClick a été fondée en 1996 et a commencé à suivre les internautes d’un site à l’autre au moyen de cookies — le premier profilage comportemental à grande échelle des internautes à des fins commerciales. En 1999, elle a racheté Abacus Direct, un courtier en données hors ligne qui détenait des fichiers d’achats réels de consommateurs. Les défenseurs de la vie privée ont aussitôt donné l’alerte : associer une navigation anonyme en ligne à un historique d’achats permettant d’identifier les personnes créerait quelque chose de nouveau par nature. La FTC a enquêté et a classé le dossier en 2001 sans prendre de mesure — tout en précisant que ce classement ne valait pas constat du respect de la loi.

Google a annoncé le rachat de DoubleClick en 2007 et l’a finalisé en 2008. En 2009, il a lancé la publicité basée sur les centres d’intérêt, qui profilait chaque navigateur d’après les sites qu’il visitait. Pendant sept ans, Google a tenu cet historique de navigation séparé des noms associés aux comptes de ses utilisateurs ; en 2016, il a discrètement abandonné cet engagement — exactement l’association du comportement en ligne et de l’identité contre laquelle les défenseurs de la vie privée avaient mis en garde en 1999. L’inquiétude avait été documentée, avait donné lieu à une enquête, puis avait été mise de côté. Le secteur a grandi.

Le real-time bidding : l’enchère que vous ne voyez jamais

Lorsque vous consultez un site web, une enchère a lieu le temps que la page se charge — en général 100 millisecondes. Votre profil comportemental est diffusé simultanément à des dizaines d’entreprises publicitaires. Elles enchérissent pour obtenir le droit de vous montrer une publicité. La publicité du gagnant s’affiche. L’enchère est terminée avant que vous ayez fini de lire le titre.

Ce système s’appelle le real-time bidding (RTB) : une enchère en temps réel. Selon des recherches de l’Irish Council for Civil Liberties (ICCL), on estime que les données de l’internaute moyen de l’UE sont diffusées aux annonceurs 376 fois par jour. Aux États-Unis, l’estimation est de 747 fois par jour. Pas au seul gagnant de l’enchère. À tous les enchérisseurs — chaque entreprise qui reçoit la diffusion peut garder une copie des données de votre profil, qu’elle remporte ou non l’enchère, et rien dans le système ne l’en empêche.

En 2022, l’Autorité belge de protection des données a constaté que le cadre de consentement que le secteur publicitaire s’est lui-même donné pour le RTB enfreint le RGPD (GDPR), et en 2024, la Cour de justice de l’Union européenne, saisie de questions préjudicielles par une juridiction belge, a confirmé des éléments clés de ce raisonnement. Le système continue de fonctionner.

Ce que contient le profil

Les données diffusées lors d’une enchère RTB comprennent en général : votre localisation approximative, l’appareil que vous utilisez, l’heure et la date, le site que vous consultez et — c’est le point essentiel — vos caractéristiques inférées. Ce ne sont pas des faits vous concernant. Ce sont des déductions tirées de votre comportement sur des milliers de sites, pendant des mois et des années : votre tranche de revenus probable, vos préoccupations de santé, vos orientations politiques, votre situation amoureuse, vos angoisses.

Données inférées (inferred data)

Des données que vous n’avez jamais fournies, produites en prédisant vos caractéristiques à partir de votre comportement — par exemple en déduisant un problème de santé des articles que vous lisez. Selon le droit européen de la protection des données, les inférences qui vous concernent peuvent constituer des données personnelles, mais vous savez rarement qu’elles existent, vous ne pouvez pas les voir et vous ne pouvez pas facilement les corriger. Le profil qui décide de ce qu’on vous montre est un profil auquel vous n’avez pas accès.

Sources

Wachter & Mittelstadt (2019), A Right to Reasonable Inferences, Columbia Business Law Review.

Shoshana Zuboff, dans The Age of Surveillance Capitalism (2019), y voit une réorientation fondamentale de la logique économique d’internet : l’expérience humaine devient une matière première, transformée en produits de prédiction comportementale et vendue à quiconque est prêt à payer. Le produit n’est pas la plateforme. Le produit, c’est vous — plus précisément, le modèle qui prédit ce que vous ferez ensuite.

Surplus comportemental (behavioural surplus)

Le terme de Zuboff pour les données comportementales qui restent une fois le service rendu — les schémas de clics, les lieux et les horaires dont le produit n’a pas besoin pour fonctionner, mais qui sont captés malgré tout et servent à la prédiction. Ce surplus est la matière première de l’activité : il est raffiné en prédictions sur votre comportement futur et vendu sur des marchés que vous ne voyez jamais.

Sources

Zuboff, S. (2019), The Age of Surveillance Capitalism, PublicAffairs.

Le device fingerprinting : la surveillance qui survit

La plupart des gens connaissent les cookies : ils les suppriment ou acceptent les bandeaux de cookies. Le device fingerprinting est différent. Il identifie votre appareil en combinant des dizaines de caractéristiques techniques — la version de votre navigateur, la résolution de l’écran, les polices installées, le comportement de la carte graphique, le fuseau horaire, les paramètres de langue — en un identifiant unique, sans avoir besoin de stocker quoi que ce soit sur votre appareil.

Le fingerprinting repose sur des signaux que vous ne pouvez pas facilement effacer : effacer les cookies ne l’arrête donc pas, et les navigateurs ont plus de mal à le bloquer. Il persiste d’une session à l’autre et, combiné à d’autres identifiants, il peut relier entre elles les traces de votre navigation.

En 2024, Google a abandonné son projet annoncé de longue date de supprimer progressivement les cookies tiers dans Chrome — le mécanisme de traçage qui subissait depuis des années la pression des régulateurs et du public. Par ailleurs, à partir de février 2025, Google a cessé d’interdire le fingerprinting aux entreprises qui utilisent ses produits publicitaires — un changement que le régulateur britannique des données a qualifié d’« irresponsable ». Face à la pression pour abandonner un mécanisme de surveillance, le secteur a répondu en le conservant, et en en autorisant un plus puissant à côté.

Cambridge Analytica : ce que cela rend possible

En 2014 et 2015, jusqu’à 87 millions de profils Facebook ont vu leurs données collectées sans consentement par le biais d’une application de quiz ; ces données ont été transmises à Cambridge Analytica, qui s’en est servie dans son travail pour des campagnes politiques américaines lors du cycle électoral de 2016. La collecte et la transmission sont des faits établis, documentés dans l’annonce de Facebook elle-même et les témoignages devant le Congrès (2018), dans la décision de la Federal Trade Commission américaine contre Cambridge Analytica (2019) et dans l’enquête de l’Information Commissioner britannique. Que ces données aient servi lors de l’élection présidentielle de 2016 est moins certain : la lettre de l’Information Commissioner indique qu’une partie d’entre elles aurait été utilisée dans des campagnes politiques, « y compris (on le soupçonne) l’élection présidentielle américaine de 2016 », mais qu’il « n’a pas été possible de déterminer », à partir des éléments examinés, quelles données ont été utilisées dans telle ou telle partie d’une campagne.

Le référendum sur le Brexit est une histoire distincte, et plus limitée. L’Information Commissioner’s Office britannique a enquêté et a conclu en octobre 2020 que Cambridge Analytica n’avait pas été impliquée dans le référendum au-delà de premières prises de contact, et que les données Facebook collectées — qui concernaient des électeurs inscrits aux États-Unis — n’avaient pas pu y être utilisées. Nous le précisons justement parce que la crédibilité de ce site tient à ne pas exagérer une affirmation, même quand elle arrange.

L’effet du ciblage sur les résultats électoraux est réellement contesté par les politologues — l’affirmation selon laquelle Cambridge Analytica aurait déterminé les résultats est mal étayée. Ce qui n’est pas contesté, c’est que l’infrastructure existait et a été utilisée, et que les règles alors en vigueur n’ont pas fait grand-chose pour l’arrêter : le régulateur britannique a ensuite infligé à Facebook l’amende maximale de 500 000 £ que permettait la loi antérieure au RGPD, et l’accord à 5 milliards de dollars entre la FTC et Facebook a suivi en 2019. Le cadre de protection des données plus strict est venu plus tard.

Ce que vous pouvez faire

Aucune action individuelle ne vient à bout du système RTB — il fonctionne au niveau de l’infrastructure, et la réponse à la mesure de son échelle est structurelle. Les défenses partielles qui aident vraiment sont rassemblées en un seul endroit pour rester à jour : Que faire pour les actions, Outils & sites pour les outils précis. Et pour voir ce que votre navigateur révèle en ce moment même, la démo Tracking & Targeting vous le montre en direct.

Comment nous le savons — les chiffres du RTB, les décisions sur le RGPD, et ce qui est contesté au sujet de Cambridge Analytica

Les chiffres quotidiens de 376 (UE) et 747 (États-Unis) proviennent de l’analyse que l’ICCL a faite de données du secteur sur la fréquence à laquelle le profil d’un utilisateur type est diffusé lors d’enchères RTB. Ils mesurent la fréquence de diffusion, pas un abus prouvé — mais l’argument tient : chaque enchérisseur qui reçoit une diffusion peut en garder une copie, qu’il remporte ou non l’enchère, si bien que les données se propagent bien au-delà d’une seule transaction.

Le statut juridique. L’Autorité belge de protection des données a jugé que le Transparency and Consent Framework d’IAB Europe — la couche de consentement sur laquelle repose une grande partie du RTB — enfreint le RGPD (décision 21/2022). Saisie à titre préjudiciel, la Cour de justice de l’UE (affaire C-604/22, 2024) a confirmé des éléments clés de ce raisonnement, notamment qu’une « TC String » peut constituer une donnée personnelle. Le système continue néanmoins de fonctionner pendant que le cadre est remanié.

Cambridge Analytica — s’en tenir à ce qui est prouvé. Établi : la collecte des données de 87 millions de profils au plus, leur transmission à Cambridge Analytica et l’usage qu’elle en a fait dans son travail politique aux États-Unis, et la faiblesse des règles alors en vigueur. Contesté : la question de savoir si le ciblage a changé les résultats électoraux — les politologues doutent que le micro-targeting ait le pouvoir de persuasion décisif qu’on lui prête souvent. Réfuté : l’affirmation répandue selon laquelle Cambridge Analytica aurait fait basculer le vote sur le Brexit — l’enquête de l’ICO britannique a établi que les données collectées sur des électeurs américains n’avaient pas pu être utilisées lors du référendum. Nous gardons volontairement ces trois catégories séparées.

Sources

Irish Council for Civil Liberties (ICCL) — rapport sur le système RTB de l’IAB (2022) ; les chiffres quotidiens de 376/747.
Décision 21/2022 de l’autorité belge de protection des données sur le TCF d’IAB Europe — Autorité belge de protection des données.
Cour de justice de l’Union européenne (7 mars 2024), IAB Europe, affaire C-604/22 — une TC String est une donnée personnelle, et IAB Europe un responsable conjoint du traitement.
Kristol, D.M. (2001), HTTP Cookies: Standards, Privacy, and Politics, ACM Transactions on Internet Technology 1(2), 151–198 (version en libre accès : arXiv:cs/0105018) — les cookies tiers et les régies publicitaires dont les profils en dépendaient ; la constitution de DoubleClick en janvier 1996 (note 21).
DoubleClick Inc. (13 mars 2001), Form 10-K for the fiscal year ended December 31, 2000, US Securities and Exchange Commission — constitution le 23 janvier 1996 ; fusion avec Abacus Direct le 23 novembre 1999 ; la FTC « a clos son enquête … sans recommander d’autre mesure » en janvier 2001.
US Federal Trade Commission, Bureau of Consumer Protection (22 janvier 2001), lettre des services de la FTC clôturant l’enquête sur DoubleClick — les services ont constaté que DoubleClick « n’avait pas combiné les PII d’Abacus Direct avec le clickstream » et ont classé le dossier, une mesure « à ne pas interpréter comme une décision établissant qu’aucune infraction n’a pu avoir lieu ».
Angwin, J. (21 octobre 2016), Google Has Quietly Dropped Ban on Personally Identifiable Web Tracking, ProPublica — le tollé de 1999 autour de DoubleClick et d’Abacus ; les historiques de navigation de DoubleClick tenus « séparés par défaut des noms » jusqu’à ce que Google modifie sa politique de confidentialité en 2016.
Google (13 avril 2007), Google to Acquire DoubleClick, communiqué de presse déposé auprès de la SEC (3,1 milliards de dollars en numéraire), et (11 mars 2008), Google Closes DoubleClick Acquisition, blog Inside AdWords.
Wojcicki, S. (11 mars 2009), Making ads more interesting, Official Google Blog — le lancement de la publicité « basée sur les centres d’intérêt » (interest-based), qui associe « des catégories d’intérêt … à votre navigateur ».
Zuboff, S. (2019), The Age of Surveillance Capitalism, PublicAffairs.
Wachter & Mittelstadt (2019), A Right to Reasonable Inferences, Columbia Business Law Review.
Facebook (4 avril 2018), An Update on Our Plans to Restrict Data Access on Facebook — l’annonce selon laquelle les données de jusqu’à 87 millions de personnes ont pu être partagées avec Cambridge Analytica.
Federal Trade Commission américaine (décembre 2019), FTC Issues Opinion and Order Against Cambridge Analytica.
Federal Trade Commission américaine (24 juillet 2019), FTC Imposes $5 Billion Penalty and Sweeping New Privacy Restrictions on Facebook.
Information Commissioner’s Office (ICO) britannique (2 octobre 2020), lettre à la commission DCMS concluant l’enquête sur Cambridge Analytica — pas d’implication dans le référendum sur l’UE ; les données Facebook concernaient des électeurs américains ; leur utilisation lors de l’élection présidentielle américaine de 2016 est soupçonnée, non établie (annexe 2, paragraphes 18 et 30).
Information Commissioner’s Office (ICO) britannique (19 décembre 2024), Our response to Google's policy change on fingerprinting.
Chavez, A. (22 juillet 2024), A new path for Privacy Sandbox on the web, Google Privacy Sandbox.
Kalla, J.L. & Broockman, D.E. (2018), The Minimal Persuasive Effects of Campaign Contact in General Elections: Evidence from 49 Field Experiments, American Political Science Review 112(1).
Wang, J., Zhang, W. & Yuan, S. (2017), Display Advertising with Real-Time Bidding (RTB) and Behavioural Targeting, Foundations and Trends in Information Retrieval 11(4–5), 297–435 (version en accès libre : arXiv:1610.03013) — de la visite d’une page à l’affichage de la publicité gagnante, « en général en moins de 100 ms ».
Commission du commerce, des sciences et des transports et commission judiciaire du Sénat américain (10 avril 2018), Facebook, Social Media Privacy, and the Use and Abuse of Data, audition conjointe, S. Hrg. 115-683 — le témoignage de Mark Zuckerberg sur l’application de quiz d’Aleksandr Kogan et la transmission de ses données à Cambridge Analytica.
Information Commissioner’s Office britannique (6 novembre 2018), Investigation into the use of data analytics in political campaigns: A report to Parliament — l’amende de 500 000 £ infligée à Facebook (25 octobre 2018), « la plus élevée que permettait la DPA1998 ».