L'autorite francaise de protection des donnees (CNIL) a inflige une amende de 40 millions d'euros a la societe d'ad tech Criteo pour n'avoir pas garanti un consentement valide des utilisateurs pour les cookies de suivi. Les tribunaux neerlandais ont rendu des decisions distinctes contre l'entreprise. Ces decisions etablissent une doctrine juridique potentiellement transformatrice : les fournisseurs d'ad tech peuvent etre tenus responsables de la facon dont leurs partenaires utilisent les outils de suivi, meme lorsque ces partenaires sont responsables de la collecte du consentement.

Le probleme de la responsabilite actuelle

Il est courant que les fournisseurs d'ad tech et d'analyse delegent les obligations de consentement a leurs clients -- les sites web qui deploient les outils de suivi. Lorsque le consentement est absent ou invalide, le site web individuel porte la responsabilite juridique, pas le fournisseur de technologie. Cela cree un systeme ou les fournisseurs fournissent une infrastructure de suivi invasive a travers des millions de sites web, mais ne font face a aucune consequence lorsque cette infrastructure est systematiquement detournee.

Le resultat est un internet ou le suivi illegal est omnipresent, mais ou une application significative est impraticable parce que les regulateurs et les individus ne peuvent poursuivre que des sites web individuels dans un jeu sans fin d'application.

La "doctrine Criteo"

La CNIL et les tribunaux neerlandais ont etabli que les responsables conjoints du traitement des donnees ne peuvent pas repartir les responsabilites de conformite de maniere a echouer systematiquement a proteger les droits a la vie privee. Bien que le RGPD permette aux responsables conjoints de repartir les obligations par le biais d'accords, cette discretion exige de trouver une repartition qui fonctionne reellement en pratique.

Criteo a ete tenu responsable des cookies places par ses sites web partenaires parce que l'entreprise n'a pas pris de mesures raisonnables pour verifier que le consentement etait correctement collecte. Plutot que d'accepter les assurances des partenaires a leur valeur nominale, les decisions exigent que les fournisseurs auditent leurs partenaires et mettent en place des mecanismes pour assurer la conformite.

Implications pour l'industrie de l'ad tech et de l'analyse

Si ce raisonnement gagne du terrain au niveau europeen, les principaux fournisseurs d'analyse et de publicite devront s'assurer activement que leurs outils ne sont pas systematiquement deployes sans consentement valide. Cela pourrait inclure des verifications de conformite automatisees, des exigences de documentation du consentement et des processus d'audit des partenaires.

Plus important encore, les consommateurs et les defenseurs de la vie privee pourraient tenir les fournisseurs de technologie directement responsables plutot que d'etre contraints de poursuivre des sites web individuels. La CNIL est une autorite respectee dont les decisions influencent souvent d'autres regulateurs, ce qui rend plausible que cette doctrine s'etende au-dela de la France et des Pays-Bas.