- Le tribunal régional de Berlin a estimé, dans une action en justice intentée par l’association allemande de défense des consommateurs vzbv, que certaines pratiques de traitement des données de LinkedIn portaient atteinte au contrôle des utilisateurs
- Le message de LinkedIn indiquant qu’il poursuivait le suivi à des fins d’analyse et de marketing tout en ignorant les signaux Do Not Track du navigateur pouvait induire les utilisateurs en erreur
- Le réglage par défaut de Profile Visibility pour les nouveaux comptes, qui rendait automatiquement les profils publics, a également été interdit, et un consentement explicite est requis pour qu’un profil soit visible par des non-membres
- Dans des décisions antérieures, l’envoi d’e-mails non sollicités à des non-membres et des conditions imposant la renonciation à certains droits légaux avaient déjà été remis en cause
- Cette décision pourrait faire jurisprudence, mais pour que Do Not Track devienne une véritable protection, une application continue à l’échelle de l’UE sera nécessaire
Décision d’un tribunal allemand sur les pratiques de données de LinkedIn
- Le tribunal régional de Berlin a interdit certaines pratiques de traitement des données de la plateforme de réseautage professionnel LinkedIn
- L’action en justice a été engagée par l’association allemande de défense des consommateurs vzbv
- Le tribunal a jugé que LinkedIn ne pouvait pas ignorer les signaux Do Not Track envoyés par le navigateur de l’utilisateur
- Le signal Do Not Track indique qu’un internaute refuse le suivi de son activité en ligne
- LinkedIn indiquait qu’il procédait malgré tout à un suivi sur son site à des fins d’analyse et de marketing lorsqu’il recevait ces signaux
- Le tribunal a estimé que, puisque LinkedIn doit respecter les demandes Do Not Track, cette communication était trompeuse
- Le paramètre par défaut qui rendait automatiquement publics les profils des nouveaux utilisateurs a également été interdit
- La valeur par défaut de Profile Visibility de LinkedIn rendait les informations de l’utilisateur publiques immédiatement après la création du compte
- Le tribunal a estimé que la divulgation des informations utilisateur sans consentement violait les règles de protection des données
- Pour qu’un profil soit visible par des non-membres, l’utilisateur doit donner son consentement explicite
- Certaines autres pratiques de LinkedIn avaient déjà été interdites dans des décisions précédentes
- L’envoi d’e-mails non sollicités à des non-membres
- L’utilisation de conditions imposant aux utilisateurs de renoncer à certains droits légaux
Les défis qui restent pour l’application de Do Not Track
- vzbv considère cette décision comme une confirmation que les consommateurs peuvent exercer leur contrôle sur leurs données personnelles
- Lorsqu’un utilisateur active Do Not Track, il envoie un message clair indiquant qu’il ne souhaite pas que son activité en ligne soit surveillée
- La position défendue est que les exploitants de sites web doivent respecter ce signal
- La décision constitue une avancée, mais un seul jugement allemand ne suffira pas à transformer profondément les pratiques de confidentialité
- Do Not Track existe depuis des années, mais de nombreux sites l’ont ignoré sans conséquence notable
- Cette affaire peut faire jurisprudence, mais elle peut aussi rester une décision isolée en Allemagne
- Un contrôle continu à l’échelle de l’UE est nécessaire pour obtenir un changement réel
- Les autorités de régulation sont critiquées pour ne pas avoir agi assez vite jusqu’à présent
- Même si tous les sites européens se conformaient à ces règles, il resterait possible pour des entreprises technologiques de déplacer un suivi intrusif hors d’Europe
- Les bannières de consentement aux cookies sont parfois perçues comme de simples formalités
- Les protections de la vie privée et du consentement comme Do Not Track reposent largement sur le respect volontaire des entreprises
- Les entreprises guidées par leur propre intérêt cherchent des moyens de contourner les règles qui renforcent les droits des utilisateurs
- Certains sites peuvent afficher leur respect de signaux comme DNT, tout en les contournant facilement via des invites de consentement superficielles
- Une protection significative de la vie privée nécessite de repenser la façon dont les sites sont conçus et monétisés
- La Silicon Valley a peu d’incitations à renoncer au capitalisme de surveillance
- Les Big Tech parlent de vie privée tout en collectant autant de données que possible
- Tant que le modèle économique ne change pas, des mesures volontaires comme Do Not Track risquent de rester des gestes symboliques
1 commentaires
Réactions sur Hacker News
Ce jugement est excellent, et j’espère qu’il tiendra en appel, ce qui semble sans doute inévitable. La manière la plus évidente de se débarrasser des bannières de cookies site par site serait de rendre DNT juridiquement contraignant
Je dirige une agence qui crée des sites web pour des organisations à but non lucratif, et si DNT est activé, nous ne faisons aucun suivi et n’affichons pas non plus de bannière de cookies. Je me demande toutefois s’il faudrait montrer un message ponctuel indiquant que nous avons « vérifié le réglage DNT et désactivé le suivi », de peur que les utilisateurs soupçonnent qu’en l’absence de bannière, « le suivi est activé par défaut »
Dans ce cas, l’utilisateur pourrait consentir juste pour faire disparaître la bannière, et le site pourrait soutenir que le consentement spécifique donné sur le site prime sur le refus général exprimé par DNT
Je ne comprends toujours pas pourquoi les sites web ne trouvent pas des solutions publicitaires maison au lieu de passer par des tiers. Les grands sites ont souvent l’air d’être devenus un chaos à cause de publicités placées sans réfléchir
Comme dans les magazines ou les journaux, quelqu’un devrait choisir soigneusement les publicités et les placer dans la page ; l’expérience serait meilleure et il n’y aurait pas besoin de suivi. L’idée qu’il faille du suivi pour avoir de la « bonne publicité » ne s’est pas vérifiée, et choisir les produits que les gens auront envie d’acheter devrait au final relever de personnes de goût
Elles achètent donc des lots auprès de grands fournisseurs, qui centralisent aussi les statistiques. C’est aussi un moyen de maintenir les propriétaires de médias relativement honnêtes, puisque la fraude au clic et la fraude à l’affichage peuvent prospérer partout. Il y a toujours un moyen de détourner les budgets sans livrer ce que veulent les annonceurs, et l’utilisateur final se retrouve coincé dans une course aux armements entre fraudeurs et marketeurs, puis entre marketeurs et utilisateurs. Ce jugement rend un peu de bon sens aux personnes qui ont clairement déclaré être des non-combattants
Il faut trouver des annonceurs, négocier les tarifs, préparer des rapports sur les emplacements publicitaires et leur performance, détecter la fraude au clic, gérer la fraude, convaincre les partenaires publicitaires du problème, et les persuader qu’ils seront payés un jour conformément au contrat. Les annonceurs, eux, veulent rapprocher ces rapports des journaux d’intérêt remontés dans leurs propres systèmes
Si on se place du point de vue de l’acheteur de publicité, quand un site web quelconque propose d’afficher ma publicité, comment puis-je savoir ce que j’obtiens réellement ?
Enfin. L’en-tête Do Not Track est le refus de consentement ultime. C’est un « non » explicite, et il fait partie des en-têtes de la requête, donc le serveur ne peut pas prétendre qu’il ne savait pas
Le fait que le web soit quand même devenu un chaos de pop-ups de consentement alors que Do Not Track existait déjà montre la mauvaise foi de ces entreprises. Il est clair qu’elles ont cherché à contourner la volonté des utilisateurs et, pire encore, elles en ont fait un bit supplémentaire pour le suivi. C’est bien qu’un précédent juridique existe
Ce serait bien d’avoir un moyen explicite de le spécifier dans le navigateur, mais cela ouvrirait inévitablement la voie à une liste d’exceptions. Dans une interprétation extrême, respecter DNT pourrait même signifier qu’on ne peut pas utiliser les sites qui nécessitent une connexion pour fonctionner
La plupart des absurdités de quasi-contrat qui définissent la relation entre consommateurs et entreprises relèvent d’une théorie juridique de pacotille. Cela n’aurait jamais dû être reconnu au départ
Le fait que le système juridique l’ait permis et soutenu montre à quel point la philosophie et l’éthique du monde juridique sont intellectuellement fragiles. Les entreprises, surtout dans les interactions numériques, utilisent les conditions d’utilisation, les contrats de licence utilisateur final et autres comme des formules magiques, mais ce n’est pas un accord : c’est juste un rituel ridicule pour retirer des droits aux utilisateurs et aux consommateurs. Si un droit peut vous être retiré par de simples conditions, alors ce droit n’existe pas vraiment. L’idée même de « par consentement » est factice dans ce genre de situation, mais s’il faut absolument jouer à ce jeu, on peut aussi renverser le rapport de force. Du type : « En fournissant une page web à ce navigateur, vous acceptez ce qui suit… ». Dès qu’on dépose un cookie ou qu’on enregistre des données, on peut créer des pseudo-valeurs par défaut juridiques favorables à l’utilisateur. Il faudrait rendre nulles les conditions du type « vous devez accepter X avant d’utiliser le produit acheté », et si la divulgation de données ou l’acceptation des conditions est une condition d’usage du produit, le consommateur devrait avoir un droit de remboursement intégral illimité dans le temps. Si l’on doit accepter un contrat coercitif conçu pour ne pas être lu afin d’utiliser un appareil, alors il faut au minimum avoir le droit de refuser et d’être remboursé intégralement à tout moment, ou bien considérer cet accord comme nul
Un contrat de licence utilisateur final doit être présenté avant que l’utilisateur n’obtienne l’application ou l’appareil. C’est pourquoi Steam exige d’accepter les EULA de tiers avant le téléchargement d’un jeu, et les affiche de manière visible dans la barre jaune de la page du magasin. Un simple « lien vers l’EULA au dos de la boîte » n’est pas autorisé. Et même dans ce cas, une grande partie des EULA, au-delà des clauses de responsabilité, est en général illégale, car elle tente d’interdire des droits que vous avez déjà. À ma connaissance, les États-Unis sont presque le seul pays où ce type d’EULA en emballage scellé a plus d’utilité que du papier toilette haut de gamme. Mais je ne suis pas avocat
C’est une bonne nouvelle. J’aimerais maintenant voir si, en cas de contestation, l’affaire sera aussi examinée par la cour de l’UE. Cela dit, l’industrie de la publicité cherchera probablement à se battre pays par pays plutôt que de risquer une défaite d’un seul coup dans toute l’UE
Si l’affaire va jusqu’au Bundesgerichtshof (BGH) en Allemagne, il posera une « question préjudicielle » à la Cour de justice de l’Union européenne sur l’interprétation du droit de l’UE applicable, en l’occurrence le GDPR, et les juridictions d’autres pays tiendront aussi compte de ce précédent. Si LinkedIn ne fait pas appel, il devra suivre cette décision, et même dans ce cas, il n’est pas rare que les juridictions nationales s’appuient sur une jurisprudence étrangère
Pour que chaque pays adopte cette interprétation, il faudra sans doute se battre pays par pays, mais cela fera quand même jurisprudence à 100 % dans les autres pays de l’UE
Si j’ai bien compris, LinkedIn n’a pas été contraint de respecter l’en-tête DNT dans son traitement réel. Il a seulement été interdit à l’entreprise d’affirmer qu’elle ne le respecte pas au motif que l’en-tête DNT n’a pas de force juridique
Le tribunal n’a pas obligé LinkedIn à respecter effectivement l’en-tête DNT, ni même à en tenir compte a minima. En tant que germanophone natif, c’est aussi ainsi que j’ai compris cet article de heise online, généralement fiable : https://www.heise.de/news/Do-Not-Track-LinkedIn-darf-nicht-m...
Premièrement, la signification exacte de DNT n’était pas définie avec suffisamment de précision. En particulier, l’action ne se limitait pas à l’en-tête DNT et mentionnait tout type de signal configuré envoyé par le navigateur. Deuxièmement, elle décrivait de manière trop large les comportements que LinkedIn devrait cesser lorsqu’il rencontre de tels signaux. Si la décision est confirmée, elle semble clairement ouvrir la voie à de futurs recours, et on peut espérer que les entreprises visées ajusteront leur comportement en anticipation, mais je n’en attends pas trop
[1] https://www.vzbv.de/sites/default/files/2023-10/23-10-10_Stn...
Cela dit, la décision elle-même porte bien sur cette affirmation, et non sur le fait de respecter ou non DNT ; sur ce point, tu as raison
Quand on parle de suivi, le problème récurrent est que le terme couvre un champ beaucoup trop large. Il y a par exemple trois cas : un commerçant qui observe ses clients pour prévenir le vol et étudier leurs déplacements afin d’organiser les produits, une boutique en ligne qui suit les produits consultés et les paniers les plus souvent abandonnés, et un réseau publicitaire mondial qui collecte l’essentiel de l’activité de navigation sur Internet pour construire des profils publicitaires
Quelque part sur cet axe, est-ce qu’on ne considère pas qu’une différence d’échelle finit par devenir une différence de nature ? Personnellement, observer ce que les utilisateurs font sur mon site me semble acceptable, mais dès que les données sont partagées avec un tiers, un consentement explicite devrait être requis
Le profil publicitaire détenu par Google peut être consulté et modifié directement [1] [2]. Je l’ai laissé activé surtout par curiosité, pour voir ce qu’il en déduirait, et jusqu’à présent les thèmes publicitaires étaient très généraux et rien d’inquiétant
[1] https://myadcenter.google.com/
[2] chrome://settings/adPrivacy/interests (sur Chrome desktop)
Si ce qui est suivi, c’est une personne, alors son consentement est nécessaire. Si ce qui est suivi est inanimé, c’est probablement acceptable dans la plupart des cas. Mais si le suivi d’objets inanimés permet en réalité de suivre une personne, alors il faut obtenir son consentement
« Nous ne pouvons pas fournir ce contenu car Do Not Track est activé dans votre navigateur »
Est-ce que cela inclurait aussi les navigateurs où l’en-tête DNT est activé par défaut ? Il me semble que les premières versions d’Edge et les dernières d’Internet Explorer envoyaient cet en-tête par défaut, et qu’ils le mettaient même en avant dans leur publicité
De mémoire, la spécification disait alors que l’on pouvait l’ignorer si l’en-tête était toujours envoyé ou s’il n’avait pas été activé par l’utilisateur
Supposons que tante Agatha lise un article sur le paramètre DNT dans un magazine, ouvre les réglages de son navigateur et constate qu’il est déjà activé, sans rien faire de plus. Ce n’est pas différent de l’oncle Ulysse qui utilise un autre navigateur, où le réglage est désactivé par défaut, et qui l’active lui-même. Si un autocollant indiquant que je ne veux pas de publicité non sollicitée est collé sur ma boîte aux lettres, il n’est pas nécessaire d’essayer de deviner qui l’a mis
On pourrait aussi soutenir que le simple fait d’utiliser un navigateur qui active DNT par défaut constitue déjà une décision relative à la vie privée, prise en choisissant ce navigateur. Les régies publicitaires n’aiment pas cet argument et préfèrent que les utilisateurs se désinscrivent sur chaque navigateur. Dans l’idéal, elles voudraient simplement ignorer cet en-tête, comme Microsoft l’a effectivement fait après l’avoir activé par défaut dans Explorer
Le cas d’Internet Explorer était différent à l’époque, puisqu’il était préinstallé avec le système d’exploitation. Et même aujourd’hui, il est souvent discutable de savoir si l’on a réellement le choix du système d’exploitation sur certains matériels grand public ; à l’époque, c’était probablement encore plus souvent proche du « non »
J’ai l’impression que personne n’a mentionné le Global Privacy Control. C’est essentiellement un en-tête HTTP conçu pour avoir une portée juridiquement contraignante au titre du CCPA, et ce n’est pas la même chose que DNT
Firefox propose au moins, en version Beta, un réglage pour l’activer. Références :
https://globalprivacycontrol.org/
https://global-privacy-control.glitch.me/
https://privacycg.github.io/gpc-spec/
https://www.huntonprivacyblog.com/2021/07/15/california-atto...