L’OIC reprend l’enquête adtech

Le Bureau du commissaire à l’information (OIC) a annoncé qu’il reprendrait son enquête sur le secteur de la technologie publicitaire, ou adtech, après une suspension de huit mois en raison de la pandémie de Covid-19.

Son enquête sur les enchères en temps réel (RTB), la pratique consistant à acheter et à vendre des stocks publicitaires dans le cadre d’enchères algorithmiques instantanées, a débuté en 2019 en réponse aux inquiétudes concernant les implications de RTB, soutenue par la collecte et le commerce des données personnelles des internautes.

Ces ventes aux enchères en coulisses sont responsables de bon nombre des publicités que les gens peuvent percevoir comme les « suivre » sur Internet, et les données recueillies à l’appui de cette pratique peuvent comprendre les intérêts personnels, l’emplacement, le revenu, le statut relationnel, l’âge, le niveau d’éducation, le sexe et l’orientation sexuelle.

« Permettre la transparence et protéger les citoyens vulnérables sont des priorités pour l’OIC », a déclaré simon McDougall, sous-commissaire de l’OIC. « Le système complexe de RTB peut utiliser les données personnelles sensibles des gens pour servir des publicités et nécessite le consentement explicite des gens, ce qui n’est pas le cas actuellement.

« Le partage des données des gens avec des centaines d’entreprises, sans évaluer et traiter correctement le risque de ces contreparties, soulève également des questions quant à la sécurité et à la conservation de ces données.

« Nos travaux se poursuivront avec une série d’audits axés sur les plateformes du marché numérique et nous émettrons des avis d’évaluation à des entreprises spécifiques au cours des prochains mois. Les résultats de ces vérifications nous donneront une image plus claire de l’état de l’industrie.

La reprise de l’enquête examinera également le rôle des courtiers en données, à la suite de l’enquête de l’OIC sur les services de marketing direct hors ligne, qui a donné lieu à une mesure d’exécution en octobre 2020 contre l’agence de référence de crédit Experian et d’autres.

« Toutes les organisations opérant dans l’espace adtech devraient évaluer de toute urgence la façon dont elles utilisent les données personnelles », a déclaré M. McDougall. « Nous avons déjà des lignes directrices complètes et existantes dans ce domaine, qui s’appliquent à rtb et adtech de la même manière qu’à d’autres types de traitement – en particulier en ce qui concerne le consentement, les intérêts légitimes, la protection des données par conception et les études d’impact sur la protection des données.

« Nous continuons également de travailler avec l’Autorité de la concurrence et des marchés à l’examen des propositions de Google sur la protection de la vie privée sandbox afin d’éliminer progressivement le soutien aux cookies tiers sur Chrome. »

Mark Thompson, chef de file mondial au cabinet consultatif sur la protection de la vie privée de KPMG, a déclaré qu’il n’était pas surprenant que la RTB soit de nouveau sous la loupe.

« Bien que de nombreux membres de l’industrie aient peut-être poussé un soupir de soulagement lorsque l’OIC a d’abord suspendu son enquête, l’annonce d’aujourd’hui ne devrait pas surprendre et devrait être considérée comme un véritable signal d’intention de la part de l’organisme de réglementation », a-t-il déclaré.

« Les organisations doivent maintenant comprendre leur exposition au risque aux problèmes identifiés par l’OIC , à savoir si elles savent quelles données personnelles elles partagent avec l’écosystème et les lois sur la protection des données qui s’appliquent, dans quelle mesure elles ont été transparentes avec leurs utilisateurs et examinent leur compréhension du risque de leur chaîne d’approvisionnement.

« De nombreuses organisations devront examiner les mesures prises à la suite des récents audits du régulateur. Ces vérifications peuvent bientôt se transformer en avis d’exécution nécessitant des changements coûteux pour régler les problèmes à court terme.

En octobre 2020, l’organisation de défense de la vie privée numérique The Open Rights Group a porté plainte contre la clôture de l’enquête, affirmant que les sociétés de publicité « conduisaient un autocar et des chevaux » par le biais du Règlement général sur la protection des données et accusant l’OIC de ne pas avoir mis fin à des pratiques manifestement illégales.

Ce sont deux membres de l’ORG – le directeur exécutif Jim Killock et le membre du conseil consultatif et spécialiste des droits numériques Michael Veale de l’University College london – qui ont déposé la plainte initiale de 2018 à l’origine de l’enquête.

Dans une déclaration répondant à la réouverture de l’enquête, Killock a déclaré qu’il n’avait aucun sens de clore les plaintes comme si elles étaient résolues, seulement pour continuer à enquêter sur l’industrie de toute façon.

« En fermant notre plainte, l’OIC évite en fait leurs obligations de reddition de comptes pour mettre à jour les plaignants et régler leurs plaintes », a-t-il dit. « Si l’OIC peut agir de cette façon, cela creuse le processus de traitement des plaintes.

« En fermant à tort nos plaintes, l’OIC peut croire qu’elle n’a pas d’échelle de temps ou qu’elle n’a pas besoin de clore ces plaintes. Nous poursuivons donc nos efforts pour obtenir une résolution par l’entremise du Tribunal. L’affaire a déjà été accélérée devant le Tribunal supérieur, compte tenu de l’importance des questions en jeu.

Killock a ajouté : « L’OIC a eu deux ans et demi depuis notre plainte. L’OIC a repris sa politique d’émission de menaces à l’industrie, mais n’a pas encore pris de mesures d’application significatives.