Noyb choisit la France pour s’attaquer au tracking Android
Apple n’est pas le seul à être chahuté sur ses dispositifs publicitaires : l’association Noyb fondée par l’activiste autrichien Maximilian Schrems a annoncé aujourd’hui avoir déposé plainte auprès de la CNIL contre le système de tracking publicitaire mis en œuvre sur les systèmes Android. Comme l’explique Noyb sur son site, le dispositif mis en cause est l’Android Advertising Identifier, un identifiant unique attribué à chaque appareil Android et qui est utilisé par le système et des tiers pour diffuser de la publicité ciblée.
Selon Noyb, « Google et des tiers (par exemple, les fournisseurs d’applications et les annonceurs) peuvent accéder à l’AAID pour suivre le comportement des utilisateurs, analyser leurs préférences de consommation et proposer des publicités personnalisées. » Mais contrairement aux cookies utilisés sur les sites web, l’AAID ne récolte à aucun moment le consentement de l’utilisateur avant d’être mis en œuvre, ce qui va à l’encontre de l’article 5(3) de la directive e-privacy, qui régit le cadre en vigueur pour la publicité en ligne.
Selon l’association, ce dispositif est imposé de facto aux utilisateurs européens d’Android, qui ne peuvent pas s’opposer à son utilisation par Google. La seule option valide est de réinitialiser l’identifiant,une disposition qui ne permet pas de supprimer les données collectées par le passé ou qui ne met pas fin au pistage de l’utilisateur.
La France, terre propice ?
Noyb a choisi de déposer plainte auprès de la CNIL française en s’appuyant sur les précédentes décisions de l’autorité de protection des données en la matière. En effet, la plainte ne s’appuie pas ici sur le RGPD, mais sur la directive e-privacy, ce qui signifie que la CNIL est seule à bord pour traiter la demande et ne doit pas s’appuyer sur le mécanisme de guichet unique prévu par le RGPD.
Maximilian Schrems indique que « la CNIL s’est déjà prononcée par le passé sur une affaire similaire » et estime que l’autorité française pourrait donc offrir une oreille plus attentive à ses arguments. La CNIL avait effectivement infligé une sanction de 100 millions d’euros à Google et ses filiales en décembre 2020 pour avoir déposé des cookies de tracking publicitaires à ses utilisateurs sans recueil de consentement préalable.
As its ePrivacy the case does not fall under the consistency mechanism and the CNIL has ruled on that before — so seemed like a good jurisdiction.. 😉
— Max Schrems 🇪🇺 (@maxschrems) April 7, 2021
La balle est donc maintenant dans le camp de la CNIL. Noyb rappelle avoir déposé des plaintes similaires à l’encontre d’Apple et de son dispositif IDFA, un système d’immatriculation similaire mis en place sur iOS. Une première plainte avait été déposée auprès de l’autorité de protection des données allemandes, et l’autre auprès de l’autorité espagnole. En choisissant d’attaquer sur la base de la directive e-privacy, Noyb espère éviter le mécanisme de guichet unique, qui conduit fréquemment à remettre le dossier aux mains de l’autorité de protection des données irlandaise connue pour sa lenteur dans ce type de dossier.
