Pixels de suivi d'audience dans les emails, bras de fer aux Etats-Unis et fractures géopolitiques dans la protection des données à l'international

Chaque mois, le bulletin sur la protection des renseignements personnels, baptisé "Privacy Gazette", décrypte les sujets qui agitent l’écosystème mondial autour de la protection des données. Conçue à partir de l’expertise de Pascal Vautrin, Expert des standards sur la protection des renseignements personnels chez Axeptio, ce nouveau rendez-vous revient sur les actualités les plus pointues du secteur pour en analyser les implications certes réglementaires, mais aussi économiques, géopolitiques et sociales.

Dans ce premier numéro, retrouvez les nouvelles recommandations françaises et italiennes sur les pixels de suivi dans les emails ; les nouveaux rebondissements autour du FISA, les derniers mouvements réglementaires aux États-Unis et au Brésil, et plusieurs signaux faibles toutefois révélateurs des tensions croissantes entre les "Big Techs" (les géants du web), les Etats et l’intelligence artificielle.

Pixels de suivi d'audience dans les emails : la fin d’une zone grise ?

Après plus d’un an d’attente, la CNIL a publié le 14 avril dernier ses recommandations finales concernant l’usage des pixels de suivi dans les emails. Quelques jours plus tard, l’autorité italienne de protection des données (Garante per la protezione dei dati personali) a publié ses propres lignes directrices qui vont dans le même sens que les recommandations françaises.

Jusqu’ici, cette pratique très répandue côté marketing évoluait dans une forme de flou réglementaire. Désormais, les guidelines sont relativement simples :

• les emails transactionnels ne nécessitent pas de consentement,
• les mesures strictement liées à la délivrabilité peuvent être également exemptées,
• toute utilisation visant l’analyse comportementale, la personnalisation ou l’optimisation marketing nécessite un consentement préalable.

En pratique, cela crée une distinction importante entre deux usages.

Un email de confirmation de commande contenant un pixel destiné à vérifier si le message a bien été délivré peut être considéré comme fonctionnel. À l’inverse, intégrer un pixel dans une campagne promotionnelle pour analyser les comportements d’ouverture, ajuster la pression marketing ou enrichir des profils utilisateurs fait basculer le traitement dans une logique de ciblage et donc de consentement.

En clair, un magasin de sport peut envoyer un email faisant la promotion de paires de chaussures de tennis à un client ayant acheté une raquette sans recueillir de consentement, dans le cadre des règles fixées par la CNIL sur la prospection commerciale pour des produits similaires. En revanche, si ce même email embarque un pixel destiné à suivre précisément les interactions de l’utilisateur pour affiner son profil marketing, un consentement devient nécessaire.

Enfin, la CNIL rappelle que l’information sur les finalités des pixels de tracking utilisés doit être fournie dès la collecte de l’adresse email et le retrait du consentement doit rester simple.

Ainsi les pixels de suivi d'audience dans les emails, souvent considérés comme un outil incontournable pour la mesure marketing, entrent progressivement dans le même champ de lecture que les autres mécanismes de suivi déjà surveillés.

FISA : la question qui continue de hanter les transferts entre l’Union Européenne et les États-Unis

Parmi les sujets les plus sensibles du paysage mondial de la protection des renseignements personnels, on retrouve les tensions géopolitiques autour du dossier FISA.

Le FISA, pour Foreign Intelligence Surveillance Act, permet aux autorités américaines de demander à des entreprises relevant du droit américain de transmettre certaines données concernant des personnes non américaines.

Pourquoi ce texte revient-il régulièrement dans l’actualité ? Parce qu’il se situe au cœur des tensions entre l’Union européenne et les États-Unis sur les transferts internationaux de données. C’est notamment lui qui avait largement alimenté les critiques ayant conduit à l’arrêt Schrems II et à l’invalidation du Privacy Shield. Le problème : le texte doit être renouvelé périodiquement. Or son renouvellement est aujourd’hui enlisé politiquement aux États-Unis.

Le Congrès devait se prononcer mi-avril. Mais depuis, la décision ne cesse d'être reportée.

Le FISA fait aujourd’hui l’objet de critiques des deux côtés de l’Atlantique, mais pour des raisons différentes : en Europe pour ses implications sur les transferts internationaux de données personnelles, aux États-Unis pour les risques de surveillance des citoyens américains eux-mêmes.

Tant que ces débats demeurent ouverts, l’équilibre juridique des transferts de données transatlantiques reste fragile.

Du Brésil aux États-Unis : la politique de protection des renseignements personnels à l’épreuve des rapports de force

Autre mouvement intéressant : plusieurs pays semblent chercher à restructurer leur approche de la protection de la vie privée, mais avec des philosophies très différentes.

Au Brésil, le Sénat a récemment renforcé le statut de l’Autorité nationale de protection des données (ANPD pour Autoridade Nacional de Proteção de Dados), qui devient une autorité fédérale indépendante disposant de moyens humains et financiers accrus.

Une évolution qui marque l’officialisation d’une autorité indépendante dotée de ressources plus importantes et donc potentiellement avec une plus grande capacité réelle d’application des règles.

Aux États-Unis, la situation est plus complexe qu’elle n’y paraît. À l’échelle locale, plusieurs États durcissent progressivement leur approche de la protection des données, avec une hausse des procédures judiciaires et des actions engagées contre certaines pratiques ou entreprises. Cette dynamique s’inscrit dans un paysage déjà très fragmenté, où chaque État applique ou non ses propres règles en matière de protection des données.

En parallèle, le Parti républicain a présenté un projet de loi fédérale baptisé Secure Data Act, précisément pour tenter d’harmoniser cet ensemble hétérogène. Toutefois, si le texte reprend certains principes familiers pour les lecteurs européens : accès, suppression, rectification ou portabilité des données, plusieurs points critiques émergent déjà. L’un des points les plus débattus concerne l’absence de recours direct des individus contre les entreprises en cas de violation de leurs droits. Autrement dit : des droits sont reconnus, mais les individus ne disposent pas vraiment de leviers pour les faire respecter.

Au fond, cette opposition illustre une tension politique plus large. D’un côté, les États semblent multiplier les mécanismes de contrôle et les recours juridiques, dans une logique de protection des droits individuels, à l’image de l’Europe et du Brésil. De l’autre, le niveau fédéral américain paraît davantage privilégier la limitation des contraintes imposées aux entreprises. Une bataille qui dépasse largement le cadre juridique : elle rappelle que derrière les règles de protection des renseignements personnels se joue aussi un arbitrage politique entre défense des droits individuels, souveraineté réglementaire et intérêts économiques.

Quand la protection des renseignements personnels devient une question de pouvoir économique et géopolitique

Deux autres actualités de ces dernières semaines illustrent à quel point les sujets de protection des données deviennent le théâtre des tensions économiques et politiques entre les Etats, les GAFAM, les entreprises et les citoyens.

Premier exemple : le conflit opposant Grok l’intelligence artificielle de X à l’État du Colorado. La société d’Elon Musk conteste une loi visant notamment à encadrer certains systèmes d’intelligence artificielle susceptibles de produire des discriminations algorithmiques. L’entreprise estime que le texte impose une orientation idéologique aux modèles d’IA et interfère avec leur conception. Un cas qui souligne encore le retard du cadre juridique face à l’explosion des outils IA.

Autre illustration : l’Australie souhaite imposer une taxe aux Big Techs (géants du web) afin de financer les éditeurs et les médias. L’argument avancé est que les contenus journalistiques créent de la valeur et alimentent les plateformes, y compris les solutions d’intelligence artificielle génératives, et leur utilisation devrait donc donner lieu à une forme de compensation économique. Et les géants technologiques contestent fortement cette approche. Là encore, le débat dépasse largement celui de la protection des données, il cache de véritables questions autour de la répartition de la valeur et des risques idéologiques et sociétaux.

Et ce n’est probablement qu’un début.