Chaque mois, la Privacy Gazette décrypte les sujets qui agitent l'écosystème mondial de la protection des données. Conçue à partir de l'expertise de Pascal Vautrin, Privacy Standards Expert chez Axeptio, elle revient sur les actualités les plus pointues du secteur pour en analyser les implications réglementaires, économiques et politiques.
Ce deuxième numéro couvre une période dense : la Commission européenne a infligé ses premières sanctions lourdes au titre du DMA et du DSA, Google a modifié discrètement son statut juridique sur reCAPTCHA, la Cour de justice a validé le principe d'une rémunération des éditeurs de presse par les plateformes, et l'exemple américain rappelle qu'à défaut de cadre fédéral, les questions les plus structurantes se tranchent devant des juges ou dépendent d'autorisations temporaires, avec ce que cela implique d'instabilité pour les entreprises qui en dépendent.
C’est déjà la saison des amendes à Bruxelles !
Le 28 mai, la Commission a infligé 200 millions d'euros à Temu au titre du DSA. Le grief central n'est pas la présence de produits illégaux sur la plateforme, mais l'absence d'évaluation sérieuse du risque qu'ils s'y trouvent : Temu, désignée très grande plateforme en ligne depuis 2024, devait analyser ce risque systémique et ne l'a pas fait à un niveau jugé acceptable, s'agissant du rôle de ses propres systèmes de recommandation et de ses programmes d'affiliation. La plateforme a jusqu'au 28 août pour présenter un plan d'action correctif à la Commission. Une seconde enquête, portant sur le design addictif du service, reste par ailleurs ouverte. Il s'agit de la deuxième sanction prononcée sous le DSA, après les 120 millions d'euros infligés à X en décembre 2025.
Quelques semaines plus tard (le 23 juillet), rebelote en s’appuyant cette fois-ci sur le DMA, avec deux décisions de non-conformité contre Google pour un total de 890 millions d'euros : 460 millions pour l'auto-préférence de ses propres services dans Google Search, 430 millions pour les restrictions imposées aux développeurs souhaitant orienter leurs utilisateurs vers des canaux d'achat alternatifs sur Google Play. Google dispose de soixante jours pour se mettre en conformité.
Si les montants restent très en dessous des plafonds théoriques des sanctions applicables, ce qui compte davantage, c'est que Bruxelles applique enfin ses textes.
reCAPTCHA devient “Google Fraud Defense” : Je ne suis pas un robot, mais je suis responsable du traitement
reCAPTCHA est ce dispositif de vérification que Google met gratuitement à disposition des sites pour distinguer un visiteur humain d'un robot, sur les formulaires de connexion, d'inscription ou de paiement. Son usage est contesté en Europe depuis des années, parce que la vérification s'accompagnerait d'une collecte de données personnelles qui dépasse ce qu'exigerait un simple test anti-bot.
Mais le 2 avril, Google a modifié les conditions d'utilisation du service, désormais rattaché à son offre Google Cloud sous un nom qui se veut plus rassurant : Fraud Defense. Jusqu'à cette date, Google se considérait comme responsable du traitement des données collectées via reCAPTCHA, avec la faculté de les exploiter pour ses propres finalités. Il se déclare maintenant sous-traitant, ses clients devenant seuls responsables du traitement. Google demande d'ailleurs aux éditeurs de retirer de leurs sites et du badge reCAPTCHA les renvois vers sa propre politique de confidentialité.
Plusieurs conséquences. La collecte de données personnelles n'a pas disparu, seule sa qualification juridique a changé. La charge de la conformité, elle, s'est déplacée vers l'exploitant du site : base légale à documenter, accord de sous-traitance à signer, mention d'information à réécrire.
“La qualification de sous-traitant ne se décide pas par contrat mais se déduit de qui détermine réellement les finalités et les moyens du traitement. Si Google continue d'exploiter ces données pour son compte, une autorité reste libre de requalifier les rôles. De plus, ce cas interroge aussi le comportement de l'outil face à un terminal un peu trop dé-googlisé : un internaute qui a fait le choix de se passer des services Google devient, aux yeux de Google, un fraudeur potentiel.” - Pascal Vautrin
Se déclarer sous-traitant ne suffit donc pas à l'être. Mais tant qu'aucune autorité n'a tranché, c'est l'éditeur du site qui répond des choix techniques de Google.
CIPA : le rêve américain, moins de règles, plus d'incertitude
Vingt-cinq États américains disposeront bientôt d'une loi générale sur la protection des données, la Louisiane et le Vermont ayant voté la leur au printemps. Aucun texte fédéral n'est venu unifier cet ensemble et ces derniers mois montrent ce que produit cette absence : les questions les plus structurantes du secteur s'y règlent devant les juges, ou par des autorisations temporaires qui, par définition, expirent.
Le dernier dossier en la matière concerne le suivi web. Le CIPA, pour California Invasion of Privacy Act, est une loi californienne de 1967 conçue à l'époque du téléphone (un outil qui vous permet à la base de communiquer avec une personne à l’autre bout du fil, vous vous rappelez ?). Elle interdit deux choses : écouter le contenu d'une conversation sans l'accord des parties, et, depuis un ajout de 2015, enregistrer les traces techniques d'une communication, du type qui a appelé quel numéro et à quelle heure. Depuis 2022, des avocats américains soutiennent que ces deux interdictions valent aussi pour le web. Un formulaire dont le contenu est capté par un tiers relèverait de l'écoute ; une adresse IP collectée par un traceur relèverait de l'enregistrement des traces techniques. Des centaines de procédures ont donc été engagées sur ces deux fondements.
Vous l’aurez compris, si cette lecture s'imposait, la collecte de données de navigation deviendrait en pratique subordonnée à l'accord préalable de l'internaute, et cela vaudrait pour toutes les entreprises, pas seulement pour celles couvertes par le CCPA. La Californie basculerait de fait de l'opt-out vers l'opt-in.
Cependant, les tribunaux californiens ne parviennent pas à s'accorder. Le 27 mai, la Superior Court de Los Angeles a donné raison aux exploitants de sites dans l'affaire Blaker v. NetScout Systems : les dispositions de 2015 sur les traces techniques ont été écrites pour le téléphone et ne s'appliquent pas à un logiciel installé sur un site commercial. Une porte se referme donc. L'accusation d'écoute reste toutefois entière, et c'est elle qui alimente encore la majorité des procédures en cours. Il est déjà arrivé que deux tribunaux californiens tranchent en sens opposé sur des faits quasiment identiques, à un jour d'intervalle.
Combien vaut un article de presse ? La justice européenne commence à répondre
Nous évoquions dans le premier numéro la volonté australienne de taxer les Big techs pour financer les médias. Le même bras de fer s'est joué en Europe ces dernières semaines, mais devant un juge, et les éditeurs l'ont remporté.
Pour rappel, depuis une directive européenne de 2019, les éditeurs de presse disposent de ce qu'on appelle des droits voisins : quand une plateforme reprend leurs contenus en ligne, extraits d'articles, titres, résumés, elle doit les rémunérer. Mais si le principe était posé, son application beaucoup moins. Chaque pays devait le transcrire dans sa propre législation, et les Big Techs n'ont pas manqué de contester ces transpositions nationales.
C'est ce qu'a fait Meta en Italie. Le régulateur italien des communications et des médias, l'AGCOM, avait fixé en 2023 les critères permettant de calculer ce que les plateformes doivent verser aux éditeurs. La maison mère de Facebook et d'Instagram a attaqué cette décision devant la justice italienne, en estimant notamment que Rome n'avait pas le droit de lui imposer un tel mécanisme. Le juge italien a préféré interroger la Cour de justice de l'Union européenne avant de trancher.
La réponse est donc arrivée le 12 mai dernier, et elle donne raison à l'Italie. Un État membre peut bel et bien obliger les plateformes à rémunérer équitablement les éditeurs. La Cour pose quelques limites de bon sens : un éditeur doit rester libre de refuser que ses contenus soient utilisés, ou de les laisser en accès gratuit, et aucune plateforme ne peut être forcée de payer pour des contenus qu'elle n'exploite pas.
Toutefois, la Cour constate que les éditeurs négocient à l’aveugle : les données permettant de mesurer ce que leurs contenus rapportent réellement se trouvent entre les mains des plateformes, et de personne d'autre. Elle admet donc que les États obligent ces dernières à communiquer ces chiffres. On ne négocie pas le prix de ce qu'on ne peut pas mesurer, et cette décision ouvre une brèche dans un déséquilibre installé depuis 2019. Chaque pays européen dispose maintenant d'une jurisprudence pour construire son propre modèle.
Malheureusement pour les éditeurs, cette décision concerne la reprise d'articles par des plateformes, pas l'utilisation de contenus de presse pour entraîner des intelligences artificielles. Une bataille après l’autre !
.png?width=427&height=213&name=NFL%20v%20Kimmons%20Class%20Action%20(1).png)
