L’utilisation par Google de renseignements sensibles sur l’état de santé aux fins de l’affichage de publicités ciblées soulève des préoccupations en matière de vie privée

Rapport des conclusions en vertu de la LPRPDE n^o 2014-001

Le 14 janvier 2014

Voir aussi : Communiqué – Une enquête conclut que les publicités diffusées par Google à la suite de la navigation sur des sites de santé en ligne portent atteinte au droit à la vie privée

---

Rapport de conclusions

Plainte déposée en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi)

1. Le 24 janvier 2013, le Commissariat a accueilli une plainte concernant la diffusion de publicités personnalisées par le biais du service AdSense de Google Inc. (Google). Ces publicités portaient sur des appareils médicaux et leur diffusion se fondait sur les sites visités en ligne. 
2. Plus précisément, le plaignant allèguait que, depuis qu’il avait fait des recherches en ligne sur des appareils médicaux permettant de traiter l’apnée du sommeil [en particulier sur un appareil de ventilation spontanée en pression positive continue (VSPPC) utilisé pendant le sommeil], divers sites Web affichant des annonces provenant du service AdSense de Google lui présentaient souvent des publicités pour des appareils de VSPPC. Le plaignant considère que ses activités en ligne liées à l’apnée du sommeil sont des renseignements de nature délicate qui ne devraient pas servir à diffuser des publicités personnalisées, pour lesquelles on devrait d’ailleurs lui demander son consentement explicite.
3. L’entreprise Google a été informée de la plainte le 2 mai 2013. Le Commissariat a reçu des observations de Google du 20 juin 2013 au 6 décembre 2013. Le 20 août 2013, en se fondant sur les résultats de son enquête, le Commissariat a transmis un rapport d’enquête préliminaire à Google (rapport préliminaire). Ce rapport préliminaire contenait des recommandations à l’intention de Google visant à garantir que l’entreprise s’acquitte des obligations que lui impose la Loi relativement aux questions sur lesquelles nous avons enquêté. Le présent rapport de conclusions fait état de ces recommandations et de la réponse de Google.

Introduction

4. Le plaignant allèguait qu’il avait été « suivi » par des annonces concernant des appareils de VSPPC pendant un mois après avoir fait une recherche en ligne à l’aide du moteur de recherche Google. Les annonces étaient diffusées sur des sites Web sans lien avec le sujet de sa recherche. Le plaignant avait ouvert une session dans son compte Google au moment de ses recherches en ligne visant à trouver des appareils pour le traitement de l’apnée du sommeil.
5. Dans ses observations initiales, le plaignant a fourni au Commissariat une saisie d’écran montrant une annonce d’appareil de VSPPC affichée dans un site Web de bandes dessinées.
6. Le plaignant a indiqué qu’il laisse constamment son navigateur ouvert. Il a également mentionné qu’il éteint son ordinateur tous les deux ou trois jours, puis qu’il redémarre l’ordinateur et ouvre une nouvelle fenêtre.
7. Le plaignant estime qu’il n’a pas donné son consentement à Google pour que ses renseignements personnels sur son état de santé soient utilisés par les navigateurs. Il pense que, indépendamment du fait qu’il avait ouvert une session dans Google, ce moteur de recherche ne devrait jamais suivre les utilisateurs lorsqu’ils effectuent des recherches concernant des problèmes de santé ou d’autres intérêts personnels de nature délicate.
8. Le plaignant soutient qu’il a été incapable de trouver les coordonnées du service à contacter pour tenter de régler le problème directement avec Google. C’est pourquoi il a déposé une plainte auprès du Commissariat.

Résumé de l’enquête

9. Le Commissariat a procédé à une analyse technique pour vérifier les allégations du plaignant.
10. L’analyse consistait à manifester un intérêt à l’égard des appareils de VSPPC en effectuant une recherche sur le sujet dans Google, puis en visitant les 20 à 40 premiers sites qui apparaissaient dans les résultats de recherche. Afin de déterminer s’il y avait de la publicité comportementale en ligne (PCL), les analystes du Commissariat ont ensuite visité neuf sites différents (sites d’essais) qui n’avaient aucun lien avec les appareils de VSPPC ou l’apnée du sommeil (p. ex. sites de nouvelles, de météo ou de renseignements de référence). Ces sites affichaient les publicités de Google.  
11. Pour vérifier la présence de PCL, on a visité la page d’accueil et quelques pages connexes de chacun des sites d’essai. Si une publicité liée aux appareils de VSPPC s’affichait, on faisait une capture d’écran et la présence de PCL était notée. Les essais ont confirmé que la PCL était utilisée pour diffuser des publicités d’appareils de VSPPC. Il est apparu clairement que le contenu des annonces était déterminé par le recours à la PCL puisque les publicités pour des appareils de VSPPC apparaissaient immédiatement après que des sites liés à ce type d’appareils aient été visités et que des publicités ayant un lien avec ce sujet apparaissaient sur un grand nombre des sites visités. Le Commissariat estime que cela élimine la possibilité que des publicités pour de tels appareils soient affichées par pure coïncidence. 
12. Afin d’évaluer la persistance des publicités, les ordinateurs utilisés pour la réalisation des tests ont été redémarrés à maintes reprises pendant plusieurs jours, et les tests reprenaient là où le Commissariat les avait laissés. Les publicités ont continué d’apparaître après qu’on ait redémarré les ordinateurs.
13. Les sites d’essai ont été choisis de manière arbitraire, et il n’y a aucune raison de croire que les publicités pour des appareils de VSPPC ne seraient apparues que sur ces sites portant sur des sujets tout à fait différents.
14. Les tests ont également confirmé que Google était la partie responsable de la diffusion des publicités. Nous avons pu le confirmer en utilisant un module externe de navigation gratuit souvent utilisé pour le développement Web et le débogage. Cet outil nous a permis d’examiner les instructions et le code en cause dans la diffusion des publicités d’appareils de VSPPC sur les sites d’essai.
15. Le Commissariat a publié deux documents sur la PCL depuis 2011 : La protection de la vie privée et la publicité comportementale en ligne (lignes directrices sur la PCL) et Position de principe sur la publicité comportementale en ligne (position de principe sur la PCL).
16. Le Commissariat établit une distinction entre certains types de publicité sur Internet. Dans le cas de la PCL, un service publicitaire diffuse une annonce sur une page Web en fonction de données de suivi recueillies sur divers sites sans lien entre eux. Cette approche se fonde sur l’utilisation de renseignements sur les sites qu’un utilisateur a visités. À titre d’exemple, si un utilisateur a déjà consulté des sites sur les animaux de compagnie, des annonces de produits pour animaux de compagnie pourraient s’afficher sur divers sites Web, même si ceux-ci n’ont aucun lien avec ce thème (comme des journaux en ligne). Quant à la publicité contextuelle, elle consiste à utiliser l’information sur la visite en cours d’un utilisateur sur un site pour la diffusion de publicités ciblées sur ce même site. On affichera notamment des annonces sur des produits pour animaux de compagnie si l’utilisateur visite un site sur les animaux de compagnie.

Renseignements initiaux fournis par Google

17. Le système publicitaire de Google utilise deux grandes approches pour la diffusion de publicités ciblées en ligne : la publicité axée sur les intérêts et la publicité contextuelle.
    1. La publicité axée sur les intérêts (ou PCL) implique l’utilisation de témoins et se fonde sur le comportement de l’utilisateur. Il y a deux types de publicités axées sur les intérêts.
       1. Publicités axées sur des catégories d’intérêt : Il y a plusieurs centaines de catégories d’intérêt personnalisées. Le système automatisé de Google peut ajouter des catégories d’intérêt en se fondant sur la consultation, par l’utilisateur, de sites Web qui font partie du réseau d’éditeur de Google. Les utilisateurs peuvent voir et modifier les catégories d’intérêt associées à leur témoin publicitaire dans la page de réglage des annonces. Sur cette page, ils ont aussi la possibilité de retirer leur consentement à la diffusion de publicités axées sur les intérêts. Il n’y a pas de catégories d’intérêt liées à la « santé ».
       2. Publicités fondées sur le remarketing (ou reciblage publicitaire) : Le remarketing permet à un annonceur de créer une liste d’utilisateurs personnalisée pour la diffusion de publicités. Dans ce cas, on se sert des visites de l’utilisateur sur le site Web de l’annonceur, des listes de clients de celui-ci ou d’autres critères qu’il aura établis.
    2. La publicité contextuelle est ciblée en fonction du contenu d’une page. Ce type de publicité est aussi parfois appelé publicité par mot-clé.
18. Dans ses observations initiales au Commissariat, Google a soutenu qu’aucune des publicités affichées sur les sites visités par le plaignant n’était le résultat de la PCL. Google a en outre affirmé que, même si l’affichage de ces publicités pouvait avoir donné la fausse impression qu’elles étaient diffusées par suite d’un ciblage en fonction des intérêts ou du profil de l’utilisateur, ce n’était pas le cas. Elles se fondaient plutôt sur le contenu de la page visitée récemment ou d’une page connexe, hors du contexte de l’utilisateur en particulier.
19. Google a expliqué qu’un problème technique touchant son système de publicité par mot-clé était à l’origine de l’expérience vécue par le plaignant et que l’entreprise prenait des mesures pour y remédier.

Application de la Loi

20. Pour prendre une décision dans cette affaire, nous avons appliqué les principes 4.3 et 4.3.6 de l’Annexe 1 de la Loi.
21. Selon le principe 4.3, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire.
22. Le principe 4.3.6 précise que la façon dont une organisation obtient le consentement peut varier selon les circonstances et la nature des renseignements recueillis. En général, l’organisation devrait chercher à obtenir un consentement explicite si les renseignements sont susceptibles d’être considérés comme sensibles. Lorsque les renseignements sont moins sensibles, un consentement implicite serait normalement jugé suffisant.

Analyse

23. En ce qui concerne les faits en l’espèce, Google a présenté des publicités au plaignant en se fondant sur le contexte des sites visités par ce dernier, et ces publicités se sont affichées alors que le plaignant visitait des sites Web sans lien avec ce contexte. Nous estimons que la diffusion de telles annonces correspond à la description du reciblage publicitaire énoncée plus haut, puisque ces publicités étaient affichées sur une page Web en fonction des visites effectuées par le plaignant sur d’autres sites Web. Cela est conforme à la PCL telle que le Commissariat la définit. Par conséquent, nous considérons que la diffusion par Google de publicités qui suivent une personne au cours de ses activités en ligne constitue de la PCL.
24. Même si nous acceptions la position de Google selon laquelle la diffusion de publicités ne faisait pas appel à la PCL mais se fondait plutôt sur le contenu d’une page visitée récemment ou d’une page connexe, cela ne concorde pas avec l’expérience vécue par le plaignant. Celui-ci a indiqué qu’il a été « suivi » pendant un mois, ce qui contredit l’affirmation de Google selon laquelle la diffusion des publicités se fondait sur les pages visitées récemment, au cours de la même session de navigation. Notre analyse technique a confirmé les allégations du plaignant et a montré que les publicités liées aux appareils de VSPPC se sont affichées pendant une semaine, ce qui représente la période de test la plus longue.
25. La politique de confidentialité de Google précise ce qui suit : « Nous utilisons les données fournies par les témoins et par les autres dispositifs similaires, comme les balises, pour vous offrir une utilisation plus conviviale et améliorer la qualité globale de nos services. […] Lorsque nous vous proposons des annonces personnalisées, nous n’associons aucun témoin ni identifiant anonyme à des données sensibles, comme la race, la religion, l’orientation sexuelle ou l’état de santé^{Note de bas de page 1}. »
26. À notre avis, comme les publicités diffusées par Google dans le cas présent étaient sélectionnées en fonction d’un intérêt personnel lié à la santé, on peut dire que Google diffuse des annonces personnalisées liées à des données sensibles, en l’occurrence la santé. Nous estimons que cette pratique n’est pas en concordance avec la politique de confidentialité de Google, telle qu’elle est actuellement (voir ci-haut).  
27. Le Commissariat est d’avis que le consentement explicite (aussi appelé « consentement positif ») est nécessaire pour la diffusion de PCL. Comme il est indiqué dans nos lignes directrices sur la PCL, le consentement implicite (aussi appelé « consentement négatif ») à des fins de publicité comportementale peut être acceptable si les renseignements recueillis et utilisés se limitent, dans la mesure du possible, aux renseignements non sensibles (éviter les renseignements sensibles comme les renseignements médicaux et les renseignements sur l’état de santé).
28. Le plaignant cherchait de l’information sur un appareil médical utilisé pour traiter l’apnée du sommeil. Étant donné que sa plainte concerne des renseignements personnels sur son état de santé (c.-à-d. activités en ligne et historique des sites Web liés à la santé qui ont été visités), le Commissariat estime que cette information est sensible. Par conséquent, pour la collecte ou l’utilisation des renseignements personnels sensibles du plaignant sur son état de santé en vue de lui présenter des annonces personnalisées en fonction de son comportement en ligne, le consentement implicite n’est pas suffisant; il faut obtenir son consentement explicite.
29. Comme Google n’a pas cherché à obtenir le consentement explicite dans les circonstances, nous croyons que, dans ce contexte, Google a dérogé aux principes 4.3 et 4.3.6 de la Loi.
30. Le Commissariat a effectué une autre série de tests avant de présenter son rapport préliminaire et il a constaté que des annonces d’appareils de VSPPC s’affichaient encore, comme c’était le cas pendant les premiers tests et comme il est indiqué dans les allégations du plaignant.

Recommandations

31. Dans notre rapport préliminaire, nous recommandions que l’entreprise Google confirme qu’elle se conformera à la Loi et qu’elle rendra ses publicités conformes aux lignes directrices du Commissariat en matière de PCL. Plus précisément, nous recommandions que Google s’assure qu’aucune catégorie d’intérêt de nature délicate ne soit utilisée pour la diffusion de publicités, à moins que le consentement explicite des utilisateurs concernés n’ait été obtenu.

Réponse révisée de Google

32. En réponse aux recommandations, Google a présenté d’autres observations écrites, et une rencontre a également eu lieu avec des représentants du Commissariat. Les discussions sont résumées ci-dessous.

Remarketing

33. Google a indiqué qu’elle avait également observé que les annonces en question continuaient de s’afficher, et elle a conclu que le problème technique lié à son système de publicité par mot-clé n’expliquait pas l’expérience vécue par le plaignant relativement aux publicités d’appareils de VSPPC. Selon elle, le problème serait plutôt causé par des publicités de reciblage, une forme de publicité axée sur les intérêts.
34. Google a fourni au Commissariat le rapport technique suivant au sujet de son rôle dans l’exécution d’une campagne publicitaire de relance par le biais de Google AdWords. Pour faire du reciblage publicitaire, un annonceur copie le code de l’interface frontale des annonceurs de Google et inscrit ce code sur une ou plusieurs pages Web liées à la campagne publicitaire de relance. Lorsqu’un utilisateur visite la page, le code s’exécute : une requête est adressée au système de Google pour ajouter l’identifiant du témoin publicitaire de l’utilisateur à la liste de remarketing de l’annonceur. La liste des utilisateurs est stockée par Google. S’il n’y a pas de témoin publicitaire, Google tentera d’en créer un. Si l’utilisateur a choisi l’option d’exclusion de la publicité axée sur les intérêts, il n’y a pas d’identifiant de témoin à recueillir.
35. Les annonceurs ont également recours aux services de Google pour élaborer la publicité. Un annonceur utilise les outils en ligne de Google pour créer une campagne de reciblage publicitaire. L’information concernant la campagne (nom, envergure, concepts publicitaires, etc.) est saisie dans cette interface et stockée par Google. Lorsque l’utilisateur visite une autre page Web qui utilise les produits publicitaires de Google, il voit une annonce présentée par Google. Si la campagne de remarketing remporte le processus d’enchère automatisée^{Note de bas de page 2} parmi l’inventaire publicitaire disponible, l’utilisateur verra une publicité provenant de cette campagne de remarketing.
36. Google a affirmé que les critères de remarketing et les listes d’utilisateurs sont déterminés directement par l’annonceur. Google exige de tous les annonceurs qui utilisent cette plateforme qu’ils se plient à certaines politiques interdisant toute forme de publicité axée sur les intérêts correspondant aux catégories sensibles, y compris l’utilisation de listes d’utilisateurs fondées sur des renseignements sur l’état de santé ou à caractère médical. Selon Google, il incombe à chaque annonceur de déterminer comment appliquer les politiques de Google aux campagnes de remarketing proposées. Google a indiqué que, malgré ses politiques et ses recommandations, certains annonceurs ou tiers acheteurs peuvent utiliser des produits de remarketing par erreur.
37. Lorsqu’un annonceur utilise le système de Google pour mettre en route une campagne de remarketing, ils reçoit un rappel lui indiquant de consulter la politique sur les programmes de remarketing pour savoir ce qu’il doit inclure dans la politique de confidentialité de son site et quelles catégories de sites sensibles ne peuvent utiliser cette fonctionnalité (un lien menant vers la politique est inséré).
38. Google autorise le remarketing pour les sites à caractère médical à condition que ces derniers n’indiquent pas que les utilisateurs ont une maladie ou un problème de santé particulier.

Plaintes

39. Les publicités axées sur les intérêts qui sont diffusées par le biais d’AdSense contiennent souvent l’icône d’AdChoices (). Quand un utilisateur clique sur l’icône, il est amené vers une page qui explique le processus de diffusion d’annonces par Google. Au bas de la page, il y a une section qui permet aux utilisateurs de faire part de leurs commentaires à Google (voir ci-dessous).

40. L’entreprise Google a révélé qu’elle avait reçu un certain nombre de plaintes d’utilisateurs au sujet de l’annonceur qui diffuse des publicités d’appareils de VSPPC dans le contexte de la présente plainte. Google a de plus indiqué que ces plaintes auraient été examinées et qu’il aurait été déterminé que la pratique en cause était conforme à ses politiques et pouvait donc se poursuivre. Cependant, après l’intervention du Commissariat, Google a interdit à l’annonceur de faire du remarketing en appliquant sa politique sur le remarketing et la publicité axée sur les intérêts.
41. Le Commissariat a réalisé des tests à quelques reprises depuis que Google a interdit à l’annonceur de faire du remarketing, et nous continuons de voir des publicités concernant des appareils de VSPPC et l’apnée du sommeil qui proviennent d’autres annonceurs. Le Commissariat a abordé la question avec Google, qui l’a assuré que des mesures correctives étaient prises pour ce qui est de la diffusion de telles publicités.
42. Google a indiqué que, lorsqu’un problème lié au respect des ses politiques apparaît, elle s’efforce d’analyser les produits et les sites Web en cause et elle détermine les mesures appropriées pour l’annonceur concerné. Dans les cas qui concernent un problème de conformité, les annonceurs sont généralement avertis qu’ils doivent régler le problème et leur compte n’est pas suspendu. Cependant, dans d’autres cas, lorsqu’un annonceur fait fi des politiques à maintes reprises, ou lorsque le problème est jugé très grave, Google peut suspendre son compte.
43. De notre point de vue, cet écosystème de publicité en ligne est complexe et semble difficile à régir étant donné que certains protagonistes sont malintentionnés et que la surveillance requise est d’une envergure démesurée (des milliards de publicités sont soumises à Google chaque année^{Note de bas de page 3}). [La version française de ce hyperlien n’est pas disponible.] Google a indiqué que, même si elle s’efforçait d’obtenir une pleine conformité à ses politiques, certains annonceurs malintentionnés travaillent sans relâche à détruire ses mécanismes de régie ou à s’y soustraire.

Surveillance

44. Google a fourni au Commissariat des renseignements sur la façon dont elle surveille les cas d’utilisation abusive de son système publicitaire et tente de les prévenir. Le Commissariat reconnaît que cette information est sensible et confidentielle et que, si elle était communiquée, des annonceurs malintentionnés pourraient s’en servir pour contourner les efforts déployés par Google pour faire respecter ses politiques, ou ce pourrait être dommageable sur le plan de la concurrence. C’est pourquoi nous n’avons pas révélé les détails de la surveillance de la conformité exercée par Google dans le présent rapport de conclusions.
45. Nous pensons que les outils de surveillance utilisés par Google au moment de la plainte n’étaient pas d’ampleur modulables et qu’ils comportaient des failles démontrables.
46. À la suite des discussions susmentionnées avec Google durant l’enquête, le Commissariat a formulé d’autres recommandations : Google devrait concevoir un système plus officiel et plus rigoureux pour examiner les publicités et pour intervenir en cas de non-conformité.

Mesures correctives proposées par Google

47. Google a accepté nos recommandations et a mis en œuvre les mesures suivantes :
    1. L’entreprise a interdit toutes les campagnes de remarketing en cours qui portaient sur des appareils de VSPPC. Plus précisément, Google a fait régulièrement des recherches pour savoir s’il y avait des campagnes de remarketing qui contenaient des termes comme « VSPPC » ou « apnée du sommeil » dans ses produits publicitaires, et l’entreprise a interdit toute nouvelle campagne qui ne respectait pas ses politiques. Google continue d’effectuer ce genre de recherches.
    2. Google a reconnu qu’il était essentiel de faire preuve de clarté dans la communication de ses politiques aux annonceurs, étant donné que ceux-ci créent des campagnes de reciblage publicitaire en se basant sur leur propre contenu. L’entreprise Google s’est donc engagée à réviser ses politiques concernant la publicité axée sur les intérêts pour y ajouter d’autres renseignements sur les appareils médicaux, surtout les appareils de VSPPC. Google a convenu de réviser ses politiques d’ici la fin de décembre 2013.
    3. Google mettra au point des nouveaux programmes de formation à l’intention des équipes internes (entre autres pour les spécialistes des politiques sur la publicité et le personnel des ventes) afin de leur transmettre des connaissances à jour sur la politique relative aux catégories de publicités de nature délicate, et de leur permettre de mieux repérer les infractions éventuelles aux politiques et de mieux comprendre comment et dans quelles situations les plaintes et les problèmes doivent être adressés à un échelon supérieur. Selon Google, la formation sera offerte graduellement, et toutes les équipes visées devraient l’avoir suivie d’ici la fin de mars 2014.
    4. Google a accentué la surveillance des campagnes de remarketing en cours de façon à mieux pouvoir identifier les annonceurs ayant conçu des campagnes ne respectant pas les politiques de l’entreprise. Google a notamment intensifié les recherches sur les campagnes de remarketing en cours afin de trouver des mots-clés se rapportant aux appareils de VSPPC ou à d’autres sujets pouvant être liés à des catégories sensibles.
    5. Google a pris l’engagement de revoir et de perfectionner son système d’examen automatisé. Selon Google, ce nouveau système sera mis au point d’ici la fin de juin 2014.

Conclusion

48. Le Commissariat estime que, lorsque les mesures correctives proposées par Google et décrites ci-dessus auront été mises en œuvre, l’entreprise aura donné suite à nos recommandations et sera en conformité avec la Loi. Par conséquent, nous concluons que la plainte est fondée et conditionnellement résolue.

Autre question

49. Au cours de l’enquête, nous avons également discuté avec Google de l’allégation du plaignant selon laquelle il était incapable de trouver les coordonnées du service à contacter pour soumettre une plainte à l’entreprise. Même si Google fournit des coordonnées, nous l’invitons à accroître la transparence à cet égard. L’entreprise a indiqué qu’elle souhaitait également faire preuve d’une plus grande transparence et a indiqué qu’elle se penchait sur de possibles améliorations.