La nouvelle fonctionnalité d’Apple qui permet de modifier le site à sa guise inquiète le monde de l’adtech et pourrait encore faire couler beaucoup d’encre, surtout des plumes des avocats, notamment en cas d’automatisation de l’outil.
C’est devenu une rengaine. À chaque nouveauté de l’un des géants de la tech, se pose la question, en Europe, de sa conformité juridique. Chaque innovation fait bouger les lignes de la loi et de ses interprétations. Avec Distraction Control, Apple n’échappe pas à la règle. Cette nouveauté intégrée à IOS 18 est apparue en septembre. Elle permet à un utilisateur de modifier une page web dans Safari, à sa guise, et de faire disparaître des blocs de son navigateur, notamment ceux qui le gênent. En un coup de pouce, la fonctionnalité agit comme une baguette magique : un bloc de texte, un titre, un pop-up… et même les publicités.
Averti dès mai 2024 sur une telle fonctionnalité - baptisée alors « Web Eraser » - le milieu de la publicité française avait écrit une lettre ouverte à Tim Cook pour en savoir plus. Les cinq associations qui signaient la lettre (Alliance Digitale, Alliance de l’Information Générale, Geste, SRI, Udecam et Union des marques) n’ont alors eu aucune nouvelle jusqu’en septembre, avant que cette fonctionnalité n’apparaisse sous un nouveau nom : Distraction Control. Et les inquiétudes sont ressorties, plus fortes encore. Dans une nouvelle lettre ouverte, les six syndicats professionnels affirment que « les tests des versions bêta et publiées d’iOS 18 ont intensifié l’anxiété au sein de nos diverses industries. » Apple avait donné des détails sur cette nouvelle fonctionnalité au cours de l’été, notamment par voie de presse.
Quid des CMP ?
L’Alliance Digitale a organisé une réunion générale d’information pour ses membres fin septembre, après plusieurs séries de tests. Dans la lettre, l’interprofession s’alerte de ce que la modification des pages web pourrait faciliter « la manipulation de l’information sur Internet », mais surtout, pour ce qui est des publicités poser « une menace existentielle au modèle de la publicité en ligne ».
Mais plus spécifiquement, ce qui pose le plus de questions d’un point de vue juridique, c’est que Distraction Control permet d’effacer, avant d’y répondre, les pop-ups de demande de consentements des éditeurs : ces « Consent Management Platform » (CMP), indispensables pour recueillir le consentement « explicite et éclairé », selon le RGPD, des internautes, afin de personnaliser la publicité sur les sites web.
Or, selon les directives de la Cnil de 2021, qui ont permis d’interpréter en France le RGPD, le consentement des utilisateurs doit être « explicite ». Cela veut dire que l’internaute doit explicitement être informé de son choix, et répondre par l’affirmative ou la négative. C’est pourquoi nous sommes tous obligés de cliquer sur « accepter », « refuser et poursuivre la navigation », ou encore « s’abonner », si l’éditeur a mis en place un cookies wall, avant d’accéder à un site internet. Que se passe-t-il alors du point de vue du droit si l’utilisateur ferme la CMP sans y répondre ? Si les éditeurs ont depuis trouvé quelques techniques pour contourner le blocage des CMP, comme le révèle nos confrères du JDN - en injectant du bruit dans le code, ou en bloquant le scrolling de la page - le problème de fond persiste.
Vortex technique
Apple avait d’abord affirmé, selon Numerama, que cela « reviendrait à accepter et à la cacher ». Mais même si c’était le cas, la question de l’information de l’internaute reste en suspens. L’internaute sait-il en masquant la CMP qu’il a accepté la publicité ? Il n’est pas sûr que les associations de défense de la vie privée apprécient ce raisonnement. En outre, selon les tests effectués par l’Alliance Digitale, les cas diffèrent selon les technologies utilisées, et masquer la CMP ne revient pas, pour le moment, à donner son consentement : certains sites n’affichent pas les publicités, pris dans un « vortex technique » où le consentement de l’internaute n’est pas connu. Mais sur ce point les versions d’Apple diffèrent désormais. Et cela équivaudrait aujourd’hui au réglage « par défaut » du site. Mais il n’existe pas de choix « tiers » en matière de publicité sur internet. Le consentement est soit donné, soit refusé. Un système par défaut serait-il équivalent à un refus du consentement ? Ou le site web ferait-il à sa guise ? Il est peu probable que le RGPD, avec la rigueur avec laquelle les directives de la Cnil ont été détaillées, laisse aux sites le soin d’interpréter un acte des internautes…
À ce jour, et après avoir interrogé plusieurs avocats et juristes, il n’est possible de faire que des interprétations du droit, et non d’établir des vérités juridiques. Et aucune décision formelle ne vient ou n’est venue en favoriser un plutôt qu’un autre. Mais il est possible de percevoir les questions que soulève cette nouvelle fonctionnalité d’Apple. Il semble bien que Distraction Control pose une question pour les éditeurs pour le respect rigoureux du RGPD. Cette fonctionnalité ne permettrait pas, à ce jour, dans le cas où l’utilisateur ferme les CMP, de recueillir un consentement explicite. « Masquer les plateformes de gestion du consentement (CMP) et les murs de consentement des sites web, compromet […] la conformité avec la réglementation européenne sur la protection des données », indique l’interprofession publicitaire dans sa lettre ouverte.
Automatisation
Mais le droit, comme les êtres vivants, évolue. Et de nouveaux raisonnements pourraient voir le jour. Et si fermer la CMP était interprété comme un refus de consentement de la part de l’internaute ? Ce pourrait, selon nos informations, être une piste envisageable pour la Cnil si elle était saisie du dossier. « En faisant disparaître la CMP, manuellement, l’utilisateur effectuerait un acte qui pourrait être interprété au regard de la loi comme un indice de son refus de vouloir être tracké pour de la publicité », nous indique un spécialiste. Même s’il n’a pas « explicitement » répondu « j’accepte », ou « je refuse ». Ce qui pourrait, ainsi faire retomber Apple sur ses pattes – mais ferait enrager bon nombre d’éditeurs qui ont passé beaucoup de temps et dépensé beaucoup d’énergie à se conformer à ces questions de consentement.
Mais en ce cas, une autre question se dresse : celle de l’automatisation. Apple a en effet prévu un système de mémoire, qui permet d’enregistrer les choix de l’utilisateur lors de ses prochaines visites. Ainsi, un visiteur qui a fait disparaître un ou plusieurs blocs, grâce à Distraction Control, ne le verra pas apparaître lorsqu’il reviendra. Dans ce cas, et pour le cas précis des CMP, le raisonnement juridique mentionné plus haut ne tient plus : l’utilisateur ne fait plus d’acte volontaire pour fermer la CMP, et on ne pourrait donc plus considérer qu’il a donné son consentement « explicite ». Car dans le cas du RGPD, ce dernier doit être demandé à chaque fois. Et tout le château de cartes s’écroule…
Au cœur de Distraction Control, c’est la notion d’automatisation du procédé qui sera à scruter pour les professionnels du web. La question des CMP et de leur suppression pourra être évacuée par une utilisation manuelle de l’outil d’Apple, qui ne devrait pas poser de problème légal, sauf si elle devient systématique. Idem pour les publicités. Apple, avait anticipé les critiques, et s’était défendu de créer un adblocker en affirmant que l’outil devait être configuré de manière proactive par l’utilisateur, et reconfiguré pour chaque site web. Sa fonction principale n’était pas en lien avec les pubs. Mais ici encore, le géant se situe sur une crête de définition, car il permettra, en cas d’automatisation, de les supprimer pour un site, mécaniquement et inévitablement. C’est sur ces points que les avocats spécialisés se passionneront certainement dans les semaines à venir.
