RGPD : la modification qui pourrait bientôt bouleverser le marché publicitaire 

C’est un paragraphe d’à peine six lignes, noyé au sein des 261 pages que contient le Règlement général sur la protection des données (RGPD). Pourtant, la modification que prépare Bruxelles pourrait, à elle seule, bouleverser en profondeur le secteur de la publicité numérique en Europe. En jeu: la remise en cause du principe même de consentement pour le ciblage des internautes.

Ce paragraphe, c’est l’article 4(1) du RGPD, qui définit ce qu’est une « donnée à caractère personnel ». Est considérée comme telle « toute information se rapportant à une personne physique identifiée ou identifiable », c’est-à-dire pouvant être reconnue « directement ou indirectement », par un nom, un identifiant en ligne, des données de localisation ou encore des « éléments spécifiques propres à son identité physique ».

Tel qu’il a été voté en 2016, le RGPD a ainsi instauré une définition particulièrement large des données personnelles, qui englobe, dans les faits, la quasi-totalité des informations collectées par les plateformes et les éditeurs. Leur exploitation, notamment à des fins publicitaires, est dès lors conditionnée au recueil d’un consentement « libre » et « éclairé » des internautes.

Le consentement plus requis dans certains cas

Mais ce cadre réglementaire, en vigueur depuis six ans, pourrait bientôt évoluer. Fin 2025, la Commission européenne a en effet présenté un « paquet numérique » visant à « simplifier la réglementation et stimuler l’innovation ». Ce texte devra encore franchir l’obstacle du Parlement européen et éviter une minorité de blocage au Conseil — un parcours législatif loin d’être gagné. Aucune date n’est donc avancée à ce stade.

Bruxelles propose en particulier une redéfinition plus restrictive de la notion de données personnelles, par l’ajout de trois phrases à l’article 4(1). Une information ne serait alors plus considérée comme personnelle si l’entreprise qui la collecte n’est pas en mesure d’identifier « la personne physique à laquelle elle se rapporte, compte tenu des moyens raisonnablement susceptibles d’être utilisés ». Et ce, même si une autre entité est, elle, capable d’identifier l’internaute.

Concrètement, une entreprise pourrait ainsi échapper aux obligations du RGPD en affirmant qu’elle n’est pas en mesure de relier à une personne les données anonymisées qu’elle récupère directement ou indirectement auprès d’un éditeur ou d’une plateforme. Conséquence immédiate: le consentement ne serait alors plus requis.

Une nouvelle version plus subjective = plus de contentieux

Pour l’association Noyb, menée par l’activiste autrichien Max Schrems, la formulation proposée par Bruxelles permettrait d’aller encore plus loin. Selon elle, il deviendrait possible d’échapper au RGPD tout en disposant techniquement des moyens d’identifier une personne, à condition d’assurer ne pas être « susceptible » de les utiliser. Autrement dit, il suffirait de promettre de ne pas croiser les données avec des identités réelles.

Cette « faille » dans le RGPD, pour reprendre le terme employé par Noyb, pourrait provoquer un profond chamboulement du marché publicitaire européen, en allégeant les obligations de mise en conformité et en facilitant l’exploitation tout au long de la chaîne de données personnelles pour le ciblage des internautes. Une aubaine, notamment, pour Meta, régulièrement sanctionné pour ses tentatives de contournement du RGPD.

Mais la simplification promise par Bruxelles pourrait aussi ouvrir la voie à une multiplication des contentieux. Au lieu de fournir une définition claire d’une donnée personnelle, la nouvelle version du RGPD introduirait en effet une part de subjectivité. « Une appréciation au cas par cas implique que des données pourraient être considérées comme personnelles ou non selon une entreprise », avertit Noyb.