Traçage publicitaire abusif

Définition

Le traçage publicitaire est le suivi de l'activité d'une personne à travers les sites et les applications afin de constituer un profil servant au ciblage. Cette fiche figure ici non pas comme une attaque — l'essentiel de la pratique est licite lorsque le consentement est correctement recueilli — mais parce qu'elle produit la matière que d'autres pages de ce site décrivent, et parce que le consentement demandé est souvent obtenu par une interface conçue pour cela.

Comment ça fonctionne

Un site affiche rarement seulement son propre contenu : il charge des composants fournis par des tiers — mesure d'audience, régie publicitaire, bouton de partage, police de caractères. Chacun voit passer votre visite et peut y associer un identifiant, ce qui permet de vous reconnaître d'un site à l'autre et de reconstituer un parcours. À cela s'ajoutent des techniques qui n'ont pas besoin de déposer quoi que ce soit, en reconnaissant la combinaison de caractéristiques de votre navigateur. Le point qui relève de ce site est le consentement : le droit européen exige qu'il soit libre et éclairé, et l'écran qui le recueille est fréquemment conçu pour rendre l'acceptation immédiate et le refus laborieux — bouton unique mis en avant, refus derrière plusieurs niveaux de réglages, cases pré-cochées. Ce déséquilibre est identifié comme tel par les autorités de protection des données, et il explique pourquoi tant de gens ont « accepté » sans l'avoir voulu.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Bandeau de consentement où « Tout accepter » est un bouton et le refus un lien discret
• Refus qui exige de parcourir plusieurs écrans de réglages, ou cases déjà cochées
• Publicités qui reprennent un produit consulté ailleurs, ou une conversation récente
• Site inaccessible sans acceptation, sans alternative proposée
• Application demandant un identifiant publicitaire ou l'accès à votre position sans rapport avec sa fonction

Comment vérifier

Ouvrez les réglages détaillés du bandeau plutôt que de valider : le nombre de partenaires listés et les finalités déclarées y sont visibles, et ils dépassent souvent largement ce que le site laisse supposer. Regardez dans les réglages de votre téléphone quelles applications disposent de l'identifiant publicitaire et de la position.

Que faire

Refusez ce qui n'est pas nécessaire au fonctionnement, le refus étant un droit et non une faveur. Utilisez un navigateur qui limite les traceurs tiers par défaut. Sur téléphone, désactivez l'identifiant publicitaire et retirez la position aux applications qui n'en ont pas l'usage. Ces réglages valent pour l'avenir et n'effacent pas les profils déjà constitués.

Si c'est déjà arrivé

Vous pouvez demander à un acteur l'accès aux données vous concernant, leur effacement, et vous opposer au traitement ; la CNIL est l'autorité compétente en France, y compris lorsque le bandeau de consentement ne permet pas un refus aussi simple que l'acceptation. Signaler un bandeau non conforme est utile au-delà de votre cas : c'est ce type de signalement qui fait évoluer la pratique.

Questions fréquentes

Est-ce illégal ?

Le traçage avec un consentement libre et éclairé ne l'est pas. Ce qui pose problème est la manière dont ce consentement est obtenu quand l'interface rend le refus nettement plus coûteux que l'acceptation, ce que les autorités de protection des données considèrent comme un consentement mal recueilli.

Mon téléphone m'écoute-t-il ?

L'explication la plus simple est généralement suffisante, et elle est déjà troublante : ce qui est connu de vous — recherches, position, achats, entourage, sites visités — permet des recoupements dont la précision surprend sans qu'aucune écoute soit nécessaire. Vérifiez tout de même quelles applications disposent du micro, un accès qu'aucune fonction ne justifie devant être retiré.

Refuser change-t-il vraiment quelque chose ?

Pour l'avenir, oui : moins de traceurs déposés, donc moins de matière ajoutée à votre profil. Sur ce qui a déjà été collecté, le refus n'a pas d'effet rétroactif — c'est la demande d'effacement qui s'y applique.

Attaques liées

• Revente de données personnelles
• Réidentification de données anonymes
• Publicité malveillante
• Extension de navigateur malveillante
• Permissions abusives

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement