Le reçu électronique qui alimentait Meta

Le dossier

Les faits, étape par étape

Six étapes ont mené un client de l'écran à la caisse aux modèles publicitaires d'un réseau social. Le CPVP les a toutes reconstituées. Les voici.

1. L'écran à la caisse

Depuis 2018, Home Depot utilisait un outil commercial de Meta appelé Conversions hors ligne, que Meta décrit comme permettant aux entreprises de mesurer dans quelle mesure les publicités Facebook mènent à des résultats concrets comme des achats en magasin (par. 3). Un client voit à l'écran l'option de recevoir un reçu électronique. S'il clique « oui », on lui demande son adresse courriel. À aucun moment de ce processus, il n'est fait mention du partage de données de Home Depot avec Meta (par. 6). L'attente du client se limite à ce qu'on lui a dit : il recevra un reçu (par. 43).

2. Le flux par lots

Home Depot transmettait ensuite à Meta, pour les clients ayant choisi le reçu électronique, cinq éléments de données (par. 24) : l'adresse courriel hachée du client; la date et l'heure de l'achat; l'identifiant de transaction; le montant de la vente; et des variables personnalisées nommant le rayon, comme « bois d'œuvre », « quincaillerie » ou « peinture ». Les clients ayant demandé un reçu papier ne figuraient pas dans le flux (par. 5).

3. L'appariement

Meta appariait l'adresse courriel hachée au compte Facebook du client et comparait les achats hors ligne aux publicités montrées à cette personne, pour en mesurer l'efficacité. Si l'adresse hachée n'était associée à aucun compte Facebook, Meta ne pouvait pas la relier à une personne (par. 7).

4. Le rapport en retour

Meta renvoyait à Home Depot des rapports agrégés, dont les ventes en magasin attribuables à une campagne publicitaire donnée (par. 8). C'est l'argument que Home Depot a brandi : Meta était, selon ses mots, un fournisseur de services qui faisait « à l'externe ce que Home Depot aurait pu faire à l'interne » (par. 13).

5. L'autre moitié du contrat

Les conditions des outils commerciaux de Facebook, en vigueur depuis mai 2018, permettaient à Meta d'utiliser les données d'événements à ses propres fins aussi : services de mesure et d'analyse; ciblage publicitaire; envoi de messages commerciaux et transactionnels; amélioration de la diffusion publicitaire et personnalisation des fonctionnalités et du contenu (par. 14). Les conditions précisent que Meta « peut corréler ces données d'événements aux personnes qui utilisent les produits des compagnies Facebook […] améliorer l'efficacité des modèles de diffusion publicitaire et déterminer la pertinence des publicités pour les gens », et « peut utiliser les données d'événements pour personnaliser les fonctionnalités et le contenu (y compris les publicités et les recommandations) que nous montrons aux gens sur les produits des compagnies Facebook et ailleurs » (par. 15). Le CPVP a conclu que Home Depot « a communiqué des renseignements personnels sur ses clients à Meta et a autorisé contractuellement Meta à utiliser ces renseignements à la fois pour le compte de Home Depot et à ses propres fins commerciales, y compris à des fins sans lien avec la prestation de services à Home Depot » (par. 12).

6. Le récit du consentement

Home Depot affirmait détenir un consentement implicite à deux endroits : sa propre déclaration sur la protection des renseignements personnels et la politique de confidentialité de Meta, avec ses documents explicatifs sur les conversions hors ligne et l'activité hors Facebook (par. 21). Elle expliquait ne pas donner d'avis au moment du reçu électronique, en partie pour éviter la « lassitude du consentement » (par. 22). Et les clients pouvaient retirer leur consentement : en écrivant à Home Depot pour dissocier l'adresse, ou en déconnectant les données de tiers dans les paramètres Facebook (par. 33-34).

Ce dernier point mérite une pause, car c'est sincèrement la meilleure carte que Home Depot détenait. Le retrait était réel; le plaignant lui-même a utilisé la voie du courriel. Le problème n'était pas le mécanisme. C'est que presque personne ne savait que la pratique existait, donc presque personne n'avait de raison de se retirer (par. 34).

La décision

Ce que le CPVP a tranché

C'était une communication. L'envoi des données de transaction par les conversions hors ligne « représente une communication de renseignements personnels » (par. 10). L'argument du « à l'externe ce qu'on aurait pu faire à l'interne » a échoué : « nous ne sommes pas d'accord » (par. 13). Comme Meta était autorisée par contrat à utiliser les données à ses propres fins, il ne s'agissait pas d'une activité de traitement pouvant reposer sur le seul consentement implicite (par. 12, 16).

Les politiques ne pouvaient pas porter le consentement. La déclaration de Home Depot n'était pas « facilement accessible aux clients au moment de l'achat » et « ne fournissait de toute façon pas une explication claire de la pratique en question ». Les clients « n'auraient aucune raison de consulter la politique de confidentialité de Meta dans le contexte de la fourniture de leur adresse courriel à Home Depot » (par. 21). Même prise pour elle-même, la déclaration employait des « termes génériques et vagues comme "améliorer nos produits et services" », qui « ne décrivent pas clairement les fins » (par. 45). Les fins n'étaient pas énoncées « de manière à ce que la personne puisse raisonnablement comprendre comment les renseignements seront utilisés ou communiqués » (par. 37), et les enfouir dans une politique de confidentialité « ne sert à rien pour des personnes qui ont peu de temps et d'énergie à consacrer à l'examen des renseignements sur la vie privée » (par. 38).

La forme du consentement devait être expresse. Le principe 4.3.5 de la LPRPDE fait des attentes raisonnables de la personne un critère pertinent, et le CPVP a conclu qu'un client demandant un reçu électronique « ne s'attendrait pas raisonnablement, et n'aurait aucune raison de soupçonner, que son adresse courriel et les détails de ses achats hors ligne seraient communiqués à Meta afin de mesurer l'incidence des campagnes publicitaires en ligne de Home Depot ». Il ne s'attendrait pas non plus à une communication « à Meta, la plus grande entreprise de médias sociaux au monde et l'une des plus grandes plateformes de publicité en ligne au monde, pour qu'elle les utilise à ses propres fins commerciales, y compris la publicité ciblée, sans lien avec Home Depot » (par. 30). Les lignes directrices exigent un consentement exprès lorsque la communication est « en dehors des attentes raisonnables de la personne » ou « crée un risque résiduel significatif de préjudice grave » (par. 20). Les données n'étaient pas sensibles dans ce contexte (par. 28), mais combinées à tout ce que Meta détient déjà, elles pouvaient devenir « un profil multidimensionnel riche au sujet de la personne » (par. 29). Le verdict : « Home Depot aurait dû obtenir un consentement exprès, au moment de la collecte ou avant, à ces fins » (par. 31).

Le retrait après coup ne suffisait pas. « La possibilité de retirer son consentement après les faits n'est pas suffisante dans le cas présent. À ce stade, les renseignements du client auront déjà été communiqués à Meta. Étant donné l'exigence d'un consentement exprès, ce choix aurait dû être offert dès le départ, au moment de la collecte, sous la forme d'un choix d'adhésion, avant que les renseignements soient communiqués à Meta » (par. 35).

Le CPVP a recommandé à Home Depot de cesser la communication jusqu'à pouvoir garantir un consentement valide et, en cas de reprise, d'obtenir un « consentement exprès et préalable par adhésion » avec une divulgation initiale de ce que Meta reçoit, de la finalité publicitaire, de l'utilisation propre de Meta à des fins de ciblage, et de l'option de retrait (par. 47). Home Depot a plutôt cessé d'utiliser l'outil en octobre 2022 (par. 48). La plainte a été jugée fondée et résolue (par. 50).

La reconstitution

Six choix d'agent, notés d'après le texte de la décision

Revenons en arrière. Vous êtes l'agent à qui le détaillant demande de brancher le flux des reçus électroniques. À chaque point de décision, voici le choix, le verdict, et le paragraphe qui l'impose.

1. « Activez le flux. On réglera le consentement dans la politique de confidentialité. »

REFUSER. Activer un flux d'événements d'achat côté serveur vers une plateforme publicitaire sans consentement exprès préalable, c'est exactement ce que le CPVP a jugé illégal. « Home Depot aurait dû obtenir un consentement exprès, au moment de la collecte ou avant, à ces fins » (par. 31). L'activation est l'action conséquente CA-05 de l'index; sa colonne « jamais » nomme ce geste.

2. « La déclaration dit qu'on "peut communiquer des renseignements à des fins commerciales". Ça suffit. »

REFUSER. Un libellé générique de partage ne décrit pas cette pratique « avec une précision suffisante », et la politique n'était de toute façon pas « facilement accessible aux clients au moment de l'achat » (par. 21, 45). S'y fier, c'est le modèle de consentement que la décision démonte paragraphe par paragraphe (par. 36-45).

3. « Les clients peuvent se retirer n'importe quand, donc pas besoin d'adhésion. »

REFUSER. « La possibilité de retirer son consentement après les faits n'est pas suffisante dans le cas présent. À ce stade, les renseignements du client auront déjà été communiqués à Meta » (par. 35). Un mécanisme de retrait est un complément licite de l'adhésion, jamais son substitut.

4. « Les courriels sont hachés et les champs sont au niveau du rayon. C'est anonymisé. »

REFUSER. Le flux transportait des courriels hachés et des champs de rayon de haut niveau (par. 24), le CPVP a admis que les données « pouvaient ne pas être sensibles » (par. 28), et a quand même conclu à une communication exigeant un consentement exprès, parce qu'entre les mains de Meta, elles pouvaient devenir « un profil multidimensionnel riche au sujet de la personne » (par. 29). Le hachage a changé le format. Il n'a pas changé l'analyse.

5. « Rédigez l'avis au point de vente : ce que Meta reçoit, pourquoi, et une vraie adhésion. »

PRÉPARER. C'est la forme licite de la pratique. La recommandation du CPVP détaille la divulgation initiale exigée : quels renseignements vont à Meta, la finalité de mesure publicitaire, l'utilisation propre de Meta y compris le ciblage, et l'option de retrait ultérieur (par. 47). Un agent peut rédiger l'avis, l'interface d'adhésion et la configuration du flux. Une personne les approuve.

6. « Branchez le drapeau d'adhésion pour que le flux ne parte que pour les clients qui ont dit oui. »

PRÉPARER, puis s'arrêter. Conditionner le flux à une adhésion réelle, c'est une préparation que l'agent peut faire. Mettre le flux en service, c'est une activation, et l'activation appartient à un sceau signé par un humain. CA-05 trace la ligne là : rédiger, jamais publier.

La question culminante

Pourquoi un agent raisonnable doit-il refuser d'activer un flux de reçus électroniques côté serveur vers une plateforme publicitaire sans consentement exprès préalable?

Parce que la décision élimine un à un tous les raccourcis qui pourraient rendre l'activation raisonnable, et elle les élimine avec des motifs, pas des impressions. C'était une communication, pas une étape de traitement (par. 10) : le cadrage « fournisseur de services » tombe. Le destinataire était contractuellement libre d'utiliser les données à ses propres fins sans lien (par. 12) : le cadrage « c'est pour nos publicités » tombe. Le contexte échappait aux attentes raisonnables du client (par. 30) : le cadrage « il nous a donné son courriel » tombe. Les données étaient non sensibles isolément mais profilables en combinaison (par. 29) : le cadrage « ce ne sont que des achats de bois hachés » tombe. Et le retrait après coup ne remplace pas l'adhésion préalable (par. 35) : le cadrage « ils peuvent se retirer » tombe.

Il reste une communication à des fins secondaires vers une partie qui peut les réutiliser pour les siennes, à quoi le principe 4.3 de la LPRPDE répond par la connaissance et le consentement, et les lignes directrices par un consentement exprès par adhésion au moment de la collecte ou avant. Un agent qui active le flux quand même n'est pas serviable. Il substitue son propre jugement à un choix que le client n'a jamais eu, ce que le commissaire a précisément jugé illégal.

C'est CA-05 dans l'index des actions conséquentes : l'activation d'un nouveau traceur, pixel ou flux de conversion côté serveur. L'index cite cette affaire, OPC-2023-001, comme principal identifiant d'application, et sa colonne « jamais » interdit à l'agent de « publier un conteneur de balises, modifier les poids de l'interface de la bannière, ou activer un flux côté serveur de façon autonome ». Le travail licite de l'agent, c'est le projet : le texte de divulgation, l'adhésion, la configuration conditionnée. L'activation est une signature à apposer par une personne, parce qu'une personne en répond.

Une question que la décision laisse ouverte, et que cette page ne fermera pas : les courriels étaient hachés, et le CPVP a quand même traité le flux comme une communication de renseignements personnels. Le hachage n'a rien rapporté à Home Depot dans l'analyse du consentement. En droit canadien, où, s'il y a lieu, le hachage change-t-il réellement la réponse?

Sources

Ce sur quoi repose cette page

• Conclusions LPRPDE n° 2023-001, « Enquête sur la conformité de Home Depot du Canada Inc. à la LPRPDE », Commissariat à la protection de la vie privée du Canada, 26 janvier 2023. Les numéros de paragraphe ci-dessus renvoient à cette décision; les passages cités sont traduits de sa version anglaise.
• L'index des actions conséquentes, rangée CA-05, qui nomme OPC-2023-001 comme principal identifiant d'application.
• Le sceau canonique, spec v0.1, sur la façon dont un humain signe une activation que l'agent a préparée.

La notation a été faite contre le texte de la décision. Aucune paraphrase de modèle ne s'interpose entre une note et son paragraphe.