L’inbox advertising de Google Gmail attaqué devant la CNIL

noyb (« My Privacy is None of Your Business ») vient d’adresser une plainte à la CNIL, l’index pointé sur Google. Elle reproche au géant du numérique de travestir en courriels des annonces publicitaires sur Gmail. Armée d’une décision de la justice de l’UE, l’association estime que ces mails auraient dû être avalisés par consentement.

Google peut-il glisser des annonces déguisées en courriers parmi les mails reçus dans l’onglet « promotions » des boîtes Gmail ? noyb estime que non, tant que le fournisseur de la solution n’a pas obtenu l’accord de l’internaute. Agissant en représentation de trois utilisateurs, elle vient d’adresser une plainte à la CNIL.

« C’est très simple. Le spam est un e-mail commercial envoyé sans consentement. Et c'est illégal. Le spam ne devient pas légal simplement parce qu'il est généré par le fournisseur de la messagerie » insiste Romain Robert, juriste au sein de l’association fondée par Max Schrems.

Parmi les emails publicitaires classés dans cet onglet « promotion », on trouve deux types de courriers : ceux pour lesquels le titulaire de l’adresse mail a effectivement donné son consentement. Et les pubs envoyées sous forme là encore de courriers électroniques, mais labellisées par Google comme des « annonces ».

« Lorsque les plaignants se sont inscrits à Gmail, ou même ultérieurement, il ne leur a pas été demandé de consentir à ce que ces emails publicitaires leur soient envoyés » soutient noyb qui considère la pratique en déphasage complet avec les textes européens.

Plusieurs contrariétés, selon l’association

Dans sa plainte, l’association rappelle en effet que la directive ePrivacy conditionne « l'utilisation [...] de courrier électronique à des fins de prospection directe » au consentement préalable de l’abonné.

En France, l’article L35-4 du Code des postes et des communications électroniques interdit lui aussi cette prospection directe « au moyen de système automatisé » en « utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen ».

Ces pratiques seraient donc prohibées, faute pour le destinataire d’avoir consenti à réceptionner ces annonces publicitaires maquillées en e-mails.

Dans une décision rendue le 25 novembre 2021, la Cour de justice de l’UE s’était justement intéressée à ce marketing, nommé « inbox advertising » dans le jargon. Dans un dossier concernant un prestataire allemand, la question était alors de savoir si ces annonces relevaient ou non de la législation européenne qui encadre la prospection par courriels.

Pour la haute juridiction, cela ne fait pas de doute : l’inbox advertising est bel et bien une « utilisation [...] de courrier électronique à des fins de prospection directe ». Afin d’assurer un haut niveau de protection, peu importe finalement la technologie utilisée, la CJUE fait le choix de retenir une « conception large » afin de ne pas désarmer les internautes.

Elle développait une approche très pratique dans son analyse : « du point de vue du destinataire, ledit message publicitaire est affiché dans la boîte de réception (…), à savoir dans un espace normalement réservé aux courriels privés. L’utilisateur ne peut libérer cet espace pour obtenir une vue d’ensemble de ses courriers électroniques exclusivement privés qu’après avoir vérifié le contenu de ce même message publicitaire et seulement après l’avoir supprimé activement ».

Ainsi, ajoutait-elle, « contrairement aux bannières publicitaires ou aux fenêtres contextuelles, qui apparaissent en marge de la liste des messages privés ou séparément de ceux-ci, l’apparition des messages publicitaires (…) dans la liste des courriers électroniques privés de l’utilisateur entrave l’accès à ces courriers d’une manière analogue à celle utilisée pour les courriels non sollicités (appelés également "spam") dans la mesure où une telle démarche requiert la même prise de décision de la part de l’abonné en ce qui concerne le traitement de ces messages ».

Outre une occupation de l’espace de la boîte de réception, elle dénonçait « un risque de confusion » pouvant conduire l’internaute « à être redirigé contre sa volonté vers un site Internet présentant la publicité en cause, au lieu de continuer la consultation de ses courriels privés ».

En somme, l’inbox advertising relève bien de la prohibition des « sollicitations répétées et non souhaitées », dès lors que l’affichage de ces messages publicitaires est suffisamment fréquent et régulier et que le destinataire n’a pas donné son consentement.

Un risque de confusion

L’argument du risque de confusion a été repris par noyb dans sa plainte. « Les emails publicitaires Gmail sont affichées dans l'onglet "Promotions" de la boîte de réception des plaignants. Ceci crée encore plus de confusion chez les utilisateurs : ils s'attendent généralement à recevoir des courriels publicitaires auxquels ils se sont abonnés, et penseront donc légitimement que les emails publicitaires Google en cause dans la présente plainte sont également des courriels promotionnels auxquels ils se sont abonnés – quod non [ce qui n’est pas (le cas), ndlr] ».

Cette confusion serait d’autant plus importante que Gmail « propose un filtrage automatique des courriels non sollicités où les emails de prospection directe non sollicités sont supposés être redirigés vers une boîte "Spams" ». Or, « les emails publicitaires Gmail, qui sont eux aussi non sollicités -ce qui ne peut être ignoré par Google- sont sciemment dirigés vers la boîte de réception "Promotions" ».

L’association soutient que jamais le consentement des internautes qu’elle représente n’a été donné, pas plus que les exceptions prévues par la directive ePrivacy ne sont susceptibles de jouer.

La directive ePrivacy autorise en effet et à titre exceptionnel l’envoi de ces courriers quand la personne prospectée est déjà cliente de l’entreprise et si la prospection concerne des produits (ou services) similaires fournis par la même société.

Dans le cas présent, « les coordonnées électroniques ne sont pas utilisées pour la commercialisation directe de produits similaires dans le cadre de laquelle elles avaient été précédemment collectées », insiste noyb qui insiste donc sur l’absence de consentement.

Transparence lacunaire

Autre problème pointé du doigt : les annonces qu’elle a auscultées « ne mentionnent [pas] l’identité de l’expéditeur des courriels de prospection commerciale, et ne permettent pas de déterminer à qui s’adresser pour s’opposer à la réception desdits courriels ». Autant de contrariétés encore avec les textes en vigueur.

L’association réclame au final une enquête qui « devra déterminer qui est l’expéditeur des emails publicitaires Gmail, quelles données sont collectées et conservées par ces expéditeurs et Google, et comment ces expéditeurs peuvent rapporter preuve du consentement des plaignants ». Autre vœu : une injonction ordonnant la cessation de ces envois et, en guise de cerise, une amende « effective, proportionnée et dissuasive ».

Nous avons sollicité un commentaire de Google France, sans retour pour l’instant.

• La plainte adressée à la CNIL