Qu'est-ce que le tracking ? Définition et règles de confidentialité

Le tracking ou le web tracking est un terme qui n'est pas défini de manière précise. La définition juridique peut être déduite de la situation juridique actuelle et être soutenue par la définition technique. Ma définition vise l'obligation de consentement.

Lors du concept de Trackings, il s'agit en fin de compte de savoir si une consentement obligatoire existe.

Une définition technique courante du terme Web Tracking est:

Suivi Web est l' identification et le suivi des utilisateurs dans les réseaux, avec pour but d'exploiter les données des utilisateurs en dehors d'un intérêt légitime.

Définition du tracking d'un point de vue technique.

De la vue juridique on peut définir une définition en fonction de la législation actuelle, qui m'est d'avis bien établie, à partir des questions suivantes:

1. Les cookies qui ne sont pas techniquement nécessaires sont-ils utilisés par le service ou le service n'est-il pas fonctionnellement nécessaire ?
2. Les données à caractère personnel sont-elles transférées à des tiers sans intérêt légitime et sans autre base juridique ?
3. Les données personnelles sont-elles transférées vers des pays tiers non sûrs comme les États-Unis ?

La première question est soumise à Art. 5, alinéa 3 de la directive ePrivacy. Elle stipule que le consentement doit être donné dès que l'accès aux informations stockées dans l'appareil du utilisateur a lieu. Cela vaut bien sûr uniquement si ce processus n'est pas nécessaire techniquement, comme le précise la directive. Depuis décembre 2021, en Allemagne, s'applique § 25 TTDSG. Jusqu'à cette date, valait § 15, alinéa 3 TMG (conformément à l'arrêt du BGH sur Planet49 à interpréter comme la directive ePrivacy). Depuis mi-2024, le TTDSG est d'ailleurs passé dans le TDDDG.

La deuxième question est soumise à l'Article 5 du RGPD (économie de données), Article 25 du RGPD (protection des données par la conception technique), Article 32 du RGPD (sécurité du traitement) ainsi que Article 6 du RGPD (bases juridiques). Un tiers est toute autre entité avec laquelle aucun DPA n'a été conclu. Lors d'une visite d'un site Web, des données personnelles sont toujours traitées car l'adresse IP (adresse de réseau) est un donnée personnelle. Si un site Web intègre le service d'un tiers, par exemple un lecteur vidéo YouTube, l'adresse de réseau du utilisateur est transmise au tiers. On peut également se référer à l'article 15, alinéa 3 du TMG, qui traite de la formation des profils des utilisateurs. Les données de profil d'utilisateur sont personnelles, donc personnelles. De manière alternative, leempreinte numérique du dispositif pourrait être utilisée comme information personnelle.

La troisième question est sous-titrée par Article 44 (Principes de transmission des données).

Sur cette base, je considère que la définition juridique suivante du tracking est pertinente (formulée de manière linguistique en tant qu'informaticien):

La traçabilité sur Internet est un transfert de données, qui doit être entouré d'une autorisation, car il peut accéder à des informations dans l'appareil du utilisateur sans motif légitime (et encore moins avec une base juridique supplémentaire), ou parce qu'il est inutile ou évitable, ou parce que le destinataire ne peut pas fournir les garanties suffisantes pour respecter la RGPD.

Définition du tracking d'un point de vue juridique.

Pendant que la définition technique du tracking met l'accent sur le traitement des données, la définition juridique donne déjà une importance au transfert de données. De là découlent des lacunes que j'ai examinées dans un autre article. Dans la définition, la formation de profil d'utilisateur n'a pas de rôle direct, mais est traitée indirectement par le transfert inutile ou évitable de données, car l'adresse IP est déjà une donnée personnelle, elle couvre quasi-totalement le transfert élargi lors de la formation de profil d'utilisateur.

Web Tracking, egal, qu'il soit avec ou sans cookies, est illégal sans consentement. Un consentement est souvent (malheureusement) demandé à l'aide d'un outil de consentement que je considère inutile.

Les conditions d'utilisation de Google exigent une autorisation avant l'intégration de vidéos YouTube. Car, selon ces conditions, il faut demander l'autorisation avant la collecte de données à des fins publicitaires. Malheureusement, le script YouTube charge toujours le traceur publicitaire DoubleClick (au 30.12.2020).

Pour Google reCAPTCHA, il est mentionné dans les conditions d'utilisation que la directive sur l'approbation de l'utilisateur UE doit être respectée.

Le Gestionnaire de balises Google et d'autres services comme Google Maps sont attribués par Google au Google Marketing Platform (voir par exemple là).

Thesen

L'intégration d'outils multiples pour l'analyse statistique des utilisateurs est à considérer comme un suivi.

Les solutions d'acceptation des cookies sont généralement illégales et fonctionnent techniquement sans une adaptation approfondie de la page web utilisée, ce que j'ai montré grâce à une enquête détaillée et en établissant des raisons objectives ainsi que pratiques.

Cookies d'opt-out_, qui permettent aux outils d'analyse de tiers d'être chargés afin d'empêcher la collecte de données en raison de tels cookies (espérons-le), sont inacceptables_

L'utilisation de services dont le fournisseur est inconnu ou qui ne présentent aucune ou une politique de confidentialité opaque et n'offrent aucune garantie, est illégale et même avec l'accord, porte des incertitudes juridiques.

L'intégration de fichiers tiers quelconques sur des sites Web sans garantie avérée, que ces tiers traitent les données personnelles reçues conformément à la RGPD (donc sans effectuer un suivi), est incompatible avec la RGPD.

Outils de suivi populaires

Selon la définition du tracking, certains services entrent dans cette catégorie ou non. Voici quelques catégories de outils de suivi: Landläufig est généralement compris comme le suivre des utilisateurs pour les mieux connaître et ainsi augmenter leurs taux de conversion.

Voici une sélection de outil de suivi largement répandus, destinés à la traçabilité des utilisateurs:

• Google Analytics
• Pixel Facebook
• DoubleClick, DoubleClic pour Google Analytics …; DoubleClick est notamment utilisé par le lecteur de vidéos YouTube
• Google Ads Conversion Tracking
• Plugins de médias sociaux de Facebook, Twitter et les autres.
• Google +1 (sans fonction pour l'exploitant du site web)
• Omniture Analytics (Adobe Analytics)
• Salesviewer
• Xiti Monitoring Traffic (AT Internet)
• Matomo (dans certaines configurations et plutôt dans le cadre d'un fonctionnement en nuage que d'une installation locale)

Outils de suivi cachés

Je les appelle ainsi ici parce que la fonction centrale ne doit pas être le Tracking, mais l'éditeur de chaque outil fournit en réalité (aussi) ces outils pour mener des opérations de Tracking.

• Cartes Google: Rappelle notamment le cookie NID qui est déposé lors de la connexion à un compte Google. Charge Google Web Fonts
• Script de vidéo YouTube: Charge DoubleClick
• Google reCAPTCHA: Siehe Google Maps
• Microsoft Forms: Charge un script de Bing vers (appartient aussi à Microsoft, mais semble inutile pour Forms )

Suivi à l'aide des outils Google

Je suppose que le groupe d'entreprises Google exploite à ses propres fins ou met à la disposition de tiers les données de connexion générées par l'utilisation des services suivants, entre autres:

• Gestionnaire de balises Google: Google utilise les données des utilisateurs qu'elle a collectées à ses propres fins, notamment pour améliorer la publicité*
• Polices Google Web: voir Gestionnaire de balises Google
• Toute autre fichier, qui est appelé d'un Serveur Google ([1]) ([2])
• Serveur DNS Google (8.8.8.8 = Serveur DNS Public de Google). C'est une supposition sans preuves profondes. Qui peut fournir des preuves concrètes, recevra de ma part un prix ! D'après , Google confirme toutefois que les données personnelles (seulement) obtenues via le serveur DNS ne sont pas utilisées pour afficher ciblée publicité. Il est donc possible de suivre les utilisateurs et de leur transmettre ces informations à des tiers qui, en conséquence (de leur propre responsabilité), optimisent leurs publicités.

Google reconnaît d'ailleurs lui-même l'utilisation de données collectées ailleurs. Voici deux sources Google:

Les exploitants de sites web et d'applications transmettent donc des données à Google afin que ce dernier puisse diffuser des publicités personnalisées sur ses propres sites web et ceux de tiers. La publicité personnalisée implique l'identification d'une personne ou l'existence d'un lien avec une personne.

Google et également les exploitants de sites web qui utilisent les services de Google sans autorisation agissent ici à mon avis de manière illégale, car la voie me semble être la suivante:

1. Un utilisateur A visite un site Web quelconque X
2. Sur le site web X, des services Google sont intégrés
3. Google obtient ainsi des données sur l'utilisateur A provenant du site web X
4. Si l'utilisateur A a accepté que ses données soient utilisées ailleurs que sur le site web X, à savoir par Google (voir captures d'écran), Google utilise les données obtenues sur l'utilisateur A via le site web X à d'autres fins, qui ne doivent pas nécessairement être celles du site web X
5. Le site web X n'a (généralement) pas demandé d'autorisation à cet effet ou je n'ai encore jamais remarqué que l'intégration de Google Maps ou de Google Fonts sur des sites web était expliquée par le fait que des données sont transmises à Google et utilisées pour la publicité personnalisée.
6. Le responsable est au moins l'exploitant du site web X, car il transmet des données à caractère personnel de l'utilisateur A. Il est probable que Google soit également responsable. Google Signals, par exemple, permet de combiner des données provenant de différentes sources afin de créer des profils d'utilisateurs.

Consentement obligatoire en raison du transfert de données

Il est possible que les outils suivants (cités à titre d'exemple) ne permettent pas le tracking. Le transfert de données vers des pays tiers peu sûrs comme les États-Unis semble toutefois nécessiter un consentement (ce qui, à mon avis, est clairement le cas):

• Fontes Font Awesome
• Fast Fonts (Fonts.com): Utilisation d'un pixel de comptage principalement à des fins de facturation (quota d'utilisation)
• MailChimp
• MyFonts
• MapBox (utilise OpenStreetMap)
• SoundCloud Audio Player
• CloudFlare (réseau de diffusion de contenu pour les fichiers)

Dans le doute, la personne responsable de la collecte des données doit apporter le preuve de légalité. La responsabilité d'un site web est généralement celle du propriétaire du site, à moins qu'il n'ait réussi à décharger sa responsabilité sur une autre entité. Lorsque les entreprises opèrent à l'échelle mondiale, la responsabilité est souvent attribuée à un entreprise avec un siège social approprié.

Il n'est pas non plus possible sans risque de charger une image à partir d'un serveur externe d'un tiers au lieu d'intégrer directement l'image. En règle générale, le tiers n'effectuera pas d'analyse des utilisateurs sur la base des données de trafic reçues, mais il pourrait le faire.