Vidéos YouTube peuvent être intégrées à des sites web grâce à un script. Cela soulève des problèmes en matière de protection des données, car de nombreuses collectes de données ont lieu dès le chargement de ce script. Même sans visionner réellement la vidéo, l'oiseau est donc déjà mort.
Selon YouTube Conditions d'utilisation, le service est fourni par YouTube LLC, USA. Il obéit donc déjà à l'exigence de consentement en raison du transfert de données dans un pays tiers non sûr conformément à Article 44 RGPD (voir arrêt du CJUE sur Privacy Shield et le Cloud Act). Si on ignore cela, cela ne fera toutefois pas mieux:
Conditions d'utilisation de Google doivent être acceptées pour les services intégrés comme YouTube pour les activités suivantes ([1]) ([2]) :
l'utilisation de cookies ou d'autres formes de stockage local d'informations, dans la mesure où l'obtention d'un consentement est requise par la loi à cet effet ; et la collecte, la transmission et l'utilisation de données personnelles pour la personnalisation des annonces publicitaires.
Source : https://www.google.com/about/company/user-consent-policy/
L'intégration de vidéos YouTube sans paramètres de protection des données élargis n'est pas examinée plus en détail dans cet article, car elle implique l'utilisation de cookies obligatoires qui nécessitent une autorisation. Les conditions d'utilisation du groupe Google lui-même exigent notamment ces cookies: Même la directive ePrivacy exige une autorisation, et c'est une réglementation contraignante pour l'Allemagne, comme le juge la Cour suprême allemande en 2020 dans un arrêt. La réglementation allemande est précisée concrètement à partir de décembre 2021 par § 25 TTDSG. Depuis mai 2024, c'est le TDDDG qui s'applique au lieu du TTDSG. Il est toutefois identique mot pour mot.
Lors de l'intégration de vidéos avec les paramètres de confidentialité élargis activés (youtube-nocookie.com), il se produit ce qui suit:
- Les scripts et autres fichiers sont chargés des domaines youtube-nocookie.com, ytimg.com et _ggpht.com
- Les polices Google sont chargées depuis le domaine gstatic.com
- Le DoubleClick Tracker est chargé depuis le domaine _doubleclick.net ([1])
- YouTube sendet wenige Sekunden nach dem Laden le Seite (or des Videos?) Daten an Google (Beispiel: Zieladresse: https://www.youtube-nocookie.com/youtubei/v1/log_event?alt=json&key=xxxaSyAO_xxxlqU8Q4STEHLGCilw_Y9_11xxxx, Inhalt: {"context":{"client":{"hl":"de","gl":"DE","clientName":50,"clientVersion":"20201110"}},"events":[{"eventTimeMs":1606215721310,"visualElementHidden":{"csn":"T-i8X5q6xxxxx_AP_bSxxxx","ve":{"veType":11123},"eventType":12},"context":{"lastActivityMs":"262"}},{"eventTimeMs":1316245761311,"screenCreated":{"csn":"MCxxxxE3OTAwNzc1NTMzxxxxODY.","pageVe":{"veType":12421},"implicitGesture":{"parentCsn":"T-ixxxx6CNiWx_AP_bS68yy","gesturedVe":{"veType":12211}}},"context":{"lastActivityMs":"263"}},{"eventTimeMs":1102345661336,"foregroundHeartbeatScreenAssociated":{"clientDocumentNonce":"tV2_xxxx-TExxxxs","clientScreenNonce":"MC4wNxxxxTAwNzc1NTxxxxcyxxx."},"context":{"lastActivityMs":"288"}}],"requestTimeMs":"1111111111142","serializedClientEventId":{"serializedEventId":"A-xxxxq6Cxxxx_AP_bSxxxx","clientCounter":"1"}}
- DoubleClick envoie – semble-t-il, avec ou sans action de l'utilisateur et/ou peut-être dès les mouvements du curseur de la souris – des données à Google à intervalles indéterminés
- Malgré le domaine nocookie, un cookie nommé CONSENT est déposé, et cela même si aucun vidéo ne doit être jouée. Ce cookie n'est pas nécessaire en soi et nécessite donc une autorisation.
Ces collecte de données étendues ne sont manifestement pas justifiable par un intérêt légitime. Ainsi, la traitement sans consentement n'est pas conforme à la loi. Vgl. Art. 6 RGPD (bases juridiques) en combinaison avec Art. 5 RGPD (minimisation des données), Art. 25 RGPD (protection des données par la conception technique) et Art. 32 RGPD (sécurité de traitement). Le cookie nommé CONSENT n'est pas non plus consentement exempt, comme le révèle § 25 TTDSG.
Lorsque des vidéos YouTube sont intégrées avec Cookies, elles déposent plusieurs cookies de tiers du domaine youtube.com (avec une durée de vie plus longue) et sont donc seules soumises à l'obligation d'informer . Cela ressort clairement de Article 5, paragraphe 3 de la directive ePrivacy, qui s'applique en substance également à l'Allemagne, comme l'a déclaré le BGH. ([1])
De manière générale, Google précise dans sa déclaration de confidentialité que:
Nous collectons des données, […] comme par exemple […] des vidéos YouTube que vous trouvez intéressantes" et "Si vous êtes connecté à un compte Google, nous collectons également des données que nous stockons dans votre compte Google et que nous considérons comme des données personnelles"
Ainsi, il y a toujours une traitement de données personnelles lorsqu'une page Web intègre un YouTube Video et que le visiteur est connecté à son compte Google. Puisque l'exploitant du site Web ne peut pas obliger le visiteur à se déconnecter de son compte Google avant, il faut toujours demander une autorisation !
Conclusion:
Vidéos YouTube, même sans utilisation de cookies, nécessitent un consentement avant d'être intégrées à une page web via un script YouTube.
Conclusion du point de vue du RGPD et des conditions d'utilisation de Google
Intégrer une vidéo YouTube via IFRAME
Je n'ai que brièvement examiné ce cas jusqu'à présent, car les différences avec l'intégration de scripts ne me sont apparues que récemment. J'en parlerai bientôt plus en détail ici. C'est tout pour l'instant:
Pour un IFRAME, les vidéos YouTube peuvent être intégrées de manière plus respectueuse des données que par un script YouTube. Lorsqu'on utilise l'adresse youtube-nocookie.com, il y a quelques transferts de données lors du chargement de l'Iframe qui ne concernent que cette adresse. Il y a encore beaucoup d'autres transferts, mais pas vers d'autres adresses. Cependant, il existe toujours des événements de suivi après le chargement de l'IFRAME, sans que l'utilisateur ait cliqué sur quoi que ce soit. Ces derniers se produisent même régulièrement (periodiquement?).
En outre, malgré la configuration nocookie, le transfert d'un cookie nommé CONSENT avec la valeur PENDING+107 (ou équivalent) a lieu. De nombreux autres valeurs sont stockées dans LocalStorage:
En plus de la LocalStorage, on utilise également à grande échelle la Session Storage ainsi que la Indexed DB. Ces désignations de stockage ont été extraites de la console du développeur Firefox, qui peut être ouverte en appuyant sur la touche F12. Dans le répertoire Web-Speicher, on peut voir les stocks mentionnés.
La LocalStorage est également un stockage de cookies ! Dans la directive ePrivacy, le mot cookie n'est d'ailleurs pas mentionné. Au contraire, on parle là-bas des informations stockées dans l'appareil du utilisateur. Donc, la directive ePrivacy s'applique aussi à la LocalStorage en Allemagne !
Lorsque le vidéo est ensuite joué, des transferts de données supplémentaires sont effectués vers l'adresse googlevideo.com
L'un dans l'autre, c'est toujours loin d'être respectueux de la vie privée, mais c'est mieux que l'intégration via un script.
Alternatives pour les vidéos YouTube
Les vidéos Vimeo ne constituent pas une bonne alternative aux vidéos YouTube , car elles génèrent également des problèmes de protection des données. Voici un choix d'options respectueuses de la vie privée pour intégrer des vidéos sur votre propre site web:
- HTML standard, par exemple mon contribution au Google Tag Manager et le vidéo intégré à l'intérieur. Fonctionne surtout quand le vidéo n'est pas trop grand. Les capacités des serveurs modernes et les quotas de réseau suffisent pour une gestion autonome de vidéos plus petites pour la plupart des sites web.
- Aperçu avec lien vers la plateforme de vidéo.
- Pas de vidéo: Il est souvent douteux que les vidéos soient utiles, pourquoi ne pas simplement les supprimer, surtout si elles sont des vidéos tierces ?
- Autre plateforme de vidéo (il vaut la peine de regarder des plateformes comme Peertube qui sont associées au Fediverse)
Vidéos téléchargées
Si vous souhaitez absolument télécharger une vidéo sur YouTube, qu'elle soit ensuite intégrée à un site web ou non, vous avez en principe le droit d'obtenir une autorisation pour la vidéo.
Il existe une décision du OLG Dresden du 29.06.2021, Az. 4 W 396/21. Le tribunal a poursuivi Google Ireland Ltd. à un amend de 100.000 euros pour retard dans la libération d'un vidéo. La vidéo contenait des informations sur le coronavirus. Avant cela, un tribunal avait demandé à Google de libérer la vidéo. Mais Google n'a pas obtempéré et a prétendu vouloir vérifier soi-même si la vidéo devait être libérée.
My name is Klaus Meffert. I have a doctorate in computer science and have been working professionally and practically with information technology for over 30 years. I also work as an expert in IT & data protection. I achieve my results by looking at technology and law. This seems absolutely essential to me when it comes to digital data protection. My company, IT Logic GmbH, also offers consulting and development of optimized and secure AI solutions.
