DoubleClick gardait votre refus dans un cookie. Le bloquer pouvait l’effacer.

Résumé

• La FTC annonça une enquête sur DoubleClick le 16 février 2000. Sa lettre du 22 janvier 2001 clôtura l’affaire : ses services n’avaient pas constaté de rapprochement apparent entre les données personnelles d’Abacus Direct et les traces de navigation non nominatives collectées sur les sites clients.
• Cette même lettre relève qu’un refus du suivi était mémorisé par un cookie DoubleClick. Dans certains navigateurs, l’option générale de blocage effaçait aussi ce cookie. L’entreprise s’engagea à expliquer qu’un retour ultérieur à l’acceptation des cookies imposait un nouveau refus.
• DoubleClick devait aussi décrire ses images invisibles de suivi et corriger une déclaration sur une liste d’e-mails promotionnels. Dans son rapport annuel 2002, elle présentait le blocage des cookies comme une menace pour le ciblage, la mesure publicitaire et la demande pour ses produits.

Le « non » avait besoin d’un endroit où rester

Le geste paraît sans ambiguïté : choisir « refuser les cookies » dans le navigateur. Pourtant, le système de DoubleClick rangeait aussi le refus du ciblage dans un cookie. Le navigateur pouvait alors vider deux choses à la fois, l’identifiant ordinaire et le témoin qui disait de ne plus suivre. Tant que le blocage restait actif, le mécanisme de suivi par cookie restait lui aussi bloqué. Le défaut se révélait au changement suivant : l’internaute réactivait les cookies pour utiliser un site et le refus ancien n’était plus là. Il devait retourner le demander.

La lettre de clôture de la Federal Trade Commission décrit précisément cette séquence. DoubleClick proposait aux consommateurs de cesser sa collecte en demandant un « opt out cookie ». Avec certains navigateurs, sélectionner l’option générale de ne pas accepter ou envoyer de cookies supprimait également ce cookie de refus. L’entreprise accepta d’expliquer, dans la prochaine version de sa politique, qu’un utilisateur qui se remettrait à accepter les cookies devrait se désinscrire de nouveau. Une décision qui ressemblait à un choix durable devenait une tâche à répéter après une modification ordinaire des réglages.

La FTC ne donne ni nombre de personnes concernées ni journal d’une campagne ayant ciblé quelqu’un après cette séquence. Elle nomme les conditions nécessaires : un navigateur dont le réglage efface le témoin, puis un retour à l’acceptation des cookies sans nouveau refus. C’est assez pour voir le problème de conception. Le lieu où l’entreprise rangeait le « non » disparaissait sous l’effet du réglage de confidentialité le plus large.

L’enquête sur les noms s’achève, les détails restent

En février 2000, la FTC avait annoncé examiner les pratiques de DoubleClick au regard de l’interdiction des pratiques déloyales ou trompeuses. La lettre de janvier 2001 explique l’objet central de l’enquête. DoubleClick avait acheté Abacus Direct, société de marketing direct détenant des informations personnelles hors ligne. De son côté, le réseau publicitaire recueillait des traces de navigation sans nom. Les enquêteurs cherchaient à savoir si les deux ensembles avaient été joints et si les données sensibles avaient été employées contrairement aux promesses publiées.

Selon les services de la FTC, il apparaissait que DoubleClick n’avait pas combiné les informations nominatives d’Abacus avec les traces de navigation de ses sites clients. Il apparaissait aussi qu’elle n’avait pas utilisé ni communiqué les informations personnelles au-delà des usages annoncés et n’avait pas employé les données sensibles pour le marketing de préférences en violation de sa politique. L’enquête fut clôturée, la Commission se réservant le droit d’agir plus tard.

L’histoire du cookie de refus appartient à ce même dossier : l’autorité pouvait fermer l’enquête sur la fusion redoutée des fichiers tout en consignant un mécanisme de choix mal expliqué.

La lettre détaille d’autres écarts entre produit et explication. DoubleClick utilisait des images transparentes, ou « web bugs », pour suivre la progression des visiteurs dans des sites et recueillir des informations ; elle accepta de décrire cette pratique dans sa prochaine politique. Son service Internet Address Finder disait ne pas vendre de listes de noms, d’adresses ou d’e-mails, alors qu’une liste promotionnelle sur inscription, gérée par un partenaire, constituait une exception. L’entreprise accepta de la préciser. Chaque correction portait sur un outil ou une phrase identifiable, pas sur une promesse abstraite de vertu.

La FTC décrivait également Boomerang, qui utilisait des données d’un site pour cibler le même internaute sur d’autres sites. D’après la lettre, les profils employés pour ce produit ne contenaient que des informations non nominatives. Pour les nouveaux clients, DoubleClick imposait contractuellement que le site annonce l’usage du service avant son installation. Elle accepta aussi de prévenir la FTC avant le lancement commercial d’un futur produit couvert par les principes de la Network Advertising Initiative. La frontière de responsabilité passait par le navigateur, le réseau publicitaire et les sites qui achetaient le service.

Le même cookie servait la vente et la sortie

Le 10-K 2002 de DoubleClick montre l’autre côté de la table. La société disait que les outils bloquant les publicités ou les cookies pouvaient réduire l’efficacité de ses produits et la demande des clients. Elle utilisait les cookies pour cibler et mesurer les annonces. Le réglage de refus général menaçait donc une partie du service vendu aux annonceurs. Le cookie spécifique de désinscription était, dans le même temps, la façon de maintenir une exception à ce service.

La contradiction tient dans l’état du navigateur. Un serveur peut reconnaître un cookie portant un refus. Supprimer tous les cookies empêche aussi la reconnaissance de ce refus. Quand l’utilisateur rouvre le stockage, le serveur reçoit les nouveaux échanges sans retrouver par magie l’ancien témoin spécial. Une politique plus claire informe la personne de cette fragilité ; elle ne transforme pas le témoin effacé en préférence durable. La lettre de la FTC a enregistré un engagement d’explication, pas un nouveau système de mémoire indépendant des cookies.

La responsabilité pouvait facilement se renvoyer d’un acteur à l’autre. Le navigateur décidait quand vider les données locales. DoubleClick choisissait de conserver le refus dans un cookie et de le reconnaître sur ses serveurs. Les sites clients accueillaient le dispositif et publiaient leurs propres avis. L’internaute actionnait un bouton de blocage, sans pouvoir empêcher que le serveur oublie son refus après la suppression du témoin. La FTC examinait si les pratiques et les avis racontaient la même chose. Le bug de continuité traversait toutes ces couches.

Une affaire classée, un choix à recommencer

La clôture de janvier 2001 n’était ni une amende ni une ordonnance judiciaire. Elle laissait dans le domaine public une description rare du fonctionnement concret d’un refus en ligne. On parle souvent de confidentialité en termes de bases de données, de consentement ou de politiques. Ici, la question est plus petite et plus coupante : où est rangé le refus, et que devient-il lorsqu’on efface cet endroit ?

Pour savoir si une personne précise fut ensuite ciblée, il faudrait l’historique de son navigateur, l’état des cookies et les journaux de diffusion publicitaire. La lettre n’en contient pas. Elle décrit en revanche le chemin qui rendait un nouveau refus nécessaire. Cette distinction suffit à écarter une histoire inventée de victimes et à garder l’architecture sous les yeux.

DoubleClick pouvait annoncer un choix. Le navigateur pouvait annoncer un blocage encore plus énergique. L’utilisateur pouvait penser que le second protégeait le premier. Dans certains cas, le second effaçait le témoin qui permettait au premier de durer. La solution promise dans la lettre consistait à prévenir qu’il faudrait redire non. La mémoire de ce non restait enfermée dans le bocal que l’utilisateur venait de vider.