Comment la publicité en ligne ouvre à Gazprom l’accès aux données européennes

La maîtrise des données européennes se joue aussi dans les fractions de seconde nécessaires à l’affichage d’une publicité. Des tests de navigation sur un site espagnol ont identifié un circuit reliant les visiteurs à un domaine enregistré au nom de GPM Digital Technologies, branche numérique de Gazprom. Le point d’entrée n’était ni un service énergétique ni une plateforme russe, mais une page financée par la publicité.

Ce circuit illustre une difficulté structurelle : les données publicitaires des Européens circulent entre des acteurs que l’internaute ne voit pas et dont il ne connaît pas nécessairement le rôle. Le site consulté constitue seulement la première interface d’une chaîne technique susceptible de franchir plusieurs frontières.

Les observations ne permettent pas d’établir l’usage final des informations transmises. Elles mettent en évidence un chemin d’accès, pas une opération de renseignement démontrée. La distinction est essentielle lorsqu’un acteur lié à un groupe contrôlé par l’État russe apparaît parmi les destinataires.

Le parcours des données publicitaires des Européens

Les tests reposaient sur des profils artificiels reproduisant des habitudes ordinaires de navigation : consultation de nouvelles, de résultats sportifs, de prévisions météorologiques ou de contenus de divertissement. Plusieurs localisations étaient utilisées, notamment Madrid, Bruxelles, Moscou et Washington, avec des connexions résidentielles.

Sur le site satirique espagnol Hay Noticia, le navigateur chargeait un cookie provenant de Between Digital, une entreprise russe de publicité numérique. Le dispositif déclenchait ensuite une transmission vers adhigh.net, domaine enregistré au nom de GPM Digital Technologies. C’est ce rapprochement entre le comportement du navigateur et l’enregistrement du domaine qui permet d’identifier le lien avec Gazprom.

La portée du constat reste délimitée. Les observations décrivent une présence plus large de Between Digital sur des sites accessibles dans plusieurs pays, mais le transfert vers le domaine lié à Gazprom a été capté en Espagne. Elles ne permettent donc pas de conclure que tous les internautes exposés à cet intermédiaire ont suivi le même circuit.

Une enchère qui distribue aussi de l’information

Le mécanisme repose sur les enchères publicitaires en temps réel, ou Real-Time Bidding. Lorsqu’une page se charge, un emplacement publicitaire peut être proposé à plusieurs acheteurs potentiels. Des informations sur le contexte de consultation et, selon les dispositifs, des identifiants ou des caractéristiques du navigateur accompagnent cette sollicitation.

L’enjeu ne se limite donc pas à l’entreprise qui remporte l’emplacement. Pour permettre aux candidats d’estimer la valeur d’une impression publicitaire, le système leur communique des éléments sur l’audience. Recevoir une information et acheter effectivement une publicité sont deux opérations distinctes.

Les données publicitaires des Européens peuvent ainsi acquérir une valeur au-delà de la seule vente d’espace. Des consultations répétées peuvent contribuer à caractériser des centres d’intérêt ou des habitudes. Dans certains contextes, elles peuvent permettre des inférences sensibles. Cela ne signifie pas que de telles catégories ont été transmises à Gazprom dans le cas observé : le contenu exact des informations reçues n’est pas établi avec ce degré de précision.

Le droit européen ne s’arrête pas à la frontière

Le cadre applicable ne se résume pas à l’existence d’une bannière de cookies. Le règlement général sur la protection des données, publié sur EUR-Lex, impose notamment une base légale, une information des personnes et des obligations de sécurité. Les traceurs publicitaires nécessitent en principe un consentement préalable au titre des règles européennes sur les communications électroniques.

Un transfert de données personnelles vers un pays tiers ajoute un autre niveau d’exigence. Le chapitre V du RGPD encadre ces opérations pour éviter que la protection garantie dans l’Union soit contournée par un déplacement des informations. La Russie ne bénéficie pas d’une décision européenne d’adéquation. Un transfert doit donc pouvoir relever d’un autre mécanisme autorisé, avec les garanties nécessaires, ou d’une dérogation applicable.

La présence d’un destinataire russe ne suffit pas, à elle seule, à caractériser juridiquement une infraction. Il faut notamment déterminer quelles données sont traitées, par qui, sur quelle base et avec quelles garanties. Inversement, l’apparition d’un bouton d’acceptation ne démontre pas que l’ensemble de cette chaîne respecte ses obligations.

Le contrôle des destinataires devient un enjeu de souveraineté

Le cas Gazprom déplace la question du traçage commercial vers celle du contrôle effectif des destinataires. Une fois les informations transmises, leur réutilisation, leur conservation et les possibilités d’accès par des tiers dépendent aussi de l’environnement juridique et technique du pays de réception. Les obligations européennes ne disparaissent pas, mais leur contrôle devient plus difficile.

Rien dans les éléments disponibles ne démontre un accès des services russes aux informations issues de ces tests. Le risque tient à la capacité créée par la circulation des données, non à un usage clandestin établi. Confondre ces deux niveaux empêcherait de mesurer précisément la défaillance éventuelle.

Pour les autorités de protection et les responsables de sites, le contrôle des données publicitaires des Européens suppose donc de regarder au-delà du fournisseur directement contracté. Identifier les domaines contactés, les destinataires successifs et les garanties de transfert permet de confronter les engagements affichés aux flux réels. C’est dans cet écart entre contrats et fonctionnement des navigateurs que se mesure la maîtrise européenne de l’infrastructure publicitaire.