Publicité sur les sites adultes : traceurs, données et malwares
Une étude de Microsoft et de l'université de Pennsylvanie a analysé vingt deux mille sites pornographiques : la quasi totalité comportait des traceurs tiers. Le contenu est gratuit parce que l'utilisateur est le produit, et les données concernées sont particulièrement sensibles.
Au sommaire
L'étude de référence date de 2019. Menée par des chercheurs de Microsoft, de l'université de Pennsylvanie et de Carnegie Mellon, elle a analysé automatiquement plus de vingt deux mille sites pornographiques.
Les résultats sont nets : la très grande majorité de ces sites comportait au moins un traceur tiers, et la moyenne se situait autour de sept traceurs par site. Une part importante transmettait des informations à des entreprises appartenant aux principaux groupes publicitaires.
Ces chiffres n'ont rien d'exceptionnel comparés au web en général. Ce qui l'est, c'est la nature des données concernées.
Pourquoi ces données sont particulières
Le Règlement général sur la protection des données distingue des catégories particulières, dont les données relatives à la vie sexuelle et à l'orientation sexuelle. Leur traitement est en principe interdit, sauf exceptions limitées, dont le consentement explicite.
Or l'historique de navigation sur un site de contenus adultes révèle précisément cela. Une catégorie consultée, une recherche effectuée, un temps passé constituent des données révélant l'orientation ou les pratiques.
La conséquence juridique est directe : le traitement de ces données à des fins publicitaires exige un consentement explicite, libre et informé. Un bandeau de cookies incitant à l'acceptation ne satisfait pas cette exigence.
La conséquence pratique l'est aussi : ces données transitent par des chaînes d'intermédiaires, courtiers, plateformes d'enchères, et l'étude citée a montré que peu de sites disposaient d'une politique de confidentialité lisible.
Les enchères en temps réel
Le mécanisme central de la publicité en ligne mérite d'être expliqué, car il est mal connu.
À chaque chargement de page, une requête est envoyée à une plateforme d'enchères, contenant un profil de l'utilisateur. Des dizaines d'acheteurs potentiels reçoivent cette requête et enchérissent en quelques millisecondes.
Le point critique : tous les participants à l'enchère reçoivent les données, y compris ceux qui perdent. Un seul afficheur gagne, mais des dizaines d'entreprises ont vu passer l'information.
Ce mécanisme a fait l'objet de plaintes auprès de plusieurs autorités européennes, portant précisément sur l'impossibilité de garantir la confidentialité de données diffusées à un grand nombre d'acteurs. Des procédures sont en cours à l'échelle européenne.
La sécurité, un enjeu réel
Le secteur est historiquement un vecteur de diffusion de logiciels malveillants, pour des raisons structurelles.
Le trafic est massif, ce qui en fait une cible rentable. Une part des annonceurs opère hors des grands réseaux, avec des contrôles plus faibles. Et les utilisateurs sont statistiquement moins enclins à signaler un problème rencontré sur ces sites, ce qui retarde la détection.
Deux techniques dominent.
Le malvertising, qui consiste à faire diffuser une publicité malveillante par un réseau légitime. La charge s'exécute parfois sans clic, par exploitation d'une faille du navigateur.
Le faux lecteur ou la fausse mise à jour, qui demande l'installation d'un composant pour lire une vidéo. Aucun site légitime n'a besoin d'une installation pour diffuser une vidéo depuis 2015.
L'économie du gratuit
Il vaut la peine de comprendre pourquoi le modèle est ce qu'il est.
La bande passante vidéo coûte cher. Un site de contenus gratuits diffuse des volumes considérables, et ses seules recettes proviennent de la publicité, de l'affiliation vers des sites payants et des abonnements premium.
Les taux de conversion vers l'abonnement sont faibles, ce qui explique la densité publicitaire. Et le secteur est fortement concentré : un petit nombre de groupes contrôle l'essentiel de l'audience mondiale, ce qui leur donne un pouvoir de négociation important sur les annonceurs et sur les producteurs.
Cette concentration a des effets au delà de la publicité : elle détermine les conditions de rémunération des créateurs, et elle explique pourquoi les décisions de quelques acteurs, ou de leurs prestataires de paiement, modifient l'ensemble du secteur en quelques jours.
Ce que le régulateur peut
Plusieurs leviers existent en droit européen.
Le RGPD impose un consentement explicite pour les données sensibles, et les autorités nationales ont sanctionné des acteurs publicitaires pour des manquements sur le recueil du consentement.
Le règlement sur les services numériques interdit depuis 2024 la publicité ciblée fondée sur des données sensibles, ce qui inclut explicitement l'orientation sexuelle. Il interdit également le ciblage publicitaire des mineurs.
Plusieurs plateformes de contenus adultes ont été désignées comme très grandes plateformes en ligne, ce qui les soumet à un contrôle direct de la Commission européenne et à des obligations d'audit.
L'application concrète de ces textes est en cours, et son efficacité reste à mesurer.
Questions fréquentes
Combien de traceurs sur un site adulte ?
Une étude portant sur plus de vingt deux mille sites a trouvé une moyenne d'environ sept traceurs tiers par site, la quasi totalité en comportant au moins un.
Ces données sont elles protégées ?
Elles relèvent des catégories particulières du RGPD, car elles révèlent la vie sexuelle ou l'orientation. Leur traitement publicitaire exige un consentement explicite, et le règlement sur les services numériques interdit depuis 2024 le ciblage fondé sur ces données.
Qui reçoit les données lors d'une enchère publicitaire ?
Tous les participants à l'enchère, y compris ceux qui la perdent. Un seul afficheur gagne, mais des dizaines d'entreprises ont reçu le profil transmis.
La navigation privée protège t elle du suivi ?
Non. Elle efface les traces locales mais n'empêche ni le suivi côté serveur, ni l'empreinte du navigateur, ni la transmission de l'adresse IP.
