Archives par mot-clé : Web

Google Analytics, outil de mesure d’audience le plus utilisé au monde : toujours illégal en Europe ?

Publié le par

Il y a un an, la Cnil mettait en demeure une première société française éditrice d’un site web utilisant Google Analytics, jugé incompatible avec le RGPD quant au transfert des données vers les Etats-Unis. Deux autres sociétés ont été aussi épinglées sur les 101 plaintes de l’association Noyb.

Il y a plus de trois mois, Russell Ketchum (photo de gauche), directeur de Google Analytics, confirmait qu’Universal Analytics sera remplacé 1er juillet 2023 par la version 4 de Google Analytics (GA4), tandis qu’« Universal Analytics 360 » sera, lui, finalement prolongé jusqu’au 1er juillet 2024 (1), soit au-delà du 1er octobre 2023 initialement prévu (2). Quésaco ? Universal Analytics est la version basique et gratuite de l’outil de mesure d’audience le plus utilisé au monde par des sites web et des applications mobiles.

Le transfert des données vers les USA
Google Analytics détient en effet 86,1 % de parts de marché au 7 février 2023 en étant utilisé par 56,5 % de tous les sites web, selon W3Techs, suivi par Facebook Pixel et de bien d’autres analyseurs de trafic (3). « Universal Analytics 360 » est, elle, la version premium payante de Google Analytics destinée principalement aux grandes entreprises. Edition Multimédi@ a demandé à Google si GA4 répondait aux préoccupations des Européens sur la protection de leur vie privée, conformément au règlement général sur la protection des données (RGPD), et notamment aux mises en demeure prononcées par la Cnil en décembre 2021 et en décembre 2022 ? « Nous avons en effet récemment introduit de nouvelles fonctionnalités pour Google Analytics 4 qui permettent par exemple aux sites web de ne pas enregistrer ni stocker les adresses IP via GA4, ou encore de minimiser les données collectées concernant l’utilisateur, ce qui peut ainsi aider à répondre aux préoccupations d’identification des utilisateurs. Cependant, le véritable problème au cœur de tout cela reste les transferts de données entre l’Union européenne et les Etats-Unis qui manquent d’un cadre juridique stable pour les entreprises européennes et américaines », nous a répondu le géant du Net. Et d’ajouter : « Nous considérons que l’Executive Order récent[d’octobre 2022, ndlr] de la Maison Blanche est une étape importante dans ce travail » (4). De quoi rassurer les éditeurs de sites web et d’applis mobiles utilisant Google Analytics et les « Cnil » en Europe qui les surveillent voire les sanctionnent ? Rien n’est moins sûr. Il y a un an en France, le 10 février 2022, la Cnil mettait en demeure la toute première société pour non-respect du RGPD pour l’utilisation de Google Analytics pour mesurer son audience web (5). La Cnil considère implicitement que Google Analytics est ni plus ni moins illégal au regard du RGPD pour deux motifs principaux : les mesures mises en place par Google ne sont pas suffisantes pour exclure la possibilité d’un accès aux données de résidents européens ; les données des internautes européens sont donc transférées illégalement vers les Etats-Unis par le biais de ce même outil. Cette première décision de la Cnil a été publiée il y a un an, mais de façon anonymisée, pour l’exemple (6). Mais il s’agit de l’une des trois sociétés françaises utilisant Google Analytics contre lesquelles l’organisation autrichienne Noyb dirigée par Max Schrems (photo de droite) avait déposé plaintes – parmi un total de 101 plaintes (7) déposées en août 2020 – auprès des « Cnil » européennes, dénonçant des transferts illégaux de données à caractère personnel vers les Etats-Unis.
La Cnil en France avait ainsi été destinataire de trois plaintes à l’encontre de respectivement Decathlon, Auchan et Sephora. Parallèlement, concernant cette fois l’outil Facebook Connect, la Cnil était aussi saisie de trois autres plaintes à l’encontre de Free Mobile, Leroy Merlin et Le Huffington Post. Après sa première décision concernant Google Analytics, la Cnil mettra également en demeure les deux autres sites web mis en cause (parmi Decathlon, Auchan et Sephora). Ce dont se félicitera à nouveau la Noyb le 5 avril 2022 dans un communiqué où sont mises en ligne les deux autres décisions de la Cnil, là aussi anonymisées (8). Ces trois sociétés disposaient d’un délai d’un mois – renouvelable à leur demande – pour se mettre en conformité et justifier cette conformité auprès de la Cnil.
Mais la Cnil n’a pas été la première à épingler les éditeurs de services en ligne qui utilisent Google Analytics. Son homologue autrichienne – la Datenschutzbehörde (DSB) – avait ouvert la voie deux semaines avant dans une décision inédite datée du 22 décembre 2021 et considérée comme « révolutionnaire » par la Noyb (9).

L’Italie, la Grèce mais pas l’Espagne
Ce fut la première fois en Europe que l’utilisation de Google Analytics est considérée comme une violation du RGPD. D’autres décisions ont été prises par d’autres autorités en Europe – la Grèce par décision de l’APD de janvier 2022 (10) et l’Italie par décision de la GPDP de juin 2022 (11) – à l’encontre de l’utilisation de « GA ». En revanche, la « Cnil » espagnole – l’AEDP – n’a pas suivi ni ses homologues européennes ni la CEPD en publiant le 15 décembre 2022 une décision rejetant la plainte de Noyb (12). Ces premières décisions sur les 101 plaintes déposées par Noyb faisaient suite à la décision de 2020 dite « Schrems II » de la Cour de justice de l’Union européenne (CJUE) estiment que l’utilisation des services Internet américains violait le RGPD, car les lois de surveillance américaines exigent que les Google, Facebook et autres Twitter fournissent aux autorités américaines des détails personnels sur leurs utilisateurs, mêmes Européens.

Le spectre de la loi américaine FISA
Par exemple, la loi américaine FISA – Foreign Intelligence Surveillance Act – autorise expressément la NSA – National Security Agency – à collecter les données personnelles des utilisateurs situés hors des Etats-Unis si ces data sont stockées sur des serveurs américains. Autre texte américain, présidentiel celui-ci : l’OE – Executive Order – numéro 12.333 qui renforce les services de renseignement aux Etats-Unis depuis Ronald Reagan et George W. Bush. C’est pour ces raisons que la CJUE avait annulé en 2020 l’accord de transfert « Privacy Shield » (décision « Schrems II » de 2020), après avoir annulé l’accord précédent « Safe Harbor » (décision « Schrems I » de 2015). Cela provoqua une onde de choc pour les GAFAM qui les secouent encore aujourd’hui (13). « Nous nous attendons à ce que des décisions similaires tombent progressivement dans la plupart des Etats membres de l’UE. Nous avons déposé 101 plaintes dans presque tous les Etats membres et les autorités [les « Cnil » européennes, ndlr] ont coordonné la réponse », s’était félicité Max Schrems. Il est prêt à attaquer à nouveau devant la CJUE la nouvelle décision sur le transfert des données « UE-USA » (14) publiée par la Commission européenne le 13 décembre dernier (15). Dans la foulée de la décision de la DSB en Autriche, le Contrôleur européen de la protection des données (CEPD) – regroupant les « Cnil » européennes – avait également rendue une semaine avant une décision commune similaire (16). S’il devait y avoir sanction, le RGPD prévoit qu’elle peut aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial de l’entreprise du Net.
C’est justement parce que Google Analytics est largement utilisé par une écrasante majorité d’éditeurs de services en ligne que la Cnil avait décidé d’anonymiser ses trois décisions. « Il ne paraissait pas utile de citer le nom d’un éditeur de site en particulier, l’usage de cet outil étant très répandu. L’objectif est que l’ensemble des responsables de traitement utilisant cet outil se mette en conformité », justifiait ainsi le gendarme des données personnelles. Il avait d’ailleurs mis en garde tous les éditeurs concernés : « Tous les responsables de traitement utilisant Google Analytics d’une façon similaire à ces organismes doivent considérer dès à présent cette utilisation comme illégale au regard du RGPD. Ils doivent donc se tourner vers un prestataire proposant des garanties suffisantes de conformité ». D’après la Cnil, les trois sociétés mises en demeure avaient établi avec Google des clauses contractuelles types, proposées par défaut. Or ces dernières ne peuvent assurer seules un niveau de protection suffisant en cas de demande d’accès d’autorités étrangères, notamment si cet accès est prévu par des lois locales. En réponse au questionnaire envoyé par la Cnil, Google a indiqué que l’ensemble des données collectées par le biais de Google Analytics était hébergé aux Etats-Unis. Néanmoins, avait mentionné le gendarme français des données personnelles le 7 juin 2022, « Google avait indiqué avoir mis en place des mesures supplémentaires d’ordre juridique, organisationnel et technique, qui ont cependant été jugées insuffisantes pour assurer la protection effective des données personnelles transférées, en particulier contre des demandes d’accès aux données par des services de renseignement états-uniens » (17).
La Cnil avait en outre fait savoir que Google avait indiqué utiliser des mesures de pseudonymisation (18), mais non d’anonymisation (19). « Google propose bien une fonction d’anonymisation des adresses IP, a constaté la Cnil, mais celle-ci n’est pas applicable à tous les transferts. En outre, les éléments fournis par Google ne permettent pas de déterminer si cette anonymisation a lieu avant le transfert aux Etats-Unis ». Autre problème que pose Google Analytics : la réidentification de l’internaute. En effet, la seule utilisation d’identifiants uniques permettant de différencier les individus peut amener à rendre les données identifiables, en particulier lorsqu’elles sont associées à d’autres informations telles que les métadonnées relatives au navigateur et au système d’exploitation.

Data et navigation : le risque de suivi demeure
De plus, l’utilisation de Google Analytics avec d’autres services de Google, notamment marketing, peut amplifier le risque de suivi. « En effet, explique la Cnil, ces services, très utilisés en France, peuvent permettre un recoupement de l’adresse IP et ainsi de retracer l’historique de navigation de la majorité des internautes sur un grand nombre de sites ». Quant au chiffrement de données par Google, il s’est avéré insuffisant car Google procède lui-même au chiffrement des données et a l’obligation d’accorder l’accès ou de fournir les données importées qui sont en sa possession, y compris les clés de chiffrement nécessaires pour les décrypter. @

Charles de Laubier

Protection des données en Europe : pour le CEPD, le groupe Meta ne peut imposer sa loi

Publié le par

Facebook, Instagram et WhatsApp (réseaux sociaux du groupe Meta) ont été épinglés par la « Cnil » irlandaise, la DPC, pour ne pas avoir respecté le règlement européen sur la protection des données (RGPD). Mais faute de consensus avec ses homologues des Vingt-sept, le CEPD a eu le dernier mot.

Par Jade Griffaton et Emma Hanoun, avocates, DJS Avocats

Après cinq ans de procédure, deux sanctions ont été annoncées respectivement les 4 et 19 janvier 2023 pour un total de 395,5 millions d’euros pour le non-respect des mesure imposées par le règlement européen sur la protection des données personnelles (RGPD). Il s’agit de trois amendes infligées à Meta en Irlande par la DPC, la commission de protection des données, à savoir la « Cnil » irlandaise (1). Au coeur du débat : la publicité ciblée pour les utilisateurs des réseaux sociaux du groupe : Facebook (210 millions d’euros d’amende), Instagram (180 millions) et WhatsApp (5,5 millions). Des enquêtes avaient été entreprises après des plaintes de l’organisation autrichienne Noyb (2) pour la protection de la vie privée, fondée par Max Schrems.

Un contexte procédural complexe
La société Meta Ireland est au coeur des discussions depuis plusieurs années. Dès 2021, Facebook fait l’objet d’une fuite de données personnelles de plusieurs millions de ses utilisateurs menant à l’ouverture d’une enquête par l’autorité irlandaise de protection des données. A la suite de l’enquête, Meta a été condamnée le 25 novembre 2022 à une amende de 265 millions d’euros pour avoir violé ses obligations de sécurisation des données (3). En mars 2022, l’autorité irlandaise avait déjà infligé une amende de 17 millions d’euros à Meta (4), qui n’avait pas pu démontrer la mise en place « de mesures techniques et organisationnelles appropriées […] pour protéger les données des utilisateurs » de l’Union européenne (UE). En parallèle, en France, la Cnil a condamné en janvier 2022 l’entreprise Meta à une amende de 60 millions d’euros en raison de l’impossibilité pour les utilisateurs de refuser simplement les cookies (5). En plus de cette amende, la Cnil avait ordonné une injonction sous astreinte de mettre à disposition des internautes français, dans un délai de 3 mois à compter de la notification de la décision, un moyen permettant de refuser les cookies aussi simplement que celui pour les accepter afin de respecter le consentement de chaque utilisateur. Et par deux décisions – respectivement en date du 31 décembre 2022 concernant Facebook et Instagram pour 390 millions d’amendes (6) et du 12 janvier 2023 concernant WhatsApp pour 5,5 millions d’amende (7) –, l’autorité irlandaise a infligé à Meta ces trois amendes totalisant près de 400 millions d’euros pour manquement à plusieurs principes imposés par le RGPD (8) dont le principe de transparence et le principe de licéité des traitements de données à caractère personnel. Ces dernières décisions font suite à de nombreux débats entre les différentes autorités de contrôle européennes que sont les différentes « Cnil » dans les Vingt-sept.
En effet, dans le cadre de la procédure de consultation des autorités de contrôle concernées par l’autorité de contrôle « chef de file » mise en place par l’article 60 du RGPD, en l’occurrence la DPC dans ces procédures « Meta », les projets de décisions préparés en 2021 par l’autorité irlandaise ont été soumis aux régulateurs homologues de l’UE qui ont soulevé un certain nombre d’objections. Face à l’absence de consensus, l’autorité irlandaise a alors saisi le Comité européen de la protection des données (CEPD) – ou, en anglais, EDPB (9) – pour consultation sur les points litigieux, en vertu de l’article 65 du RGPD. Ce dernier a alors rendu trois décisions contraignantes le 5 décembre 2022 relatives aux activités de traitement de données à caractère personnel par Facebook, Instagram et WhatsApp (10). L’autorité irlandaise a alors intégré ces conclusions dans ses trois décisions – celles datées du 31 décembre 2022 à l’encontre de Facebook (210 millions euros d’amende) et d’Instagram (180 millions euros), ainsi que dans celle du 12 janvier 2023 à l’encontre de WhatsApp (5,5 millions d’euros d’amende). Dans le cadre de ses projets de décisions d’octobre 2021, l’autorité irlandaise relevait, de la part des sociétés Facebook, Instagram et WhatsApp, un manquement à leur obligation de transparence édictée par le RGPD (11). En effet, l’autorité irlandaise considère que les utilisateurs des services Meta ne disposent pas d’une clarté suffisante quant aux opérations de traitement effectuées sur les données à caractère personnel, à quelle(s) finalité(s) et quelle(s) base(s) légale(s) parmi celles identifiées à l’article 6 du RGPD.

L’absence de consensus européen
Les décisions contraignantes rendues par le CEPD le 5 décembre 2022 confirme cette position en ce qui concerne la violation par Facebook, Instagram et WhatsApp de leur obligation de transparence, sous réserve de l’insertion d’une violation supplémentaire, celle du principe de loyauté édicté par le RGPD (12). Alors que la « Cnil » irlandaise considère, dans ses projets de décisions soumis au CEPD, que le recours de Meta Ireland au contrat constituait une base juridique pour certains traitements des données personnelles, ses homologues européens ont soulevé des objections sur ce point. En cause : le rejet par la DPC de la notion de « consentement forcé », s’appuyant sur le contrat entre les utilisateurs et Meta pour légitimer les traitements concernés. Dans les cas Facebook et Instagram, la question était de savoir si la diffusion de publicité personnalisée ou comportementale constituait, ou non, un des services personnalisés inclus dans les services plus largement fournis par Facebook et Instagram au titre du contrat conclu avec ses utilisateurs.

Impact important sur les plateformes
En effet, dans l’affirmative, ce service pourrait être considéré comme licite au sens de l’article 6 du RGPD, sans nécessité de solliciter le consentement des personnes concernées – systématiquement requis pour les traitements ayant pour finalité la publicité – en se fondant sur la base juridique de « l’exécution d’un contrat auquel la personne concernée est partie ». Selon l’autorité irlandaise, ce service personnalisé fait partie intégrante du contrat conclu entre le fournisseur de services et ses utilisateurs, et a été accepté par ces derniers au moment où ils acceptent les conditions d’utilisation des services. Ainsi, le consentement de l’utilisateur au traitement serait implicitement déduit de l’acceptation d’utiliser le service Meta. Cette réalité est au coeur du modèle économique de la firme de Mark Zuckerberg, dont la rentabilité se fonde sur les revenus publicitaires nécessitant la collecte massive et la réutilisation gratuite des données personnelles de ses utilisateurs à des fins de publicité comportementale. Andrea Jelinek, présidente du CEPD, a d’ailleurs déclaré que les décisions du comité pouvaient « avoir un impact important sur d’autres plateformes qui ont des publicités comportementales au centre de leur modèle d’affaires » (13).
Dans le cas WhatsApp, l’enjeu consistait à déterminer si le fait de subordonner l’accès des services WhatsApp à l’acceptation par les utilisateurs des conditions générales mises à jour (les services ne seraient alors pas accessibles si les utilisateurs refusaient de le faire), revenait ou non à « forcer » les utilisateurs à consentir au traitement de leurs données personnelles à des fins d’amélioration et de sécurité du service. Selon le point de vue de la « Cnil » irlandaise, le service fourni par WhatsApp comprend l’amélioration du service et la sécurité, nécessaire à l’exécution du contrat conclu avec les utilisateurs, de sorte que de telles opérations de traitement étaient licites au regard de l’article 6 du RGPD. Les autres « Cnil » européennes concernées par ces traitements ont soulevé – tant pour les cas Facebook et Instagram que pour le cas WhatsApp – des objections et ont estimé que les finalités de publicité personnalisée et d’amélioration du service et de sécurité ne sont pas considérées comme nécessaires pour exécuter les éléments essentiels du contrat conclu avec les utilisateurs. Face à l’absence de consensus sur ces points, le CEPD a par conséquent été consulté par l’autorité irlandaise, dans le cadre de la procédure issue de l’article 65 du RGPD, afin qu’il tranche sur les questions litigieuses.
Dans ses décisions rendues le 5 décembre 2022, le CEPD adopte, sur le fondement de l’article 6 du RGPD, la position selon laquelle Meta Ireland ne peut par principe invoquer le contrat comme constituant une base juridique pour traiter les données à caractère personnel à des fins de publicité comportementale (cas Facebook et Instagram) et d’amélioration et de sécurité. Le CEPD se distingue alors des autorités européennes qui soulevaient qu’un tel traitement ne satisfait pas à la condition de nécessité (en d’autres termes, la publicité personnalisée n’est pas nécessaire à l’exécution d’un contrat avec les utilisateurs de Facebook et Instagram), et rend des décisions de principe par application stricto sensu du RGPD.
Reflet du pouvoir contraignant du CEPD, l’autorité irlandaise a donc intégré cette solution dans les deux décisions rendues le 31 décembre 2022 à l’encontre de Facebook et Instagram. Il est exigé une mise en conformité avec le RGPD dans un délai de trois mois à compter de la décision – autrement dit d’ici au 31 mars prochain. De même, le 12 janvier 2023, l’autorité irlandaise a accueilli cette solution dans sa décision à l’encontre de WhatsApp, en lui ordonnant de se mettre en conformité dans un délai de six mois – soit d’ici le 12 juillet prochain.
A l’heure où il est indéniable que la donnée est le nouvel « or noir » du XXIe siècle, les entreprises doivent adopter des méthodes et techniques, et ce dès la conception de leur modèle économique, afin de protéger convenablement les données personnelles, comme l’exige le RGPD. Il apparaît désormais vital pour les entreprises d’anticiper les implications de leur conformité dès la conception de leurs projets impliquant des traitements de données personnelles (« Privacy by Design »).

Les internautes reprennent la main
On constate aujourd’hui que les internautes, surtout ceux résidant dans l’UE, cherchent, dans le cadre d’une approche « Privacy First », à utiliser des services respectueux de leur vie privée et prennent en compte la question de la protection des données personnelles les concernant comme condition à l’utilisation de tels services. Les entreprises traitant massivement les données personnelles, et notamment les GAFAM, se trouvent alors confrontées à cette problématique qui tend à modifier considérablement leur modèle économique. Il est aujourd’hui indispensable de se demander de quelle manière et à quel moment il est opportun d’appréhender la question de la protection de la donnée. @

Les influenceurs sous l’oeil de Bercy et de l’UMICC

Publié le par

En fait. Le 31 janvier se termine la « concertation » sur les influenceurs lancée le 8 janvier par Bruno Le Maire, ministre de l’Economie, des Finances et de la Souveraineté industrielle et numérique, lequel prendra en mars des « mesures » d’« encadrement » de ce métier. Parallèlement, l’UMICC s’est constituée.

En clair. « Les 150.000 créateurs de contenus que compte la France font partie de nos vies et sont une formidable source de créativité et de richesse lorsque les règles sont claires et connues », avait déclaré Bruno Le Maire, ministre de l’Economie, aussi en charge de la consommation et du numérique, sur Twitter le dimanche 8 janvier dernier. « J’ai besoin de vous. Participez au maximum à la concertation pour mieux accompagner et encadrer les influenceurs. Votre avis compte ! » (1). Bercy veut annoncer « des mesures retenues courant mars » en fonction des contributions à la consultation publique ouverte en ligne jusqu’au 31 janvier (2).
« La réflexion (…) doit permettre de protéger les consommateurs et les créateurs de contenus », assure le ministère de Bruno Le Maire, qui avait organisé le 9 décembre 2022 une table ronde avec des agences, des influenceurs, des annonceurs et la Direction générale de la concurrence de la consommation et de la répression des fraudes (DGCCRF), rattachée à Bercy (3). Tandis que, parallèlement, trois propositions de loi pour réguler les influenceurs ont été déposées par de nombreux députés. Sont soumises à commentaires onze mesures, déclinées en quatre thématiques : droits et obligations des influenceurs ; propriété intellectuelle ; protection des consommateurs ; gouvernance du secteur. Pour ce dernier point, il s’agit de créer «un label » et de créer « une fédération professionnelle ».
C’est ce qu’entreprend l’Union des métiers de l’influence et des créateurs de contenu (UMICC) fondée le 18 janvier par sept agences d’influence marketing : Smile Conseil, Bump, Follow, Point d’Orgue, Reech, Influence4You et Spoutnik. « Webedia a fait sa demande d’adhésion et 80 autres acteurs également, tandis qu’une centaine de créateurs de contenu ont fait part de leur volonté d’adhérer », indique à Edition Multimédi@ Carine Fernandez, présidente de l’UMICC. Toutes les agences sontelles les bienvenues ? « Concernant Shauna Events [agence de la “papesse de l’influence” Magali Berdah, ndlr] et We-Events [du groupe AWPG de l’animateur Arthur, ndlr], ils pourraient en faire la demande. Cependant, pour l’heure et en l’état, au regard des accusations qui sont portées, nous ne souhaitons pas que ces agences et certains influenceurs qui ne respectent aucune règle déontologique ou éthique puissent être membres de l’UMICC », nous précise-t-elle. @

La 5G tant vantée poursuit lentement son décollage

Publié le par

En fait. Le 10 février, l’Arcep dévoilera les chiffres de son observatoire des services mobiles pour le quatrième trimestre. Selon les estimations de Edition Multimédi@, le parc de la 4G dépasserait pour la première fois les 70 millions de cartes SIM en France. En revanche, la 5G resterait sous la barre des 10 millions.

En clair. La 5G fait toujours pâle figure en France, alors que les quatre opérateurs télécoms (Orange, Bouygues Telecom, Free Mobile et SFR) promettaient au grand public du très haut débit mobile et de nouveaux usages, avec des débits jusqu’à dix fois supérieurs à ceux de la 4G (1). Force est de constater que, depuis les débuts de la commercialisation de la 5G il y a plus de deux ans, les clients mobiles (forfaits ou prépayés) ne se précipitent pas. Selon les chiffres de l’Arcep publiés le 12 janvier dernier sur le troisième trimestre 2022 du marché des communications électroniques, le nombre de cartes SIM actives en 5G ne dépasse pas les 6,2 millions (2) – ne pesant que 7,5 % du parc de carte mobiles actives en France. Et bien loin des 69,7 millions de clients 4G.
Si la croissance trimestrielle d’un peu plus de 21,5 % observée au troisième trimestre s’est poursuivie au quatrième trimestre l’an dernier, selon l’hypothèse basse de Edition Multimédi@, la 5G terminerait l’année 2022 avec à peine plus de 7,5 millions de clients mobiles – pesant seulement 9% du parc mobile total. Et toujours très loin des quelques 70 millions d’abonnés 4G attendus à fin 2022. Même en prenant cette fois une hypothèse haute intégrant l’effet « cadeaux de Noël », la 5G devrait rester sous la barre des 10 millions de clients. Comme l’Arcep ne précise pas dans son observatoire des services mobiles les chiffres de la 5G (ni de la 4G ni de la 3G), il faudra attendre finalement non pas le 10 février mais le 6 avril prochain pour avoir la confirmation de cette tendance poussive. @

La BEI, la CDC et le groupe Axel Springer soutiennent toujours le moteur de recherche Qwant

Publié le par

La Banque européenne d’investissement (BEI) lui a accordé « un rééchelonnement raisonnable » de sa dette. La Caisse des Dépôts (CDC) et le groupe allemand Axel Springer sont toujours ses plus importants actionnaires. Ayant échappé à la banqueroute, Qwant pourra fêter ses dix ans en 2023.

« Face à la domination sans réel partage de Google, la concurrence européenne s’organise. C’est le cas de Qwant, moteur de recherche franco-allemand qui tente de percer en assurant à ses utilisateurs un respect total de leur vie privée et des contenus non violents pour les plus jeunes », peut-on encore lire sur le site web (1) de la Banque européenne d’investissement (BEI), le plus gros créancier de Qwant. Il y a sept ans, la start-up française bénéficiait d’un prêt de la BEI de 25 millions d’euros.

Sa situation financière reste fragile
L’annonce de ce prêt européen avait été faite en grande pompe lors de la grande conférence numérique franco-allemande qui avait eu lieu le 28 octobre 2015 à l’Elysée, en présence d’un certain Emmanuel Macron (2), alors ministre français de l’Economie, de l’Industrie et du Numérique. L’eau a depuis coulé dans le Rhin et la société franco-allemande – vedette de la French Tech promue par celui qui est devenu en 2017 président de la République – a dû faire face cette année à deux échéances de remboursements de la BEI. Mais au lieu de devoir régler 5 millions d’euros en janvier et 10 millions d’euros en juin, l’entreprise a obtenu de la banque au Luxembourg « un rééchelonnement raisonnable de la dette », indique Raphaël Auphan (photo), directeur général de Qwant, à Edition Multimédi@.
Les nouvelles échéances sont confidentielles. Il nous précise que sur les 25 millions d’euros initialement annoncés en 2015, ce sont finalement 20 millions d’euros qui ont été tirés par l’entreprise auprès de la BEI. Qwant s’était endetté non seulement auprès de la BEI mais aussi en janvier 2017 auprès de la Caisse des dépôts (CDC) à hauteur de 15 millions d’euros. A cela s’ajoutaient 5 millions d’euros levés auprès du groupe de médias allemand Axel Springer, son actionnaire historique (3). Qwant doit en outre 3millions d’euros à l’Etat au titre du prêt garanti par celui-ci (PEG) accordé durant la crise sanitaire. « La dette de Qwant n’a pas diminué en 2021 », nous indique Raphaël Auphan, par rapport aux 39,3 millions d’euros d’endettement de 2020. Quant au prêt de 8 millions d’euros consenti en mai 2021 par le chinois Huawei sous forme d’obligations convertibles, « il s’agit d’une dette qui sera bientôt remboursée ». Et l’accord de « l’utilisation du moteur de recherche sur les smartphones Huawei arrive aussi à échéance ». L’an dernier, l’entreprise a réalisé un chiffre d’affaires de 10,3 millions d’euros (4), pour une perte nette de 9,2 millions d’euros. Alors qu’en 2020 le déficit était de 12,8 millions pour un chiffre d’affaires de 7,5 millions d’euros (5). La situation financière reste fragile, mais Qwant peut compter sur le soutien de ses deux principaux actionnaires – Axel Springer et la CDC – qui ont réinjecté en 2020 de l’argent frais. Le premier était entré à hauteur de 18,4 % du capital de Qwant en 2014, via son fonds Axel Springer Digital Ventures, mais sa participation est moindre depuis l’entrée de la CDC.
Après l’ère de son PDG fondateur Eric Léandri (6), lequel a été contraint en janvier 2020 de passer les rênes de l’entreprise mal en point, Qwant a pris un nouveau départ début juillet 2021 avec une nouvelle direction : le tandem actuel composé de Corinne Lejbowicz, présidente, et Raphaël Auphan. « Nous sommes une tech de croissance et nous avons un plan de développement qui demandera de nouveaux moyens financiers », explique le directeur général. Qwant ne cesse d’innover. Il indique par exemple qu’« une offre spécifique de moteur de recherche, toujours gratuit, respectueux de la vie privée et sécurisé, sera proposée en 2023 aux entreprises ». Son offre « privacy » va s’étoffer. En plus de Qwant Search (moteur principal), Qwant Junior (dédié aux 6-12 ans), Qwant Maps (service de cartographie « sans laisser de traces »), Qwant VIPrivacy (extension de navigation anti-tracking publicitaire) et bientôt de Qwant pour les entreprises, d’autres produits sont en projet, dont un éventuel VPN (réseau privé virtuel). Depuis juin, le moteur de recherche permet de traduire ses textes dans 28 langues grâce à un partenariat avec la société allemande DeepL.

Développer son propre « master index »
Pour autant, Qwant reste encore dépendant de l’index Bing de Microsoft et de sa régie publicitaire Bing Ads. « Nous poursuivons le développement de notre propre master index, actuellement de 10 milliards de documents. Et sur certains segments comme l’actualité en France nous répondons à 100 % des requêtes », nous assure Raphaël Auphan. Le zéro-tracking séduit à ce jour 6 millions d’utilisateurs par mois, bien loin des 37,9 millions d’utilisateurs par mois pour le moteur de recherche Google en France. Peu importe puisque Qwant ne prétend plus devenir son « grand » rival en Europe, mais seulement une alternative « respectueuse de la vie privée ». Cela ne l’empêche pas de se réjouir lorsque la filiale d’Alphabet est mise à l’amende comme le 14 septembre (7). @

Charles de Laubier