Cambridge Analytica français : comment François Fillon a pu exploiter 2,5 millions d'emails à l'insu de leurs utilisateurs

La France aussi a son « Cambridge Analytica ». Comme aux Etats-Unis, où des données personnelles aspirées sur Facebook ont été utilisées pour la campagne de Donald Trump, au moins un candidat à la présidentielle française s’est servi d’informations privées à des fins électorales, et ce à l’insu de leurs propriétaires. Comme le populiste américain, François Fillon a pu cibler des électeurs selon leurs centres d’intérêts, sans que ceux-ci en aient la moindre idée. Dans ce remake hexagonal, le réseau social californien n’a toutefois joué aucun rôle. Le candidat LR s’est appuyé, grâce à un prestataire, sur des inscriptions en ligne et le maniement de données de navigation pour contacter... 2,5 millions d’adresses emails, dont les propriétaires étaient réputés intéressés par les points forts de son programme. Une opération fleuve et particulièrement intrusive, sur laquelle la Cnil, chargée de protéger les libertés des internautes, pourrait être prochainement amenée à se prononcer.

Les faits, révélés par la Lettre A ce lundi 23 avril et que Marianne est en mesure d’étayer, remontent au mois d’avril 2017. Dans la dernière ligne droite de la campagne présidentielle, les équipes de François Fillon cherchent à cibler au maximum leur propagande électorale. L’objectif ? Mettre en valeur les différentes propositions du candidat LR auprès des électeurs les plus concernés par ces mesures. Une start-up française a la solution. The Optin Machine, filiale de la PME Arthur Media Group, est capable de fournir au député des millions d’adresses emails, auxquelles sont attribuées des préférences en terme de médias et de thématiques. Appréciable, quand il s’agit de toucher des électeurs aux valeurs proches, mais pas forcément totalement convaincus par le projet du vainqueur de la primaire.

600.000 lecteurs du Figaro, des Echos et de l'Obs

Grâce à ce prestataire, François Fillon envoie son programme famille à 100.000 lecteurs actifs de La Croix âgés de 45 ans et plus. 750.000 inscrits à la newsletter du Figaro Santé et de Top Santé reçoivent quant à eux les propositions santé du vainqueur de la primaire de la droite. Le candidat transmet également sa propagande sur les comptes publics à 600.000 lecteurs actifs du Figaro Eco, des Echos et de l’Obs. Des éléments sur le pouvoir d'achat sont expédiés à 190.000 lecteurs de 20 Minutes âgés de 35 ans et moins. En tout, 2,54 millions d’adresses emails sont sollicitées, correspondant, outre les médias déjà évoqués, à des lecteurs de Courrier cadres, de L’Officiel de la Franchise ou encore de Météo France. Pour ce contrat, Optin Machine empoche 48.000 euros hors taxes, soit 57.600 euros tout compris.

Ces médias ont-ils vendu les coordonnées de leurs abonnés aux équipes de François Fillon ? Le Figaro « dément » formellement auprès de Marianne « vendre ou louer » les adresses emails de ses lecteurs. Le 24 avril dans l'après-midi, les médias concernés ont publié un communiqué pour également s'inscrire en faux. Selon nos informations, les marques de presse ne sont en effet pas directement parties prenantes de cette opération. Pour parvenir à ses fins, l’entreprise Optin Machine s’est appuyée sur des méthodes plus élaborées. C’est en tout cas ce qu’il ressort des explications sibyllines fournies par le dirigeant de la start-up, contacté par Marianne.

Sans révéler les détails de l’opération, Julien Level, directeur des activités d’Arthur Media Group et responsable de The Optin Machine, nous assure par écrit qu’ « il n’y a pas de transaction entre le média et l’annonceur pour la raison très simple que les emails appartiennent aux réseaux qui génèrent le trafic pour les médias ou les e-commerçants ». Autrement dit, les médias n’ont pas leur mot à dire. Pour obtenir ce « profilage » extrêmement précis, la start-up française a semble-t-il corrélé des données obtenues par différents moyens.

Base géante d'emails

En premier lieu, Optin Machine peut compter sur une base de données d’« adresses emails Optin louables ». Par cet anglicisme jargonnant, Julien Level nomme les utilisateurs d’Internet qui ont, un jour ou l’autre, au détour d’une inscription ou d’un jeu en ligne, accepté que leur adresse email soit utilisée ou transmise à des « partenaires ». La start-up française s’est fait une spécialité d’obtenir ces adresses, directement auprès des consommateurs ou en les louant auprès d’ « éditeurs », d’autres sociétés qui collectent ces données. Selon La Lettre A, l'agence Welcoming, filiale d'Arthur Media Group, figure parmi ces éditeurs. Cette entreprise est liée... aux médias ciblés par François Fillon, en tant que gestionnaire de plusieurs de leurs newsletters. Ce qui leur permet d'accéder aux adresses emails de certains lecteurs.

Une fois les adresses emails obtenues, reste pour l’entreprise à établir les préférences de cet électeur caché derrière l’arobase. Cette étape constitue la plus-value principale d’Optin Machine. En effet, quel annonceur ne rêverait pas d’être dirigé directement vers les personnes les plus susceptibles d’aimer ses produits ? Tel était d’ailleurs bien le service requis par François Fillon au moment de la signature du contrat.

Mystérieuses techniques de profilage

Le directeur d’Arthur Media Group reste aussi obscur sur ses techniques de « profilage » des internautes que son outil est intrusif. Il affirme avoir trouvé un moyen d’établir les hobbies des consommateurs reliés aux adresses email dont il dispose, sans en dire beaucoup plus : « Dans mon panel d’éditeurs (de sociétés avec lesquelles il collabore, ndlr.), certains réalisent des campagnes pour générer du trafic aux e-commerçants et aux médias. Ces éditeurs sont capables de retrouver des personnes qui ont marqué un intérêt pour telle ou telle thématique (santé, assurance, etc.) et ensuite leur envoyer un email dédié. Il est possible que notre argumentaire commercial sur-vende un peu le ciblage, mais on peut clairement considérer par extension que ces internautes sont donc lecteurs de ces e-commerçants et de ces médias. »

La technique expliquée par La Lettre A est beaucoup plus rudimentaire : Arthur Media Group se serait tout simplement servi dans l'immense base de données d'adresses dont il dispose, en ciblant celles liées aux médias avec lesquels le groupe travaille et demandés par l'équipe du candidat Fillon. Un individu ayant déjà reçu une newsletter de l'Obs et l'ayant ouverte pouvait alors rentrer dans le panel "lecteur de l'Obs" vendu à Fillon.

Selon Julien Floquet, fondateur de Pixl Network, une entreprise de marketing numérique, il n’existe qu’un autre moyen d’envoyer des emails ciblés à un internaute : installer un « cookie » ou traceur sur son ordinateur, permettant d’accéder à ses données de navigation, donc à ses préférences ... et, parfois, à son adresse email. « On place un « cookie » sur un site et, dès que l’internaute l’accepte, on enregistre ses données de navigation. Ensuite, on fait remonter le « cookie », avec éventuellement une adresse email et on regarde si ça matche avec les fichiers ‘opt-in’. Si oui, alors on peut envoyer un email publicitaire à la personne. C’est la seule façon de faire », détaille ce professionnel du e-marketing. Cloud Media, une autre filiale d’Arthur Media Group, est d’ailleurs spécialisée dans l’utilisation publicitaire de ces « cookies » .

C’est ainsi qu’un internaute, pour avoir simplement accepté d’enregistrer les cookies d’un site web sur son ordinateur et coché la case « recevoir les offres d’un partenaire » au moment d’une inscription en ligne quelconque a pu inconsciemment donner son feu vert à la réception... d’emails publicitaires ciblés par François Fillon.

Légalité douteuse

Cette démarche est-elle légale ? Contactée, la Cnil, qui dispose d’un pouvoir d’investigation et de sanction sur les dossiers de ce type, relève que l’utilisation de données à des fins politiques est particulièrement encadrée. « La difficulté, c’est qu’un internaute qui accepte de recevoir des offres de « partenaires » n’envisage pas forcément de recevoir des emails à des fins politiques. Or l’information doit être claire pour que le consentement soit explicite », explique une juriste du service des sanctions et du contentieux. En d’autres termes, transmettre une masse d’emails « opt-in » à un candidat à une élection est a priori interdit, sauf si l’internaute a clairement accepté de recevoir ce type de courriels. Est-ce le cas en l’espèce ? Sur cette question comme sur l’utilisation de cookies, Optin Machine ne nous a pas répondu. Auprès de la Lettre A, l’entreprise a cependant assuré que ses fichiers ont été loués conformément aux règles de la Cnil.

Le Règlement général sur la protection des données (RGPD), qui entrera en vigueur le 25 mai dans toute l'Union européenne, durcira les règles de traitement des données personnelles. Pour collecter les données de navigation d'un internaute, les éditeurs ne pourront plus se contenter de faire figurer la mention « en utilisant ce site, vous acceptez notre politique de cookies ». Le consentement devra être clair et explicite. La fin d'un monde pour les commerçants du big data ?

*Cet article a été mis à jour avec les nouveaux éléments de la Lettre A ce 25 avril.