Scrolller agrège des contenus issus de Reddit et les présente dans une interface de défilement infini, sans obligation de créer un compte. Cette absence apparente de barrière d’entrée donne l’impression d’un usage anonyme. Les données techniques collectées lors de chaque session racontent une autre histoire, que la plateforme ne détaille pas avec la transparence attendue par le cadre réglementaire européen.
Données personnelles collectées par Scrolller sans inscription
Ne pas créer de compte ne revient pas à naviguer sans laisser de traces. La CNIL rappelle que des identifiants techniques comme l’adresse IP, l’identifiant de cookie ou le device ID constituent des données personnelles dès qu’ils permettent d’identifier un individu, directement ou par croisement avec d’autres informations.
Lire également : Confidentialité des données avec OpenAI : que font-ils de mes infos personnelles ?
Sur Scrolller, la navigation génère une combinaison de signaux exploitables : adresse IP, empreinte de navigateur, préférences de catégories (NSFW ou non), horaires de consultation. Pris isolément, chacun de ces éléments paraît anodin. Croisés, ils forment un profil de navigation suffisamment précis pour constituer un traitement de données personnelles au sens du RGPD.
La plateforme ne propose pas de panneau de gestion des cookies conforme aux exigences européennes lors de la première visite. L’utilisateur ne se voit pas offrir de choix granulaire entre cookies strictement nécessaires et cookies de suivi publicitaire, contrairement à ce qu’impose la directive ePrivacy transposée en droit français.
A voir aussi : Limiter les risques du numérique pour protéger efficacement vos données personnelles
Traceurs tiers et publicité ciblée sur Scrolller
Le modèle économique de Scrolller repose sur la publicité. Les régies qui diffusent des annonces sur ce type de site déposent leurs propres traceurs, indépendamment de ceux du site lui-même. Ces traceurs tiers collectent des données de navigation à travers plusieurs sites, ce qui permet de construire des profils publicitaires détaillés.
Le problème se situe à deux niveaux. Le site héberge des catégories de contenu pour adultes. La CNIL considère que la collecte de données liées à la navigation sur des contenus sensibles déclenche des obligations renforcées, notamment en matière de consentement explicite. Un simple bandeau « En continuant, vous acceptez » ne suffit pas à couvrir ce type de traitement.
Les données de localisation, même approximatives (déduites de l’adresse IP), combinées à des préférences de contenu NSFW, créent un risque de ré-identification que les conditions d’utilisation de Scrolller n’abordent pas. Un annonceur ou un data broker recevant ces signaux peut, par recoupement, relier une session de navigation à une personne physique.
RGPD et Scrolller : les obligations non respectées
Le règlement européen impose plusieurs obligations concrètes à tout site qui traite des données de résidents européens, quel que soit le pays d’hébergement du service. Scrolller, accessible depuis l’Union européenne, y est soumis.
- Le site doit fournir une information claire sur la base légale du traitement (consentement, intérêt légitime ou exécution d’un contrat). La politique de confidentialité de Scrolller reste vague sur ce point, sans distinguer les bases légales par finalité de traitement.
- L’utilisateur doit pouvoir exercer son droit d’accès, de rectification et de suppression de ses données. Aucun formulaire dédié ni adresse de contact spécifique au DPO n’apparaît de manière visible sur le site.
- Le consentement aux cookies non essentiels doit être recueilli avant leur dépôt, par une action positive (opt-in). Le chargement de traceurs publicitaires dès l’ouverture de la page, avant toute interaction de l’utilisateur, contrevient à cette exigence.
- Lorsqu’un site traite des données révélant des préférences sexuelles (catégories NSFW consultées), le RGPD classe ces informations parmi les données sensibles soumises à des conditions de traitement restrictives.
Les données disponibles ne permettent pas de confirmer que Scrolller a désigné un représentant dans l’Union européenne, obligation pourtant prévue par l’article 27 du RGPD pour les responsables de traitement établis hors UE.
Empreinte de navigateur et techniques de suivi sans cookies
Le débat sur les cookies masque une réalité plus large. Les techniques de fingerprinting (empreinte de navigateur) permettent de suivre un utilisateur sans déposer le moindre cookie. La combinaison de la résolution d’écran, de la liste des polices installées, de la version du navigateur et des plugins actifs génère une empreinte souvent unique.
La CNIL classe ces techniques parmi les « alternatives aux cookies tiers » et précise qu’elles sont soumises aux mêmes règles de consentement que les cookies classiques. Supprimer ses cookies après une session sur Scrolller ne suffit donc pas à effacer ses traces si le site ou ses partenaires publicitaires utilisent du fingerprinting.
Les navigateurs modernes intègrent progressivement des protections contre le fingerprinting. Firefox propose un mode de protection renforcée, et Safari limite certaines API exploitées par ces techniques. Ces protections restent partielles et ne dispensent pas le site de respecter ses obligations de transparence.
Protéger sa navigation sur des sites comme Scrolller
Quelques mesures techniques réduisent l’exposition, sans la supprimer totalement.
- Utiliser un VPN masque l’adresse IP réelle, ce qui empêche la géolocalisation directe. Le VPN ne protège pas contre le fingerprinting ni contre les cookies déjà déposés.
- Naviguer en mode privé limite la persistance des cookies entre les sessions, mais n’empêche pas leur dépôt pendant la session active.
- Installer une extension de blocage des traceurs (type uBlock Origin) réduit significativement le nombre de requêtes vers des domaines tiers publicitaires.
- Privilégier un navigateur orienté vie privée (Firefox avec protection stricte, Brave, ou Tor pour un anonymat plus poussé) diminue la surface de collecte.
Aucune de ces mesures ne compense l’absence de conformité côté site. La responsabilité du traitement des données reste celle de l’éditeur, pas de l’utilisateur qui tente de se protéger.
Scrolller illustre un cas fréquent dans l’écosystème des agrégateurs de contenu : un service gratuit, sans compte obligatoire, qui génère des revenus publicitaires grâce à des données collectées de manière opaque. Tant que la CNIL ou une autorité équivalente n’engage pas de contrôle spécifique sur ce type de plateforme, l’utilisateur européen reste exposé sans recours simple.
