RGPD : les prestataires bloqueront-ils l’inventaire des éditeurs récalcitrants au framework de l’IAB ?

Depuis le 25 mai, à de rares exceptions près, le RGPD oblige les acteurs de la publicité en ligne à disposer du consentement univoque et éclairé des internautes préalablement à la collecte et au traitement de leurs données personnelles. L’IAB Tech Lab, déjà à l’origine des fichiers ads.txt pour lutter contre la fraude dans la publicité en ligne, s’est penché depuis plusieurs mois sur la question de la transmission de ce consentement, recueilli par les éditeurs, vers leurs partenaires technologiques, en imaginant un outil commun dédié.

La majeure partie du marché tente donc de s’accorder sur un outil commun pour recueillir et traiter le consentement. Les travaux de l’IAB Tech Lab ont abouti le 25 avril à la publication conjointe avec l’IAB Europe du standard Transparency & Consent Framework. Dans ce cadre, l’IAB a mis en place une liste de prestataires parmi lesquels les éditeurs pourront choisir ceux auxquels ils acceptent de transmettre le consentement, et pour quelles finalités. Ce consentement peut être donné pour un site donné, pour un groupe de sites, ou pour la totalité du web.

Cette souplesse est notamment destinée à rassurer les groupes qui possèdent plusieurs sites, et ceux, de plus en plus nombreux, qui intégrent des alliances, comme Gravity ou relevanC, mais aussi les nombreux couplages publicitaires, comme Skyline. De même, les internautes pourront sélectionner les fournisseurs avec lesquels ils acceptent de partager leurs données et la finalité du traitement. Ils pourront le faire via une Consent Management Platform (CMP), un outil installé par les éditeurs qui leur fournit une interface utilisateur, enregistre les préférences et stocke le consentement. A fin mai, environ 160 prestataires ont rejoint le Framework (la liste complète ici).

Source : IAB Tech Lab 

Comment les éditeurs recueillent-ils le consentement ?

En Europe et aux Etats-Unis, les éditeurs choisissent généralement entre trois méthodes d’obtention du consentement. Premièrement, une action positive explicite : demander un opt-in avant de déposer les cookies et lancer les scripts sur la page. Deuxièmement, une action positive implicite, tolérée par la CNIL française : un bandeau d’information, plus ou moins discret est affiché, aucun cookie n’est déposé avant qu’un clic ou un scroll atteste de la poursuite de la navigation.

Troisièmement, la concomitance entre l’affichage du bandeau d’information et le dépôt du cookie, sans attendre la moindre action de l’internaute. Le framework ne dit rien de la manière dont les éditeurs doivent recueillir le consentement, et ne transmet aucune information aux prestataires sur la méthode choisie.

Fin mai, l’IAB recensait une soixantaine de CMP compatibles avec le framework (la liste complète). Certains éditeurs ont créé leur propre plateforme, à l’instar de Webedia, DMG Media (Daily Mail, MailOnline, Mail on Sunday), Rossel, Purch et Deezer. D’autres ont fait le choix de recourir à une solution externe. C’est ainsi que selon nos informations le groupe Figaro s’est tourné vers la société française Chandago, qui s’appuie sur la blockchain.

Et Prisma Media a opté pour la CMP de SourcePoint. “Comme cette société n’est pas un acteur de la vente ou de l’achat d’espaces publicitaires, elle ne présente aucun conflit d’intérêt, donc moins de risques de data leakage que des CMP développées par des SSP ou des DSP”, explique David Folgueira, directeur délégué digital et chief mobile officer de Prisma Media. 

Les inquiétudes des éditeurs

Le dispositif de l’IAB n’a pas reçu un accueil très chaleureux chez tous les éditeurs français, même si plusieurs s’apprêtent à l’intégrer. “Les juristes avaient plusieurs interprétations du RGPD. Celle retenue par l’IAB est la plus contraignante et aura des impacts directs sur le business. C’est comme si l’industrie voulait devancer ePrivacy en montrant à la Commission européenne qu’elle est capable de s’auto-réguler”, estime Jérémy Parola, directeur du numérique de Reworld Media, en faisant référence au spectre ePrivacy.

Certains éditeurs interprètent le framework de l’IAB comme une tentative des acteurs de l’adtech de se protéger et de faire peser sur eux, les vendrurs, la responsabilité juridique. Ils se demandent notamment si les DSP continueront d’accepter leur inventaire s’ils ne rejoignent pas le framework, s’ils ne mettent pas en place de CMP, et s’ils continuent de se contenter d’une bannière d’information au lieu d’un opt-in clair. Reworld Media a sondé ses partenaires : “certains sont dans une interprétation stricte du texte et nous disent que si nous n’avons pas mis en place de CMP, le consentement sera réputé négatif. D’autres nous laissent quelques mois pour nous mettre en ordre de marche”, rapporte Jérémy Parola.

Pour le COO de Media.Figaro, Alexis Marcombe, “la plupart des prestataires ne savent pas encore quelle position adopter. Certains nous disent qu’il pourrait y avoir une tolérance tout au long des premières semaines.” “Il y a un mois, tout le monde ignorait jusqu’au concept de Consent Management Platform, et voici que tous les éditeurs doivent en adopter une dans l’urgence”, s’est étonné fin mai Thierry Hugot, directeur commercial et marketing du groupe Rossel, président de La Voix Médias et de Rossel Advertising, à l’occasion d’une conférence de presse. Son groupe a d’ailleurs mobilisé une équipe de sept personnes pendant trois semaines pour créer sa propre CMP. Elle a été adoptée par 20 Minutes, codétenu avec SIPA-Ouest-France.

Leurs craintes étaient en partie fondées, puisque Google, qui n’a pas rejoint le framework de l’IAB dans les temps, a décidé le 25 mai de réduire drastiquement ses investissements auprès des SSP tiers, faisant ainsi chuter temporairement les revenus programmatiques de certains éditeurs (lire sur notre site), en particulier ceux qui ne sont pas clients de DFP et Adex, les SSP et adservers de Google.

mind Media a soumis à une douzaine de prestataires de l’adtech un questionnaire avec deux questions :

1. Allez-vous continuer à accepter l’inventaire (avec data) des éditeurs qui ne rejoindront pas le Transparency & Consent Framework de l’IAB Tech Lab pour recueillir le consentement via l’une des Consent Management Platform (CMP) compatibles ?

2. Allez-vous continuer à accepter l’inventaire (avec data) des éditeurs qui affichent une bannière d’information dans leur process du recueil du consentement, ou exigerez-vous un opt-in préalable à la navigation ?

La position des prestataires

Malheureusement, tous les acteurs n’ont pas répondu à nos sollicitations et certains, comme Criteo et AppNexus, l’ont fait par une déclaration d’ordre générale plutôt énigmatique.

Néanmoins, les réponses de ceux qui se sont prêtés à cet exercice de transparence méritent d’être lues. Par exemple, Smart et Adform assurent qu’ils continueront à acheter de l’inventaire auprès des éditeurs qui décideraient de ne pas rejoindre le framework, à condition que leurs choix soient bien documentés. “C’est la position de pas mal de plus petits acteurs ou d’acteurs de formats alternatifs, comme les native ads ou inpicture”, note Jérémy Parola.

Pour Teads et Tradelab, en revanche, le framework de l’IAB et les CMP apparaissent à terme comme la seule voie possible pour la publicité personnalisée. “On sent que le marché va laisser une période de grâce pendant l’implémentation. Beaucoup vont d’abord ignorer l’information framework, puis quand elle sera renseignée dans 80 % des bid requests qu’ils traiteront, ils activeront la lecture pour chaque enchère. Le jour où cela se produira, les éditeurs qui continueront à ne pas renseigner ce champs n’auront plus que des pubs contextualisées”, analyse spécialiste du secteur sous couvert d’anonymat.

Au sujet des CMP, Jérémy Parola (Reworld Media) remarque que “les éditeurs ont signé des accords avec les adexchanges avant la montée en puissance du sujet CMP. Cela veut dire qu’à date, très peu d’accords mentionnent l’obligation de la mise en place d’une CMP. Pour des raisons juridiques d’implémentation de la loi mais surtout parce que le sujet n’était opérationnellement pas suffisamment avancé pour en faire mention dans les contrats”.

Smart, Teads et Adform considèrent qu’une bannière d’information comme méthode de recueil du consentement est acceptable. “Le problème, c’est que la plupart des CMP du marché partent du principe que si le consentement n’est pas explicitement positif, il est renvoyé comme négatif”, souligne Jérémy Parola.

S’ils ne le disent pas explicitement, et que leur déclaration est laissée à l’interprétation de chacun, cela ne semble pas être le cas de Criteo et Google. Dans le commentaire qu’il nous a envoyé, le spécialiste du retargeting indique en effet “qu’après de récents incidents liés à la confidentialité des données, les entreprises clés du côté de l’offre peuvent appliquer des pratiques plus prudentes et plus strictes que ce que la loi exige.” De même, sans se prononcer clairement, Google estime que le RGPD affinera les exigences en matière de recueil du consentement des utilisateurs finaux. “On sent que Google pourrait durcir ses attentes”, analyse notre spécialiste.

Pour les détails sur les positions de chacun, nous retranscrivons dans les encadrés ci-dessous les réponses des prestataires sollicités par mind Media.