RGPD (5/5) : quels prestataires stockent des cookies et pendant combien de temps ?

Depuis la deuxième version du TCF, les prestataires qui veulent rejoindre la GVL doivent préciser, au moment de s’enregistrer, plusieurs informations concernant leur accès aux données des utilisateurs. D’abord, utilisent-ils ou non des cookies (ou d’autres informations de stockage) ? Ensuite, quelle est la durée maximale pendant laquelle ils les conservent ?

À la première question, un prestataire sur quatre (161 sur 637) a déclaré ne pas utiliser de cookies. Dont plusieurs acteurs du mobile, qui travailleraient donc exclusivement dans l’environnement in-app, comme les adnetworks Adikteev, Tapjoy, MobileFuse, Maiden Marketing et Mobkoi et une dizaine d’acteurs français (A.Mob, Adikteev, Adloox, Adverline, Médiamétrie, Qwarry…). 

Cinquante sociétés ont déclaré les utiliser, mais avec une durée de conservation de zéro seconde. C’est par exemple le cas des adnetworks allemands Yieldlove, AddApptr, PubNative et du français SYNC (Madvertise), spécialisé dans la synchronisation TV-numérique. Pour le fondateur de la CMP Didomi Romain Gauthier, il pourrait s’agir d’erreurs au moment de remplir le questionnaire de l’IAB : “des prestataires, qui opèrent par exemple dans l’environnement in-app, n’ont peut-être pas su comment indiquer qu’ils ne collectent pas de cookies. D’autres, qui collectent des cookies, ont peut-être mal déclaré la durée maximale pendant laquelle ils les conservent”. De fait, mind Media a pu interroger ZBO Media et Soundcast pour rectifier ce que nous avions constaté dans la Global Vendor List : tous deux stockent les cookies pendant 13 mois maximum, bien que le premier ait déclaré dans la GVL ne pas en collecter, et que le second y ait indiqué les conserver pendant zéro seconde.

Ils sont donc un peu plus de 400 à déclarer conserver les cookies pendant plus d’une seconde. Et ils sont 363 (76,3 % de ceux qui les stockent) à les conserver entre une seconde et 13 mois. 

Ces 13 mois correspondent à la durée maximale imposée, en France, par la CNIL. Selon nos constats, aucun acteur français ne dépasse d’ailleurs cette limite (voir le détail pour les acteurs français en fin d’article). Avec 397 jours, Digiteka est celui qui les conserve le plus longtemps, et l’éditeur de CMP SFBX (ex-Chandago) le moins longtemps : 12 secondes seulement. 

63 sociétés ont déclaré une durée supérieure à cette limite. Une grande partie d’entre eux, dont Comscore et LiveIntent, ont opté pour 24 mois. “Il faut insister sur le fait qu’il s’agit d’une durée maximale théorique, mais les prestataires peuvent bien sûr l’adapter selon les pays où ils travaillent”, souligne Benoît Oberlé, fondateur du data provider Sirdata et vice-président du TCF Steering Group de l’IAB Europe.

Quelques valeurs extrêmes se comptent en siècles, sans qu’il nous soit possible de déterminer s’il s’agit de fautes de frappe ou d’erreurs d’interprétation. Parmi eux figurent par exemple une société polonaise spécialisée dans la mesure du trafic bot, baptisée Edge NPD / ABT Shield, le plug-in pour commentaires américain Disqus, ou encore Blockthrough, spécialisé dans le contournement des adblockers. “Ces écarts sont surtout le fait d’acteurs non européens qui n’ont pas conscience des directives mises en place dans le cadre du RGPD, explique Romain Gauthier (Didomi). Le risque est toutefois désormais limité, puisque c’est la durée du consentement, contrôlée par les CMP, qui prévaut. Chez Didomi par exemple, nous imposons une durée de consentement de 6 mois, au-delà de laquelle l’utilisateur a de nouveau le choix de consentir ou de s’opposer au dépôt du cookie. En cas de refus, le prestataire ne pourra accéder aux données personnelles sur le navigateur même s’il déclare, théoriquement, une durée de stockage des cookies plus longue.”

Des alternatives aux cookies

Outre les deux questions déjà citées, les prestataires qui rejoignent la Global Vendor List doivent aussi préciser s’ils utilisent d’autres méthodes que les cookies pour stocker ou accéder aux informations sur le terminal d’un utilisateur, comme le stockage web local (enregistrement de données dans un navigateur web), l’IndexedDB (une base de données locale embarquée dans le navigateur), et les identifiants publicitaires mobiles (l’IDFA sous iOS, l’Ad ID dans Android).

Il ressort que près d’un prestataire sur quatre (149 sur 637) a répondu oui. Citons par exemple Xandr, Google, LinkedIn, SpotX, The Trade Desk, Salesforce, Tabola, Mediamath, Teads, Digiteka Technologies… “Nous utilisons le stockage web local pour garder en mémoire les paramètres de personnalisation de notre player vidéo, à savoir le volume sonore, la qualité de la vidéo et la langue.” indique Christophe Rosko, CTO de Digiteka Technologies. 

Quels sont les choix des acteurs français ? 

Pour connaître les réponses des 55 acteurs français à ces trois questions, explorez notre graphique interactif ci-dessous :