TCF V2.2 : quelles implications pour les prestataires, CMP et éditeurs ?

Le 16 mai 2023, pour prendre en compte l’évolution de la jurisprudence et des recommandations des autorités de protection des données, l’IAB Europe a annoncé dans un communiqué le lancement d’une nouvelle version du Transparency & Consent Framework (TCF v2.2), le dispositif qu’elle a créé au printemps 2018 pour aider les acteurs de la publicité en ligne à se conformer au RGPD. Les prestataires et les CMP ont jusqu’au 30 septembre pour s’y conformer, notamment en intégrant la troisième version de la Global Vendor List. 

Pour rappel, l’autorité de protection des données (APD) belge a infligé une amende de 250 000 euros à l’IAB Europe en février 2022 pour violation du RGPD via le TCF. L’association professionnelle a fait appel de cette décision, et la Cour de justice de l’Union européenne (CJUE) a été saisie du litige en septembre 2022. En avril de la même année, l’IAB Europe a soumis un plan d’action à l’APD belge, qui l’a validé en janvier 2023, donnant six mois à l’association – soit jusqu’au 11 juillet – pour le mettre en place.

Suppression de l’intérêt légitime pour la publicité personnalisée 

Si cette mise à jour ne sera pas aussi contraignante que le passage de la V1 à la V2, à l’été 2020, les implications seront réelles pour les prestataires publicitaires, les fournisseurs de CMP et les éditeurs. Premièrement, l’intérêt légitime ne pourra plus être invoqué pour les finalités 3 à 6, celles liées à la création de profils personnalisés pour une publicité ou un contenu, et la sélection d’une publicité ou d’un contenu personnalisé. “Cela suggère notamment qu’il faut redemander un consentement pour les acteurs qui se reposaient jusque-là sur l’intérêt légitime. Les éditeurs doivent se demander s’ils vont y aller progressivement ou s’ils vont au contraire resolliciter les utilisateurs une seule fois”, indique Thomas Adhumeau, chief privacy officer chez Didomi, qui officie également comme chair à l’IAB Europe, dans le groupe chargé de l’interaction avec les autorités de contrôle européennes.

Selon lui, un autre challenge que devront relever éditeurs et fournisseurs de CMP sur ce point tient au fait que la suppression de l’intérêt légitime pour certaines finalités pourrait induire des contradictions, dans les CMP, avec les “publisher restrictions” un dispositif qui permet aux éditeurs de sélectionner les prestataires avec lesquels ils souhaitent travailler ainsi que la base légale (consentement ou intérêt légitime) qu’ils leur imposent.

Plus de transparence pour l’utilisateur

Deuxièmement, l’information aux utilisateurs devient plus claire, avec de nouveaux noms et descriptions pour les finalités. Les revendeurs publicitaires devront notamment renseigner la durée de rétention du consentement pour chacune des finalités, et les éditeurs le nombre de prestataires utilisant les données. Une nouvelle taxonomie de catégories de données beaucoup plus précise a également été créée (adresses IP, identifiants de terminaux, données de navigation, etc.). “Cela induira nécessairement une complexité pour les revendeurs qui ne sont pas à l’aise avec leurs traitements de données, explique Thomas Adhumeau (Didomi). Côté éditeurs, il y aura aussi des choix à opérer sur les prestataires communiqués : est-ce que l’éditeur doit se restreindre aux vendeurs IAB (l’obligation minimale induite par le TCF, ndlr) ou ouvrir à ceux hors TCF ?”. 

Thomas Adhumeau précise que la majorité du travail et des intégrations reposent sur les fournisseurs de CMP. Celle de Didomi, par exemple, n’est pas encore compatible avec le TCF V2.2, et déploiera les premières mises à jour dans l’été. Selon plusieurs interlocuteurs, la date butoire du 30 septembre pourrait être décalée, en fonction de l’avancement des travaux chez les principaux acteurs.

75 prestataires devront changer leur base légale pour le contenu ou la publicité ciblée

Pour connaître le rythme d’adoption de la troisième version de la Global Vendor List, nous avons compté le nombre de prestataires qui l’ont rejointe. Au 15 juin 2023, 807 “vendors” différents figuraient sur la deuxième version de la Global Vendor List, dont 74 sociétés françaises. A la même date, ils n’étaient encore que 127 à avoir intégré la troisième version, dont 13 français : ADventori, Armis (publicité locale), Vectaury (drive-to-store), SoundCast (SSP et adserver audio), Solocal (publicité locale), Mediametrie ou encore Media Square. 

Par ailleurs, 599 des 807 prestataires actifs de la deuxième version se sont déclarés pour l’une des quatre finalités, liées à la personnalisation de la publicité ou du contenu, pour lesquelles le consentement est imposé dans la troisième version, soit 74,2 %. Parmi ces 599, ils sont 75, soit 9,2 %, à invoquer l’intérêt légitime pour au moins l’une de ces finalités. Parmi eux figurent par exemple Digiteka, Dailymotion, Google Advertising Products ou encore PubMatic, et des acteurs spécialisés dans le ciblage contextuel comme Sirdata Cookieless et Weborama.

Ces proportions ont relativement peu évolué dans le temps, puisqu’ils étaient un peu plus de 13 % en mai 2020 et en mai 2021, et un peu plus de 11 % en mai 2022 et mai 2023. Les deux finalités liées à la personnalisation du contenu ont toujours été légèrement plus concernées par l’intérêt légitime que celles liées à la personnalisation de la publicité. 

Quels enseignements dans la troisième version de la Global Vendor List ?

Au printemps 2021, nous avions analysé en profondeur les données de la deuxième version de la Global Vendor List : quelles finalités et fonctionnalités sont les plus prisées par les prestataires ? Sur combien de finalités se sont-ils positionnés ? 

Deux ans plus tard, quels premiers enseignements tirer des choix faits par les 64 prestataires présents dans la troisième version ? D’abord qu’ils se sont positionnés en moyenne sur neuf des 18 finalités et fonctionnalités, soit autant que ceux présents dans la deuxième version de la liste. Avec de grandes disparités : une seule pour Socoto, deux pour Armis, mais 17 pour Outbrain et Castoola, une société slovène spécialisée dans la TV adressée, par exemple.

La quasi-totalité d’entre eux se sont positionnés sur la première finalité, celle qui leur permet de collecter des cookies et autres traceurs. A l’inverse, ils ne sont que 7,8 % à souhaiter les données qui leur permettraient de sélectionner du contenu non personnalisé. Il est aussi notable que 58 % d’entre eux souhaitent faire du fingerprinting passif, et 17,2 % du fingerprinting actif. 

Si, dans la troisième version de la GVL, les prestataires ne peuvent plus invoquer l’intérêt légitime pour la publicité ou le contenu personnalisé, ils le peuvent toujours pour six des 11 finalités. Pour l’heure, 34 % de ceux qui se sont positionnés sur la sélection d’une publicité contextuelle l’invoquent.