Pour traiter les données à caractère personnel dans le cadre du RGPD, les entreprises doivent respecter l’une des six bases légales fixées par le RGPD : l’exécution d’un contrat, l’obligation légale, l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, l’intérêt vital, l’intérêt légitime et le consentement.
Pour chacune des cinq finalités prises en compte par le transparency & consent framework de l’IAB Europe (voir encadré et notre précédent dossier), les acteurs de la publicité en ligne peuvent se référer à deux bases légales : le consentement et l’intérêt légitime (voir encadré). Un choix qui n’a rien d’anodin et sur lequel ils ont fait travailler leurs avocats pendant des mois. Les conséquences de l’un et de l’autre sont en effet très différentes.
Choisir de s’appuyer uniquement sur le consentement des utilisateurs pour tous les traitements, c’est risquer de perdre les données des internautes les plus rétifs à la publicité en ligne. D’autant que la manière dont les éditeurs vont demander le consentement à leurs lecteurs varie beaucoup d’un pays à l’autre : opt-in strict au Royaume-Uni, action implicite (poursuite de la navigation) en France, intérêt légitime en Allemagne… L’impact chiffré est difficile à mesurer, mais dans un marché où deux acteurs, Google et Facebook, concentrent la quasi totalité de la croissance, chaque cookie perdu a un impact sur les revenus des éditeurs et de leurs prestataires.