Les données récoltées par les acteurs de la publicité en ligne

Les acteurs de la publicité en ligne qui interviennent en Europe s’astreignent à indiquer à l’IAB Europe le type de données qu’ils collectent, via la Global Vendor List du Transparency & consent framework (TCF). Depuis 2018, la cellule datajournalisme du groupe mind analyse régulièrement ces données : quels acteurs se positionnent sur l’ensemble des finalités prévues par le framework, du stockage de cookies au reporting publicitaire en passant par la personnalisation ? Lesquels se positionnent sur l’ensemble des fonctionnalités, du matching de données offline à la géolocalisation en passant par le cross-device ?

Le 16 mai 2023, pour prendre en compte l’évolution de la jurisprudence et des recommandations des autorités de protection des données, l’IAB Europe a annoncé dans un communiqué le lancement d’une nouvelle version du Transparency & Consent Framework (TCF v2.2). Les prestataires de la publicité en ligne et les CMP ont jusqu’au 30 septembre pour s’y conformer, notamment en intégrant la troisième version de la Global Vendor List. 

A partir du printemps 2023, nous avons donc aussi récupéré et analysé les données contenues dans la troisième version de la GVL :

Qu’est ce que la Global Vendor List ?

En réponse au RGPD, entré en vigueur en mai 2018, l’Internet Advertising Bureau (IAB) Europe a introduit le Transparency & Consent Framework (TCF) en avril 2018 afin d’encadrer le recueil du consentement internaute et sa transmission à travers l’ensemble de la chaîne publicitaire. Critiqué par certains éditeurs et certaines sociétés adtech, le TCF a fait l’objet d’une deuxième version, mise en œuvre officiellement le 15 août 2020, puis d’une version “2.2”, dévoilée en mai 2023.

Le TCF se compose notamment d’un fichier, accessible publiquement et baptisé Global Vendor List (GVL), sur lequel les prestataires de la publicité en ligne déclarent les finalités pour lesquelles ils récoltent des données – créer un profil utilisateur, identifier sa géolocalisation ou son terminal… – et la base légale sur laquelle ils s’appuient pour chacune d’elles – consentement ou intérêt légitime.

La deuxième version du TCF a clarifié et assouplit les finalités et fonctionnalités déclarées par les  prestataires, puisque le nombre de finalités est passé de cinq à 12 (dix finalités plus deux finalités spéciales), et celui des fonctionnalités de trois à cinq (trois fonctionnalités plus deux fonctionnalités spéciales). Chacune d’elles est désignée par un nom, une description vulgarisée et une description juridique. Pour plus de clarté, nous avons parfois modifié ou simplifié leur appellation (voir l’encadré définitions en fin d’article).

La version 2.2 du TCF a introduit une troisième version de la Global Vendor List, que les prestataires ont rejoint à partir de mai 2023. Entre autres changements, l’intérêt légitime ne peut plus être invoqué pour les finalités trois à six, celles liées à la création de profils personnalisés pour une publicité ou un contenu, et la sélection d’une publicité ou d’un contenu personnalisé.

Pour rappel, l’autorité de protection des données (APD) belge a infligé une amende de 250 000 euros à l’IAB Europe en février 2022 pour violation du RGPD via le TCF. L’association professionnelle a fait appel de cette décision, et la Cour de justice de l’Union européenne (CJUE) a été saisie du litige en septembre 2022. En avril de la même année, l’IAB Europe a soumis un plan d’action à l’ADP belge, qui l’a validé en janvier 2023, donnant six mois à l’association – soit jusqu’au 11 juillet – pour le mettre en place.