Consentement au recueil des données personnelles : le marché français déjà dans la zone grise

Le lendemain du 25 mai a été délicat en France, puisque Google a brusquement cessé d’acheter l’inventaire des SSP tiers, estimant, en application du RGPD, ne pas avoir de garanties sur la validité du consentement par les internautes à l’utilisation de leurs données personnelles. “Les choses sont revenues à la normale en quelques jours car les principaux SSP ont pu être whitelistés par Google afin de continuer à vendre leur inventaire à DBM”, explique Julien Gardès, VP Southern Europe d’Adform.

“Nous ne sommes pas passés d’un monde de l’audience, fondé sur un ciblage data, à un monde contextuel du jour au lendemain. Malgré l’incident du 25 mai, il n’y a pas eu d’écart majeur sur notre activité et celle de nos clients”, abonde Paul-Antoine Strullu, VP Southern Europe d’AppNexus.

Pour redonner de la confiance au marché et harmoniser les bonnes pratiques, l’IAB Europe tente de fédérer l’industrie autour de son dispositif “Transparency & consent framework”, un standard technologique pour recueillir le consentement des internautes au recueil et à l’exploitation de leurs données personnelles.

Cet effort a d’ailleurs été salué par la Cnil : “Le Transparency and consent framework de l’IAB Europe est une initiative très intéressante, a souligné jeudi 13 septembre lors d’une conférence à Dmexco, Armand Heslot, privacy and security expert de CNIL en France. Elle n’est pas parfaite, mais elle va dans la bonne direction et c’est une bonne chose qu’elle ait été bâtie par l’industrie elle-même. Plus l’industrie s’organisera pour faciliter la mise en conformité, moins la CNIL aura de travail. Mais le consentement de l’internaute doit être libre, ce qui signifie qu’il doit avoir accès aux mêmes services, qu’il le donne ou non.” Et le refus ne doit pas être entravé.

 

“Le framework de l’IAB peut être critiqué, il a sans doute des défauts, mais ils vont être corrigés. Ce programme a surtout le mérite de donner un cap à l’industrie”

Nicolas Rieul

chief strategy & marketing officer de S4M et administrateur à l’IAB France

Geoffrey La Rocca, directeur général France de Teads, estime à plus de 60 % la proportion d’éditeurs ayant déjà suivi les recommandations de l’IAB Europe. “C’est la seule solution pour permettre à tout l’écosystème de partager les données de consentement”, estime-t-il. D’autres acteurs, s’ils valident l’effort de standardisation, soulignent que le framework ne répond pas nécessairement à toutes les contraintes du RGPD. En clair, appliquer ses principes ne serait pas forcément garant du respect du règlement européen. “Le framework de l’IAB peut être critiqué, il a sans doute des défauts, mais ils vont être corrigés. Ce programme a surtout le mérite de donner un cap à l’industrie”, souligne ainsi Nicolas Rieul, chief strategy & marketing officer de S4M et administrateur à l’IAB France. 

L’intérêt légitime refusé par une partie du marché

Mais le marché attend toujours que Google intègre formellement le dispositif. Selon nos informations, le fait que le transparency & consent framework (TCF) de l’IAB Europe tolère l’intérêt légitime comme base légale est l’une des raisons pour lesquelles le groupe américain tarde à le rejoindre, car il ne lui reconnaît pas de valeur légale… même si le RGPD le place au même rang que le consentement (lire notre interview de Nina Gosse, avocate au cabinet De Gaulle Fleurance & Associés). Les acteurs français sont donc suspendus à cette décisionLes acteurs français sont donc suspendus à cette décision.

“Quand les internautes font la démarche de préciser leurs préférences dans les CMP, ils sont 90 % à donner un consentement explicite. Mais seuls 30 à 40 % des utilisateurs vont jusque-là. La plupart passent outre la requête. Du coup, si Google impose le consentement explicite à ses SSP partenaires, et refuse l’intérêt légitime, cela risque de porter un préjudice important au marché”, décrypte Julien Gardès, directeur Europe du sud de la DSP Adform.

 

“Beaucoup d’éditeurs confondent utilisation d’une CMP et conformité au RGPD, et sont pour certains livrés à eux-mêmes face à des défis techniques ou mal informés”

Benoît Oberlé

Fondateur et président, Sirdata

Adobe, qui a acheté en 2016 le DSP TubeMogul, adopte déjà une approche dure : “Nous ne considérons pas l’intérêt légitime comme une base légale suffisante pour le traitement des données personnelles. Si un acteur de la chaîne de valeur n’a pas le consentement ou s’il invoque l’intérêt légitime, nous n’intégrons pas sa data dans notre écosystème. Le 25 mai, nous avons donc vu une baisse d’environ 65 % des third party data qui transitaient via notre DSP. Nos clients annonceurs se sont tournés vers le ciblage contextuel. Le ratio de campagnes contextuelles est monté à 60 %, contre 40 % de campagnes avec data. Les choses s’arrangent lentement,” explique Hanna Heise-Metzscher, senior account director chez Adobe Advertising Cloud.

CMP : déjà des mauvaises pratiques ?

Intérêt légitime ou consentement ? Si les CMP ont le mérite, en théorie, de clarifier le consentement et de prouver la validité des données personnelles utilisées, un problème commence à apparaître : la liberté laissée aux éditeurs dans leurs stratégies et le design de leur CMP ouvre la voie aux vieilles pratiques, certains éditeurs (beaucoup ?) semblent être dans une zone grise dans l’information donnée aux internautes et les modalités fonctionnelles de refus. Parfois volontairement, parfois involontairement.

Benoît Oberlé, fondateur du fournisseur de données français Sirdata, pointe ainsi le flou entourant les CMP actuellement commercialisées : “Beaucoup d’éditeurs confondent utilisation d’une CMP et conformité au RGPD, et sont pour certains livrés à eux-mêmes face à des défis techniques ou mal informés : il est vital de comprendre qu’un mauvais paramétrage de ce type d’outil peut malheureusement rendre invalide le consentement pourtant recueilli en toute bonne foi.” Et jeter le doute sur la validité des data collectées depuis fin mai et commercialisées au marché (lire sur notre site “Le RGPD va-t-il assécher les inventaires de data ?”).

Pour mettre de l’ordre dans les dispositifs, l’IAB Europe vient d’ailleurs d’annoncer le 12 septembre lancer un audit pour vérifier que les différentes CMP utilisées pour recueillir le consentement sont bien conformes aux principes de son framework. Si le flou perdure dans les dispositifs, il est vraissemblable que la Cnil, plutôt bienveillante depuis mai, passera à l’action.