Fuite de données : quelles garanties de la part des partenaires data des régies ?

I l s’agit d’une préoccupation qui s’exprime de plus en plus de la part des éditeurs : les données qui transitent par des acteurs tiers sont-elles protégées ? Comment savoir si elles ne sont pas revendues ou réutilisées à d’autres fins ? Ce risque est l’une des raisons qui a poussé, il y a quelques semaines, Webedia à prendre une participation dans Tradelab, alors qu’il confiait à la société l’ensemble de ses données en extension d’audience aussi bien en France qu’à l’étranger. “Cette prise de participation est nécessaire car la protection des données est pour nous essentielle. Pour l’assurer, nous pouvions soit nous équiper en interne – mais ce sont des technologies lourdes et compliquées – soit signer un accord avec une agence média qui a un trading desk – mais nous nous serions alors limités à une agence – soit trouver, comme nous l’avons fait, un acteur indépendant et qui nous garantisse la protection de nos données. Prendre une participation nous permet d’être certain que la société restera indépendante’’, expliquait fin septembre Cedric Siré à mind-Satellinet.

Webedia a pris une participation dans Tradelab pour être certain que ses données sont protégées

Le contrat comme premier rempart

Prendre une participation est-il le seul moyen d’être certain que ses données sont protégées ? Le premier niveau de protection réside dans le contrat qui lie l’éditeur à son partenaire data. C’est ainsi que fonctionne Weborama, société qui assure à la fois une activité de DMP pour le compte d’éditeurs, tels que Le Monde (lire notre retour d’expérience détaillé), Les Echos et Canal +, d’annonceurs (comme La Poste et La Redoute), ainsi qu’un service d’optimisation des campagnes par une base de données third party et un outil d’adserving et de tracking multicanal. Dans cette société, les contrats intègrent en effet systématiquement une clause d’audit qui permet à tout client de faire venir un expert dans leurs bureaux pour observer l’usage qui est fait de la data. Certains éditeurs clients de la DMP de Weborama sont également des fournisseurs de data, mais dans ce cas-là, les deux parties sont liées par un second contrat dans lequel il est stipulé que Weborama leur achète de la donnée. En outre les data utilisées pour ces différents types d’activité sont traitées dans des “buckets” privés, c’est-à-dire des espaces consacrés à chaque annonceur pour garantir que les bases de données ne vont pas alimenter des bases de données tierces en third party. Même système chez Ezakus, qui cumule également une activité historique de DMP pour compte de tiers (qu’elle est en train de progressivement abandonner) et qui s’est repositionnée, depuis deux ans, vers une activité de pré-targeting pour le compte d’agences grâce à des données tierces.

L’audit de ses partenaires data : une illusion ?

“Le risque de mélange de data entre nos différentes activités est en effet une préoccupation de nos clients, mais nous établissons systématiquement un contrat avec une clause d’audit qui leur permet de vérifier les procédures et systèmes en place. Le risque de fuite de données peut exister de mon point de vue lorsqu’il n’y a pas de contrat établi, ce qui n’est jamais le cas pour Ezakus. Cependant je remarque que beaucoup d’éditeurs ont des tags sur leur site qui récupèrent des données sans qu’aucun contrat n’ait été signé”, explique le PDG Christophe Camborde. Malgré tout, ce repositionnement vers l’activité de pré-targeting et le risque induit de fuite de données a créé un certain émoi chez plusieurs éditeurs français qui étaient clients d’Ezakus entre 2011 et 2014 avant de cesser leur collaboration en 2014 et 2015. Car dans les faits, cette clause d’audit est rarement utilisée par les clients. Ainsi, chez Ezakus, un seul éditeur auditerait régulièrement les activités de la société, selon Christophe Camborde. Chez Weborama, peu d’éditeurs auraient réalisé cet audit, mais on met en avant la relation de confiance qui existe entre les régies et leurs partenaires. Une confiance aveugle ? “Pour effectuer un audit, il y a un niveau de technicité minimal nécessaire qui entraîne un coût qui n’est pas toujours anticipé par l’éditeur. Mais s’il pense vraiment qu’il est ‘’volé’’, un audit sera rentabilisé”, confie Christophe Camborde. Ce n’est pas l’avis d’Alexis Marcombe, directeur général délégué au digital de FigaroMedias, pour qui “il est absolument impossible d’auditer : en général les clauses limitent l’audit à 24 heures, il faut donc pouvoir mandater un expert qui trouve des failles en 24 heures… Bon courage. Dans les faits, personne ne peut le faire”, explique-t-il.

Le choix du partenaire data

FigaroMedias travaille pour sa part avec Krux, une société américaine qui fournit un logiciel de DMP. La régie du groupe Figaro n’utilise que ses données first party et ne fait aucun enrichissement par des data extérieures. 14 personnes sont consacrées à la stratégie data au sein du groupe. “Cela simplifie les choses et évite tout risque, mais c’est vrai que c’est un investissement très important, que tout éditeur ne peut pas se permettre. Néanmoins, même un petit éditeur doit se poser ce type de questions : quelle est l’activité des sociétés avec lesquelles je travaille ? Si c’est un service qui n’a que vocation à aider ses clients en tant que prestataire, il y a a priori peu de risques. En revanche, je m’interroge beaucoup sur les DMP qui sont aussi un trading desk”, explique Alexis Marcombe. Choisir un partenaire “mono-thématique”, c’est aussi le conseil d’Augustin Decré, directeur général Europe du sud de nugg.ad, qui n’est évidemment pas tout à fait neutre en la matière. Nugg.ad propose en effet une technologie de ciblage prédictif et d’enrichissement d’audience par des données socio démographiques, ainsi qu’un logiciel DMP. Mais la société ne vend ni n’achète de data. Nugg.ad propose en effet une technologie de ciblage prédictif et de qualification d’audience utilisant les données first party enrichies d’études de marchés (par sondage) ainsi qu’une solution DMP. Mais la société ne vend ni n’achète de data. “Chez un partenaire data, il faut faire attention à ce qu’il y ait une relation de partenariat entre l’offre et la demande et non un bras de fer. Si le prestataire est aussi un vendeur de données, il faut nécessairement se demander d’où cette third-party provient et avoir un maximum de transparence car dans les faits, il y a très peu d’éditeurs qui vendent leurs données si celles-ci ne sont pas associées à du média”, explique Augustin Decré, directeur général Europe du Sud de nugg. ad, qui met également en garde contre les collecteurs de données cachés derrière des tags déposés via des bannières sur un site. “Juridiquement, l’éditeur est responsable et il devrait établir un contrat avec toutes les sociétés qui posent des cookies sur ses pages, pour établir clairement la finalité de chaque tracker”, explique-t-il. Le risque est en effet que ces trackers récoltent de la donnée à l’insu des éditeurs pour la revendre. Weborama et Ezakus, qui sont aussi des fournisseurs de données, affirment acheter des data à des fournisseurs fiables, dont ils ne souhaitent pas révéler le nom. “Je ne suis pas amené à donner les noms parce que la liste de mes fournisseurs est une information confidentielle, d’une part, et que mes clients me demandent surtout des résultats, d’autre part. Mon activité repose sur un modèle à la performance : mes clients annonceurs regardent le résultat des campagnes, dans un cadre média et une cible déterminée”, explique Christophe Camborde.

“””Je m’interroge beaucoup sur les DMP qui sont aussi un trading desk.” Alexis Marcombe, FigaroMedias”

La traçabilité des données tierces en question

A Ysance, une agence conseil en technologies numériques, éditeur d’une DMP, qui mêle données first party et third party, Romain Chaumais, cofondateur et chief marketing officer, reconnaît qu’il est “très difficile d’être des deux côtés de la barrière”. La société, qui compte parmi ses clients L’Express, Prêt d’union, Boulanger, a pour règle d’or de ne jamais utiliser les données de ses clients pour des activités de third party et de les acheter à des acteurs tierces seulement après un travail d’enquête sur leurs méthodes de collecte. “Parmi les acteurs qui donnent accès à ces données tierces, on trouve des sociétés comme addthis (qui place sur les sites une barre de partages sociaux qui collecte de la donnée), mais aussi ShareThis, po.st… qui sont plus ou moins transparentes dans leurs activités. Nous faisons le choix de n’acheter qu’à de grands acteurs comme Axciom (pour la cookification de bases CRM), Exelate (spécialiste de l’enrichissement de l’audience) ou encore Experian (qui fournit des données socio-démographiques), qui ont pignon sur rue et pour lesquels nous mettons des agents qui sécurisent et limitent au strict nécessaire leur collecte de données”, indique Romain Chaumais. “Nous sommes très attentifs à tous les nouveaux acteurs qui entrent sur le marché et il y a une règle : la data collectée respectueusement, cela coûte cher. Toute offre trop alléchante est suspecte”, ajoute-t-il Chez ses clients, les plus attentifs à ces enjeux sont les gros annonceurs, qui ont un service juridique capable de surveiller ces collectes de données, mais chez les éditeurs, la compréhension et la maîtrise de ces problèmes sont beaucoup plus variables.

“””Il est très difficile d’être des deux côtés de la barrière.” Romain Chaumais Ysance”

Un label “data responsable” pour nettoyer le marché ?

Pour nettoyer ce marché des collecteurs abusifs et des partenaires qui pratiqueraient le data leakage, Ysance travaille à l’élaboration d’un label “data responsable” qui garantisse la traçabilité des données third party. Un organisme viendrait alors auditer des régies, des adexchanges, des acteurs de la third party data, etc… pour y évaluer l’usage de la donnée, la sécurisation des bases et leur conformité réglementaire. La certification pourrait prendre deux formes : soit celle d’un label garanti par des organismes tiers – tels que la CNIL ou une instance européenne -, soit une charte ou un club auxquels adhèreraient les sociétés. “C’est un label en cours d’élaboration que nous construisons avec des acteurs tiers. Nous sommes dans une phase de lobbying et nous aimerions qu’une association de consommateurs se joigne à nous”, détaille Romain Chaumais. Selon Christophe Camborde, d’Ezakus, qui ne connaissait pas ce projet, ce label “serait utile pour les acteurs français, mais il n’empêchera pas des acteurs internationaux d’utiliser des données de site français à des fins non contrôlables. Mais oui, cela peut effectivement être une bonne idée pour les sociétés françaises”. Alexis Marcombe (FigaroMedias) trouve l’idée “intéressante”, mais “attend de voir comment cela fonctionnera techniquement.”