Les éditeurs se préparent au RGPD

Ces dernières années, la donnée est devenue centrale dans l’activité des éditeurs médias. Leurs régies l’utilisent pour augmenter leurs CPM et leurs équipes marketing l’exploitent pour proposer des contenus personnalisés et faciliter le recrutement de nouveaux abonnés. De nombreux éditeurs se sont ainsi dotés d’une DMP. France Télévisions a adopté Krux en septembre 2015 et migré vers BlueKai (Adobe) début 2018. La Croix, Le Figaro, Lagardère Publicité et le groupe M6 travaillent avec Krux, Le Monde avec Weborama. Altice Media (L’Express, Libération, NextRégie) a choisi Eulerian Technologies en 2017. Ces derniers mois, une trentaine d’éditeurs médias rassemblés dans l’alliance Gravity ont aussi placé sur leurs sites le tag de Mediarithmics.

Les médias seront particulièrement observés

Déjà surveillés de près depuis quelques années par la CNIL pour l’usage qu’ils font des cookies, les médias n’auront pas droit à l’erreur quant au respect du règlement sur la protection des données (RGPD). Prisma Media s’est penché sur la question du RGPD début 2017. “C’est un enjeu important pour le groupe, car nous recevons des millions de lecteurs chaque mois sur nos environnements. Comme nous avions été contrôlés par la CNIL il y a quelques années, nous avions déjà pris plusieurs mesures, en épurant nos bases de données et en les sécurisant”, explique Yoann Denée, le chief data officer du groupe. “Entre le recours à des consultants et la mobilisation de plusieurs salariés sur une longue période, la mise en conformité représente un investissement financier et RH important. Mais nous voulons en faire une opportunité pour rétablir la confiance avec nos lecteurs”, indique pour sa part Xavier Genovesi, directeur juridique des groupes Les Echos et Le Parisien (LVMH).

Les 6 priorités de la CNIL

En mars 2017, la CNIL a publié un guide pratique présentant les six étapes que les entreprises doivent suivre pour se préparer au RGPD : désigner un pilote (DPO), cartographier les traitements de données personnelles, prioriser les actions à mener, gérer les risques, organiser les processus internes, et documenter la conformité. C’est la feuille de route qu’ont suivie la plupart des éditeurs interrogés par mind Media. Prisma Media a ainsi désigné comme DPO son chief data officer Yoann Denée en octobre 2017. Certains éditeurs, comme 20 Minutes et les groupes Les Echos et Le Parisien, font le choix d’externaliser leur DPO en confiant cette responsabilité à un cabinet. Pour Les Echos et Le Parisien, il s’agit de Stéphane Petitcolas, expert protection des données au sein du cabinet TNP Consultants, qui a oeuvré au sein de la CNIL pendant cinq ans (sa fiche LinkedIn).

Le travail de cartographie a par exemple permis à Prisma Media d’identifier chez certains prestataires des pratiques peu compatibles avec la nouvelle réglementation. “Nous avons stoppé certains partenariats qui ne semblaient pas conformes, même si cela signifie se priver de certains revenus, indique Yoann Denée. La régie publicitaire du groupe a retiré certaines offres de son catalogue.

Les éditeurs négocient aussi de nouvelles clauses RGPD dans les contrats avec leurs sous-traitants, notamment ceux avec lesquels ils traitent pour la publicité en ligne. “Nous précisons les mesures de sécurité mises en places, les obligations de notification en cas de violation des données personnelles et de tenue de registre”, explique Marion Courtier, responsable juridique en charge du chantier RGPD au groupe Figaro. “La priorité va aux contrats qui impliquent beaucoup de données, comme ceux que nous avons avec Google, Facebook et Amazon, indique Xavier Genovesi (Les Echos et Le Parisien). La prochaine étape consistera à auditer les systèmes d’information de nos prestataires pour s’assurer qu’ils répondent aux exigences en matière de sécurité”.

Accompagnement

La plupart des éditeurs ont fait appel aux services de consultants. Outre le cabinet TNP Consultants qui l’accompagne depuis plusieurs mois, Les Echos et Le Parisien ont commencé par confier à Wavestone la cartographie générale de ses traitements de données. France Télévisions se fait accompagner par le cabinet Converteo, et Prisma Media travaille notamment avec le collège juridique du CPA, le collectif pour la performance et l’acquisition. Formé de plusieurs cabinets d’avocats, il rédige des fiches pratiques pour le RGPD et échange des bonnes pratiques. Par ailleurs, chez Prisma Media, une douzaine de formations ont été menées sur plusieurs mois par des avocats spécialisés auprès des salariés qui traitent les données.

Adaptation des organisations

Les éditeurs ont aussi mis en place en interne des équipes dédiées à la gestion de ces nouvelles obligations. En septembre, Prisma Media a constitué une équipe de six personnes autour de Yoann Denée. Elle compte un représentant du service juridique et un expert de la sécurité des systèmes d’information, une personne chargée de la documentation et de l’implémentation (analyse d’impact, registre…). Une autre est chargée de la coordination et de la mise en œuvre de projets transverses. Enfin, une personne traite les demandes des utilisateurs en matière de droit à l’information, modification et suppression. A partir du 25 mai, cette équipe se réunira une fois par mois. La cellule mise en place pour les groupes Les Echos et Le Parisien est composée de salariés de la direction juridique, de la direction des systèmes d’information et du DPO. Au sein du groupe Figaro, une cellule data réunit 25 ambassadeurs RGPD qui représentent chacun une entité du groupe. Chez 20 Minutes, la cellule RGPD est constituée depuis l’été 2017 de deux référents – Mickaël Fromentoux, directeur numérique et Winoc Coppens, directeur des systèmes d’information – et de correspondants métier dans chaque direction de l’entreprise.

“Jusqu’à présent, les déclarations CNIL étaient gérées par la direction juridique. Demain, ce travail sera déplacé auprès du DPO, qui va constituer un registre de traitement avec chaque business unit. Dès que l’une d’elles aura à traiter un volume important de data, une analyse d’impact sera réalisée. Et nous avons communiqué en interne les 10 bonnes pratiques en matière de données personnelles. Les process que nous mettons en place nécessiteront de faire travailler ensemble un plus grand nombre d’experts qu’aujourd’hui, et cela créera plus d’interactions entre la direction des systèmes d’information, la direction juridique et le DPO “, précise Xavier Genovesi (groupes Les Echos et Le Parisien).

Nouvelle communication

Les éditeurs adoptent aussi une nouvelle communication sur ces sujets. En septembre 2017, Prisma Media a ainsi publié une charte sur la protection des données et en octobre des conditions générales incluant Prisma Connect, un service destiné à augmenter le nombre d’utilisateurs connectés à travers tous ses sites. Fin février, il a aussi présenté sur son site internet la liste de tous les cookies qu’il dépose, en précisant l’usage de chacun.

En juillet 2017, France Télévisions a également publié sa “charte data friendly” pour s’engager sur la protection des données de ses utilisateurs et va mettre à leur disposition une interface pour exercer leur droit à la portabilité et à l’oubli, notamment.