RGPD : 10 enseignements après la refonte des CMP des médias en ligne pour le TCF v2

Pour mieux respecter le RGPD, depuis le 1er octobre, tous les consentements des internautes pour le dépôt de cookies et traceurs – principalement utilisés pour le tracking publicitaire – doivent avoir été collectés par la deuxième version du TCF, le transparency and consent framework de l’IAB (TCF v2) afin d’être être utilisés sur la chaîne publicitaire en ligne de manière licite.

Tout au long de ces trois derniers mois, les éditeurs ont donc adapté les configurations techniques et le design de leur CMP, ce petit module qui s’affiche sur les sites pour recueillir et diffuser le consentement ou le non consentement des internautes à l’usage de leurs données personnelles.

mind Media a sollicité Luc Vignon, directeur général adjoint de la régie 366 en charge de la transformation numérique, Jérémy Parola, directeur des activités numériques de Reworld Media, Romain Gauthier, président de Didomi, Benoit Oberlé, président de Sirdata, et Michael Froment, PDG de Commanders Act, pour présenter dix des enseignements à retenir sur l’installation des nouvelles CMP conformes au nouveau TCF.

1 – Le passage au TCF v2 s’est bien passé

C’est sans doute le constat le plus important et qui a soulagé les éditeurs médias : malgré quelques bugs et des réglages à effectuer par les équipes digitales et techniques, l’adaptation des CMP à la deuxième version du TCF de l’IAB (TCF v2) s’est déroulée dans de bonnes conditions ; la transmission des données entre acteurs fonctionne globalement correctement.

Il s’agit pourtant d’une révolution technique – les TCF v1 et v2 sont très distinctes – et certains acteurs redoutaient des bugs importants, à même de nuire à la chaîne de consentement et d’impacter largement leurs revenus publicitaires dès le 1er octobre, du fait des avertissements préalables de Google sur le respect scrupuleux des nouveaux protocoles.

Premier constat : le vrai gendarme de la publicité en ligne, s’il en fallait encore une preuve, est donc Google, qui avait annoncé ne plus travailler avec des éditeurs n’ayant pas de TCV v2.

Deuxième constat : l’intérêt légitime ne suffit plus. Là où une large partie des éditeurs médias mettaient encore en avant il y a quelques mois le seul intérêt légitime pour justifier la collecte de données et n’utilisaient pas de CMP – où en avait installé une avant de la retirer -, tous désormais en ont également installé une. Au 16 octobre, 88 sites parmi les 100 premiers médias en ligne mesurés par l’ACPM ont implémenté une nouvelle CMP. 11 sont en cours de déploiement (consultez les choix de CMP effectués par le top 100 des médias en ligne).

2 – Des problèmes techniques demeurent

De nombreux dysfonctionnements sont cependant constatés dans certaines situations. La plupart sont d’ordre technique : avec des erreurs d’implémentation, des CMP pas reliées avec la console de tag (le consentement est alors toujours positif) ou encore le non consentement qui entraîne l’incapacité à délivrer une publicité, y compris non enrichie de donnée. L’ensemble des acteurs travaillent activement sur ces sujets.

C’est un secret de polichinelle : très peu de CMP étaient jusque-là respectueuses d’une lecture stricte du RGPD, celle qu’en fait la Cnil en France. Et encore aujourd’hui, des pratiques grises demeurent, avec par exemple des boutons “Tout refuser” qui ne fonctionnent pas ou sont absents.

Les éditeurs disposent encore de six mois (jusqu’en mars) pour adapter leur CMP à la nouvelle directive de la Cnil. Un constat peut déjà être fait : le consent wall se développe ; ce dispositif via lequel l’internaute doit obligatoirement effectuer un choix positif à l’utilisation de ses données pour accéder au contenu du site.

3 – Google a modifié une partie de ses normes techniques

C’est suffisamment rare pour être souligné : Google, habitué à faire peu de concessions sur le marché publicitaire et à imposer ses normes, a accepté de s’aligner en partie sur celles de l’IAB (l’inverse est vrai également). Par exemple en apportant fin septembre un changement majeur : le chargement de la CMP mise en place sur les sites médias n’est désormais plus soumis à un “timeout”, lequel conduisait à des erreurs 2.1a. C’est un premier pas en direction du marché. Mais d’autres interprétations du TCF par Google restent problématiques, particulièrement le fonctionnement des tags d’Adsense, sa régie publicitaire pour sites web et chaînes YouTube.

4 – Didomi s’impose comme la CMP privilégiée des éditeurs

La nouvelle version du TCF, plus complexe que la première, imposait une refonte complète des CMP. Une tendance claire apparaît : sur 98 des 100 premiers médias en ligne français mesurés par l’ACPM ayant installé une CMP ou en passe de le faire (notre décryptage), Didomi détient 63 % de part marché. Le chiffre est plus important encore si on y intègre les sites médias considérés comme majeurs mais non certifiés par l’ACPM, par exemple les sites du groupe Webedia (20 sites environ en France), qui a aussi Didomi comme fournisseur.

Le choix semble logique : Didomi est le seul acteur exclusivement dédié aux éditeurs médias. L’outil de Commanders Act est tourné plutôt vers les annonceurs (même s’il a plusieurs médias clients), comme OneTrust, tandis que Sourcepoint est positionné sur la gouvernance des données au sein de l’entreprise. Quantcast et Sirdata, qui ont développé une activité de CMP pour compléter de façon opportuniste leur activité principale de fournisseur de données, n’ont pas convaincu les principaux éditeurs. Les positions pourraient bouger en 2021 : on prête à Google l’ambition de proposer une CMP au marché.

5 La CMP est devenu un projet d’entreprise

La CMP est devenu un enjeu clé pour un groupe média et mobilise tous ses services. Cela a souvent été l’occasion de mieux travailler collectivement en interne, entre éditeur, régie publicitaire, direction technique et service juridique. C’est aussi la première étape parfois vers une meilleure considération accordée à l’internaute.

6 – Quelques libertés dans le recueil du consentement

Parmi les libertés dont dispose les éditeurs depuis la nouvelle directive de la Cnil : rien ne semble empêcher un site de multiplier les demandes de consentement. La Cnil évoque une durée de conservation des choix qui devra être appréciée “au cas par cas”, tout en recommandant aux éditeurs de conserver et d’utiliser ce choix durant six mois ; une période qu’ils trouveront sans doute excessive pour l’ensemble des internautes consultant peu fréquemment leur site et ayant exprimé un premier refus. 

Le principe du “cookie wall” (conditionner l’accès à un site ou une application à un internaute par son consentement au dépôt de cookie) est désormais admis à condition de lui donner une alternative (souscrire un abonnement par exemple) ; la Cnil intègre ici la décision du Conseil d’Etat de juin.

La question du design des CMP est centrale pour le respect du RGPD. En assouplissant sa lecture du texte européen sur ce point et en proposant, dans ses recommandations du 1er octobre, quelques exemples de bonnes pratiques en matière de design pour les éditeurs, la Cnil a offert quelques libertés aux médias : l’organe insistait jusque-là pour que le bouton “tout refuser” (refuser tous les cookies) soit systématiquement inséré sur la première fenètre des CMP au même niveau que le bouton “tout accepter”. 

La Cnil accepte maintenant que ce bouton soit remplacé par le bouton “continuer sans accepter” à côté des boutons “personnaliser vos choix” et “tout accepter”. Une option très utilisée actuellement par les éditeurs.

7 – Le TCF v2 renforce le pouvoir de Google

Beaucoup de réglages et de données des CMP sont réalisés via l’adserver. Or les adservers des principaux médias en ligne français sont massivement fournis par Google.

8 – Une connexion avec les acheteurs à améliorer

La transmission des données entre éditeurs médias et SSP semblent correctement réalisée. C’est du côté des acheteurs avec les DSP que plusieurs vendeurs publicitaires signalent des défaillances. Ces problèmes techniques devront être réglés tout au long des prochains mois.

9 – Les CMP sur mobile doivent être travaillées

Les éditeurs ont une maitrise technique moindre de l’univers mobile et leurs partenaires également. Les CMP sur application et web mobile sont donc à travailler, tant du point de vue des fonctionnalités techniques que de l’interface : du fait d’une taille d’écran plus réduite que sur ordinateur, le privacy by design sur mobile est encore plus complexe par les éditeurs à gérer.

Autre difficulté, la gestion de Google AMP, qui nécessite encore une intégration fine et des efforts techniques importants. Enfin, l’interfaçage entre les CMP des éditeurs avec certains revendeurs – les sociétés de drive-to-store via les SDK notamment – semble là aussi délicate, du fait des données de géolocalisation à gérer.

10 – La relation client va devenir clé

Les pratiques des éditeurs restent souvent grises et l’information au lecteur minimale et peu claire, par exemple lors des consent walls installés, où aucune explication sur la démarche n’est apportée à l’internaute.

Les éditeurs doivent changer d’approche. Alors que la CMP est jusqu’ici un considérée comme une contrainte technique, ils doivent l’intégrer plus étroitement dans expérience client : la CMP peut et doit devenir un outil de relation client.

Elle permet aux médias une granularité dans le choix des vendeurs et dans les finalités possibles. Elle peut également être personnalisée, voire devenir une première fenêtre de dialogue entre l’éditeur et son audience. Ces options, actuellement peu utilisées, peuvent devenir un atout au service de la pédagogie et de l’engagement de l’internaute envers le titre média.

Avec certes une contrainte à gérer : le parcours du consentement entre les différents écrans pour combattre la frustration induite par une multiplicité des demandes de consentements sur le web.