RGPD : 19 éditeurs français ont créé leur propre consent management platform (CMP) en mai 2019

Pour faciliter la transmission du consentement dans le cadre du RGPD, l’IAB Europe a mis en place il y a un an le transparency & consent framework (TCF) (lire sur notre site). Ce mécanisme prévoit notamment que les éditeurs doivent mettre en place sur leur site une consent management platform (CMP), qui enregistre les choix des internautes et les transmet à leurs partenaires. Ils peuvent développer cet outil par eux-mêmes, ou faire appel à ceux proposés par des acteurs spécialisés ou des sociétés adtech. Pour être compatibles avec le TCF, ces CMP doivent être enregistrées auprès de l’IAB Europe (la liste ici), moyennant 1 350 dollars.

Les Etats-Unis, premiers sur les CMP

En octobre 2018, mind Media avait analysé la liste des plateformes qui avaient fait cette démarche pour mieux connaître le profil de ces nouveaux acteurs. Nous avons réitéré cet exercice pour comprendre l’évolution de ce marché. 197 services étaient enregistrés auprès de l’association le 20 mai 2019, contre 151 en octobre 2018 et seulement 50 en juin. Avec 32 CMP enregistrées, le Royaume-Uni était le pays qui en comptait le plus à l’automne dernier. Il a depuis été devancé par les Etats-Unis, qui en ont désormais 41 (+ 12), et la France, qui en a 37 (+ 8). L’Allemagne en a gagné quatre nouvelles et la Pologne six.
 

Il y a presque autant de CMP privées que de CMP commercialisées et publiques

L’IAB Europe a classé ces plateformes en trois catégories. Premièrement, les CMP dites de “service”, c’est-à-dire commercialisées ou proposées gratuitement à tous les acteurs qui voudraient en installer une sur leur site. Il en existe 87. Deuxièmement, les CMP “privées”, créées par un acteur – généralement un éditeur – pour ses seuls besoins. Ils sont 85 à avoir fait ce choix. Troisièmement, les CMP “non opérationnelles”, au nombre de 25, qui se sont enregistrées auprès de l’IAB Europe mais n’ont pas confirmé avoir mis leur technologie en conformité avec les spécifications techniques du framework.
 

24 pure players des consent management platforms

Parmi les 197 acteurs à avoir créé une plateforme, 24 peuvent être considérés comme des pure players, bien que certains soient aussi connus pour d’autres activités dans le domaine de la privacy et de la gestion de l’adblocking, comme Sourcepoint. Deux d’entre eux, Chandago et Didomi, sont français (voir encadrés). Le Royaume-Uni compte neuf pure players, dont trois – Bitqueen (Bit Q Holdings), Clym (fondée en 2018, l’entreprise est enregistrée au Royaume-Uni, mais tous ses fondateurs et salariés sont basés en Roumanie) et Syrenis (fondée en 2015 par Nicky Watson) – ont intégré la liste depuis octobre. Trois autres spécialistes de la privacy y sont apparus au cours de la même période : les américains PrivacyCheq (ex-AgeCheq, l’entreprise a levé 2 millions de dollars depuis sa création en 2013) et Ensighten (plus de 100 millions de dollars levés depuis sa création en 2009) et l’italien iubenda (créée en 2011 par Andrea Giannangelo et Domenico Vele). Mais deux autres, Databoxer et Predesto, l’ont quitté. Leurs sites ne sont même plus accessibles.

Parmi ces pure players, certains semblent avoir profité du RGPD pour se lancer : Clym et Usercentrics ont été créés en 2018, Chandago, ConsentEye, Didomi, Faktor (LiveRamp) et Uniconsent ont vu le jour en 2017. D’autres CMP ont été développées par des entreprises spécialisées depuis très longtemps dans la gestion de l’e-privacy, comme Ensighten, Baycloud, Trunomi et TrustArc.

Parmi les 87 CMP commercialisées ou publiques, 61 ont été créées par une société adtech. Dont neuf par un acteur français : Commanders Act, Fidzup, Golden Bees (mise en avant d’offres d’emploi via la publicité programmatique), Madvertise, Ogury, Singlespot, Sirdata, Vectaury et Adlive. “Les éditeurs avec lesquels nous travaillons ne font pas toujours l’effort de mettre en place une consent management platform, si bien que les DSP qui sont sensibles à cette question risquent de ne pas enchérir sur leurs bid requests. Nous avons donc développé une CMP pour les aider à ne pas perdre d’opportunité de monétisation”, expliquait en octobre 2018 à mind Media le co-fondateur d’Adlive, Hammad Benjelloun. C’est aussi pour aider les éditeurs de son réseau à lui fournir une information de consentement valide que l’acteur de la collecte de données Sirdata a créé sa CMP. Commanders Act, de son côté, a profité de la création du transparency & consent framework pour y enregistrer la solution de recueil du consentement qu’il a créé dès 2012.
 

Plutôt que de développer une CMP, le data provider LiveRamp a choisi d’en acquérir une. Il a racheté en avril 2019, pour un montant non précisé, le pure player Faktor, créé en mai 2017 aux Pays-Bas par Tim Geenen.

19 éditeurs français ont leur propre CMP

Par ailleurs, de nombreux éditeurs ont créé leur propre service privé. 17 éditeurs français ont fait ce choix, ce qui en fait le plus grand contingent, puisque seulement huit médias polonais les ont imités, sept au Royaume-Uni et aux Etats-Unis, six en Italie. Six de ces éditeurs français ont créé leur plateforme depuis octobre 2018. Il s’agit d’Auféminin (Unify / TF1), Leboncoin, Orange, Pages Jaunes, Paru Vendu et Web Media. Celle de Dailymotion est passée de “non-opérationnelle” à “privée”.

A l’international, DMG Media (Daily Mail, Mail Online) au Royaume-Uni, Burda Forward en Allemagne et Rossel en Belgique ont aussi sauté le pas. Axel Springer (Bild, Welt) a choisi de lancer  une CMP de service, avec un code open source.

“Les CMP sont un élément clé de la monétisation publicitaire des éditeurs et de la relation avec leurs lecteurs, il est donc compréhensible que ceux qui ont une expertise technologique suffisamment forte soient tentés de créer la leur”, analysait en octobre 2018 Bruno Delcombel-Delbos (Chandago).

25 CMP n’ont pas été validées par l’IAB Europe

En revanche, 25 CMP candidates au transparency & consent framework n’avaient pas reçu, au 20 mai, l’autorisation de transmettre un consentement valide, soit 11 de moins qu’en octobre. “Les CMP qui figurent dans la catégorie “non-opérationnelle” sont celles qui se sont enregistrées mais n’ont pas confirmé que leur installation technique est conforme à nos spécifications. L’IAB Europe demande régulièrement à toutes les CMP qu’elles réaffirment qu’elles adhèrent aux règles et aux conditions générales du framework. Seules les CMP conformes peuvent transmettre une information de consentement valide”, précisait fin 2018 Mattias Matthiesen, alors directeur privacy & public policy de l’IAB Europe. Pour l’heure, les CMP validées le sont donc uniquement sur la base de leurs déclarations. Pour aller plus loin, l’IAB a annoncé en février 2019 le lancement de CMP Validator, une extension pour le navigateur Chrome qui analyse le respect des spécifications techniques du transparency & consent framework par les outils de gestion du consentement.  

Parmi les acteurs qui n’ont pas encore répondu positivement aux questions de l’IAB Europe figurent de grands noms de l’adtech, comme l’outil de recommandation de contenus Taboola, et de grands éditeurs, dont ProSiebenSat.1 et Prisa. Quatre acteurs français sont aussi concernés : les prestataires Eulerian Technologies et Teads, ainsi que les éditeurs Cambium Media et Planet Media.

Comme mind Media l’expliquait en octobre, les raisons sont nombreuses. Rémi Cackel, senior product manager en charge de la donnée utilisateur chez Teads justifiait ainsi la non-conformité de sa solution : “Le fait d’être enregistré en tant que CMP non opérationnelle nous permet de récupérer l’information du consentement quand elle est présente, mais pas de la collecter auprès de l’utilisateur. Cela nous permet par exemple de récupérer cette information même lorsque la CMP choisie par l’éditeur est trop lente, ou lorsque l’éditeur n’a pas implémenté de CMP. Ainsi, le consentement de l’utilisateur peut tout de même être utilisé, notamment pour déterminer si une publicité ciblée peut lui être proposée ou non”.

Certains acteurs ont aussi fait le choix de se déclarer non-conformes en raison de l’incertitude juridique qui entoure encore le TCF : “Nous avons déclaré notre CMP très tôt mais nous attendons, pour aller plus loin, des clarifications juridiques sur ce qui constitue un consentement valide aux yeux des autorités de protection des données personnelles de chaque pays”, précisait le fondateur d’Eulerian Technologies Emmanuel Brunet.

Certaines des plateformes classées comme “non-opérationnelles” en octobre ont depuis changé de catégorie. C’est notamment le cas de celle du Guardian, passée “privée”, et de celle du retargeter américain AdRoll, passée dans la catégorie “service”. Certaines ont purement quitté la liste, comme celles de la SSP-DSP danoise Adform et du spécialiste du marketing contextuel américain Vibrant Media.
 

Les CMP créées par des acteurs français (au 20 mai 2019) :