RGPD (4/5) : l’intérêt légitime est de moins en moins choisi comme base légale

Les prestataires doivent se prononcer, dans la Global Vendor List (GVL), quant à la base légale sur laquelle ils s’appuient pour neuf des 10 finalités : toutes sauf le dépôt d’un cookie, pour lequel le consentement est obligatoire. Sur le site de l’IAB France, il est en effet précisé que “la finalité 1 permet de répondre aux obligations relatives à la mise en œuvre de la Directive ePrivacy transposée. L’unique base légale possible pour les traceurs non exemptés est le consentement.”

L’intérêt légitime est la seule base légale possible pour les finalités spéciales. Les fonctionnalités et les fonctionnalités spéciales ne sont quant à elles pas sujettes à des bases légales. Le prestataire est toutefois tenu de les mentionner dans sa politique de confidentialité, et de recueillir un “opt-in” pour les deux fonctionnalités spéciales, c’est-à-dire un consentement actif de l’utilisateur, appelé à cocher une case non cochée par défaut.

Notre analyse des choix des sociétés membres de la liste montre que la base légale de l’intérêt légitime, déjà minoritaire ces dernières années, perd encore du terrain sur celle du consentement.

L’intérêt légitime rarement invoqué pour la personnalisation

Les quatre finalités ayant trait à la personnalisation, aussi bien de la publicité que du contenu, sont celles pour lesquelles les prestataires invoquent le moins souvent leur intérêt légitime. Ce n’est par exemple le cas que de 38 des prestataires qui se sont positionnés sur la “sélection de publicités personnalisées” – généralement de façon flexible -, dont l’adnetwork mobile Tapjoy, le SSP vidéo Beachfront Media, ou encore la société spécialisée dans la distribution de vidéos web et mobiles Digiteka.

Dans un document qu’elle a transmis à mind Media, cette dernière justifie son recours à l’intérêt légitime pour cette finalité en trois points : “Premièrement, l’intérêt poursuivi est légitime parce que la législation applicable n’interdit pas la mise en œuvre d’un traitement de données à caractère personnel aux fins de sélectionner des publicités personnalisées et parce que l’intérêt du traitement est déterminé de façon claire et précise : il permet de sélectionner les messages publicitaires en fonction du profil de publicité personnalisée et en fonction des critères de ciblage liés au profil des personnes concernées. Deuxièmement, le traitement est nécessaire puisque la collecte des données de navigation (sites visités, emplacement géographique et intérêts) associée aux informations relatives au profil publicitaire de la personne concernée sont nécessaires pour sélectionner des publicités personnalisées. Troisièmement, le traitement ne heurte pas les droits et intérêts des personnes concernées, compte tenu de leurs attentes légitimes. Digiteka ne collecte à aucun moment des données sensibles, ou qui concerne des personnes vulnérables. Les données ainsi collectées permettent uniquement de sélectionner des publicités personnalisées et ainsi d’éviter de proposer des publicités qui ne soient pas en accord avec les centres d’intérêt de la personne concernée.”

La mesure de la performance des publicités et la mesure de la performance du contenu comptent les pourcentages d’intérêt légitime les plus élevés avec, respectivement, 37 % et 34,5 % des prestataires qui se sont positionnés sur ces finalités. ZBO Media fait partie de ceux qui ont choisi l’intérêt légitime pour la mesure de la performance des publicités. “Le modèle de facturation des clients étant fondé sur les impressions ou les clics, nous devons comptabiliser chacun d’eux. C’est un simple comptage qui ne se fait pas sur la base des profils utilisateurs” explique son directeur général, Antoine Saglier.

Les contraintes de l’intérêt légitime

Plusieurs raisons expliquent que beaucoup de prestataires préfèrent le consentement à l’intérêt légitime comme base légale. “Il faut en général un consentement pour des traceurs, et l’intérêt légitime est bien plus contraignant à mettre en œuvre que le consentement car il peut impliquer des mesures de protection additionnelles et un droit d’opposition renforcé. Le consentement est plus simple à gérer sans modifier en profondeur ses flux de données, explique Benoît Oberlé, fondateur du data provider Sirdata et vice-président du TCF Steering Group de l’IAB Europe. En outre, compte tenu des quantités de données brassées et du nombre de destinataires dans une bid request, le programmatique tel qu’il fonctionne aujourd’hui laisse peu de place à l’intérêt légitime comme base légale pour la publicité ciblée”.

De fait, certains éditeurs montrent une préférence marquée pour le consentement. “Dans le cadre de nos exploitations publicitaires, nous nous basons uniquement sur le consentement, dans le respect des recommandations de la CNIL. Nous incitons donc activement les prestataires membres du TCF à s’appuyer également sur cette base légale pour tous leurs traitements, ou a minima à nous laisser le choix via l’option “flexible””, indique à mind Media la directrice programmatique, data et partenariats de la régie M6 Publicité, Elise Guyard.

Une centaine de sociétés seulement (environ 16 %) ont opté pour l’intérêt légitime pour toutes les finalités pour lesquelles ils avaient le choix avec le consentement. Cela signifie même les neuf finalités pour une douzaine d’entre elles, dont l’adnetwork vidéo français Digiteka, les DMP 1plusX et Acxiom (Interpublic Group), l’acteur de la recommandation de contenus Revcontent ou encore l’éditeur de contenus interactifs Playbuzz. “Nous recommandons l’intérêt légitime comme base légale à nos éditeurs, bien qu’in fine nous leur laissons le dernier mot grâce au choix flexible, indique le CTO de Digiteka Christophe Rosko. Afin de justifier le recours à l’intérêt légitime pour fonder légalement le traitement de données à caractère personnel, nous avons réalisé un examen attentif entre l’intérêt de Digiteka et les intérêts et droits fondamentaux des personnes concernées afin de s’assurer qu’il n’existait aucun déséquilibre significatif en sa faveur.” À l’inverse, près de 400 acteurs (environ 60 %) n’ont choisi que le consentement. C’est par exemple le cas des sociétés spécialisées dans le CRM onboarding LiveRamp et Temelio (Ermes), des DMP Eulerian Technologies, Cxense et Mediarithmics, etc.