RGPD : l’intérêt légitime invoqué par des acteurs publicitaires pour se passer du consentement des internautes

Pour traiter les données à caractère personnel dans le cadre du RGPD, les entreprises doivent respecter l’une des six bases légales fixées par le RGPD : l’exécution d’un contrat, l’obligation légale, l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, l’intérêt vital, l’intérêt légitime et le consentement.

Pour chacune des cinq finalités prises en compte par le transparency & consent framework de l’IAB Europe (voir encadré et notre précédent dossier), les acteurs de la publicité en ligne peuvent se référer à deux bases légales : le consentement et l’intérêt légitime (voir encadré). Un choix qui n’a rien d’anodin et sur lequel ils ont fait travailler leurs avocats pendant des mois. Les conséquences de l’un et de l’autre sont en effet très différentes.

Choisir de s’appuyer uniquement sur le consentement des utilisateurs pour tous les traitements, c’est risquer de perdre les données des internautes les plus rétifs à la publicité en ligne. D’autant que la manière dont les éditeurs vont demander le consentement à leurs lecteurs varie beaucoup d’un pays à l’autre : opt-in strict au Royaume-Uni, action implicite (poursuite de la navigation) en France, intérêt légitime en Allemagne… L’impact chiffré est difficile à mesurer, mais dans un marché où deux acteurs, Google et Facebook, concentrent la quasi totalité de la croissance, chaque cookie perdu a un impact sur les revenus des éditeurs et de leurs prestataires.

Les risques d’invoquer l’intérêt légitime

Si Etienne Drouard, avocat du cabinet K&L Gates, souligne que “le RGPD ne fait primer aucune base légale sur les autres”, l’intérêt légitime présente toutefois quelques inconvénients qui n’en font pas un choix aussi évident qu’il y paraît. D’abord, ce n’est pas la plus simple à défendre, car la loi y met plusieurs garde-fous. C’est au responsable du traitement de démontrer que son intérêt légitime (intérêt économique, prévention de la fraude, sécurité…) prévaut sur celui de l’internaute (sa vie privée, atteinte à la réputation…). L’intérêt du responsable de traitement ne doit pas prévaloir sur les intérêts, les libertés et droits fondamentaux de la personne, et il doit s’arrêter lorsque des données “sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un traitement ultérieur”. En attendant une éventuelle jurisprudence qui clarifierait le cadre où il est acceptable d’invoquer l’intérêt légitime, les éditeurs et prestataires qui l’invoquent prennent un pari sur l’avenir.

En outre, cette base légale est menacée à plus ou moins long terme. “Il existe, dans le cadre des discussions sur le projet de Règlement ePrivacy (relatif à la vie privée et à la confidentialité des communications électroniques) un risque que l’intérêt légitime soit supprimé, explique Valérie Chavanne, avocate fondatrice du cabinet LegalUP Consulting et membre du board de l’IAB Europe jusqu’en mars dernier. Si cela arrivait, un certain nombre d’acteurs de l’écosystème qui n’ont pas décidé d’utiliser la base légale du consentement seraient dans l’obligation de détruire leurs bases de données et de renoncer à un asset majeur”.

Le consentement reste privilégié

L’une des grandes inconnues qui entouraient l’entrée en vigueur du RGPD dans la publicité en ligne résidait donc dans les choix juridiques des différents acteurs. Quelle base légale allait l’emporter ? La “vendor list” créée dans le cadre du transparency & consent framework de l’IAB Europe apporte plusieurs éléments de réponse. D’abord, le consentement est la base légale globalement privilégiée par les prestataires, mais ils sont nombreux à s’appuyer au moins en partie sur l’intérêt légitime. A l’exception de la finalité “Mesure”, pour laquelle la majorité des acteurs ont choisi l’intérêt légitime, le consentement est privilégié pour toutes les autres finalités (voir graphique).

Au 30 mai 2018, 56 % des acteurs de cette “vendor list” (158 sur 282) le revendiquaient pour au moins l’une des cinq finalités prévues par le framework. A cette même date, ils étaient même 28 (10 %) à le revendiquer pour toutes les finalités.

L’industrie cherche encore sa base légale

Ces chiffres soulignent également l’absence de consensus au sein de l’industrie. Alors que l’on aurait pu s’attendre à ce que le consentement soit jugé plus pertinent pour une finalité, et l’intérêt légitime pour d’autres, les prestataires sont partagés. Par exemple, un peu plus d’un acteur sur deux a choisi l’intérêt légitime pour la finalité “Mesure”, et un sur trois pour les finalités “Personnalisation” et “Information de stockage et d’accès”. Ils sont 10 % à invoquer l’intérêt légitime pour les cinq finalités, 12,7 % pour quatre finalités, 6,7 % pour seulement trois d’entre elles… Et 124 acteurs ont préféré ne s’appuyer que sur le consentement (voir graphique).

Les deux finalités pour lesquelles les prestataires revendiquent le plus souvent l’intérêt légitime sont la “sélection, livraison et reporting publicitaire” et la “mesure”. “Pour la première finalité (“Information de stockage et d’accès”), qui concerne le dépôt des cookies, le consentement des personnes est la base légale la plus naturelle. Mais l’intérêt légitime peut parfaitement être invoqué pour les quatre autres finalités”, estime Etienne Drouard, (K&L Gates), qui a conseillé plusieurs prestataires.

Par ailleurs, Matthias Matthiesen, directeur de la confidentialité et des politiques publique de l’IAB Europe, note que “ce n’est pas parce qu’un prestataire invoque l’intérêt légitime sur une finalité donnée qu’il pourra se passer du consentement utilisateur pour traiter cette donnée, si l’éditeur a pris le consentement comme base légale”.

Des pressions contre l’intérêt légitime

Mais tous les acteurs de la publicité en ligne ne voient pas l’intérêt légitime du même oeil. Certains acteurs, notamment américains, jugent trop risqué de s’appuyer sur l’intérêt légitime plutôt que sur le consentement. Pour rappel, les amendes en cas de manquement aux règles du RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial de la société épinglée pour manquement au droit des personnes (droit d’accès, de rectification, d’opposition, de suppression…). Google se sait particulièrement surveillé.

Plusieurs acteurs français ont confirmé à mind Media recevoir beaucoup de pression, de la part d’acteurs tels que Google, AppNexus et Oracle, pour transmettre des data plutôt accompagnées d’un consentement que de l’intérêt légitime. “Des sociétés américaines ont soumis à leurs partenaires commerciaux des contrats dans lesquels ils leur demandent de se placer sous un engagement de consentement. S’ils refusent de le signer, ils menacent de rompre les relations”, précise Etienne Drouard. “Au lieu de fermer leur service s’ils pensent qu’il est contraire au RGPD, ces acteurs préfèrent continuer de prendre l’argent et demander à leurs co-contractants européens de se charger de leur assurance vie en obtenant un consentement qu’eux-mêmes ne peuvent pas obtenir. Mais ils se trompent s’ils pensent qu’ils vont régler la question par les contrats”.

“Cette polémique autour de l’intérêt légitime ne se résume pas à une bataille réglementaire, car les impacts légaux risquent d’être moins significatifs que les enjeux de compétition économique”, estime Valérie Chavanne.

Les acteurs français indécis

Plusieurs acteurs français sont revenus ces derniers jours sur leurs bases légales, sans qu’il nous soit possible d’affirmer que ces choix soient liés à ces pressions. En mai, Sirdata et Armis invoquaient par exemple l’intérêt légitime pour les cinq finalités du framework. Le 7 juin, Armis ne l’invoquait plus que pour la troisième finalité, et Sirdata pour les finalités 3, 4 et 5. Pour autant, on ne peut pas encore parler d’un recul général de l’intérêt légitime.

Le 5 juin 2018, 43 % d’acteurs n’invoquaient pas du tout l’intérêt légitime, contre 44 % le 30 mai. Le 6 juin, quelques acteurs français continuaient de revendiquer l’intérêt légitime pour les cinq finalités, dont Weborama, Digiteka, Publicis Media et mindLytix. Plusieurs le revendiquaient pour quatre finalités, dont 1000mercis, Mediarithmics, Adventori et S4M. A noter que côté éditeurs médias, Le Groupe Le Monde invoque lui aussi l’intérêt légitime et n’installe pas pour l’instant de plateforme de consentement.

mind Media a interrogé, sous couvert d’anonymat, l’un des prestataires français attaché à l’intérêt légitime : “Le choix d’une base légale se réfléchit. Nous n’avons pas pris cette décision à la légère et nous nous sommes fait accompagner par un avocat. Nous-nous considérons comme responsables de traitement, mais il nous est difficile de collecter le consentement. Compte tenu des mécaniques de collecte du consentement, nous avons une raison économique de ne pas le choisir comme base légale. Et puis, ce n’est pas parce que nous ne demandons pas le consentement que nous ne travaillons pas avec la data de façon éthique. Nous prenons toutes les précautions possibles, par exemple en ne traitant aucune donnée directement identifiante (prénom, nom, adresse postal, email) ni donnée sensible au sens de la loi. Nous avons aussi revu toutes nos politiques de confidentialité”.