RGPD : quelles données les acteurs français de la publicité en ligne recueillent-ils ?

La publicité en ligne est régulièrement critiquée, notamment par les annonceurs, pour son manque de transparence. Plusieurs initiatives récentes montrent pourtant que l’industrie est prête à quelques efforts. Deux d’entre elles émanent de l’IAB Tech Lab, le pôle technologique de l’IAB. Il y a un an, il créait ads.txt, un outil pour lutter contre la fraude dans la publicité en ligne, qui a eu pour conséquence inattendue de faire la lumière sur la manière dont les éditeurs vendent leurs inventaires publicitaires, via des SSP et des sous-régies. Il y a quelques mois, il a mis en place le transparency & consent framework, dont le bénéfice inattendu est cette fois de montrer le type de données (géolocalisation, cross-device, matching de données offline, mesure…) pour lesquelles les prestataires (SSP, DSP, DMP, outils d’advertification…) se positionnent. 

L’un points essentiels du RGPD porte sur l’obligation d’obtenir l’accord des internautes pour collecter et traiter leurs données. Le marché de la publicité en ligne semble vouloir y répondre par la création, via l’IAB Tech Lab, du transparency & consent framework : un système qui permet aux éditeurs de sites web de transmettre à leurs partenaires (SSP, DSP, DMP, outils d’adverification…) le consentement utilisateur au traitement des données personnelles, via une Consent Management Platform (CMP) (lire sur notre site).

Dans ce cadre, l’IAB a mis en place une liste de prestataires pour lesquels les éditeurs peuvent recueillir le consentement des internautes. Cette liste, baptisée “Global Vendor List”, dont la dernière version est disponible à cette adresse, contient de nombreuses informations. Premièrement, les prestataires indiquent les finalités pour lesquelles ils ont besoin de ce consentement, parmi cinq possibles : information de stockage et d’accès ; personnalisation ; sélection, livraison et reporting publicitaire ; sélection, livraison et reporting de contenu ; mesure (lire encadré). Pour chacune des finalités sur lesquelles ils se positionnent, ils précisent aussi la base légale qu’ils ont retenu – consentement de l’internaute ou intérêt légitime permettant de s’en dispenser (lire le dossier que nous avons consacré à cette question la semaine dernière).

Deuxièmement, les prestataires indiquent leurs fonctionnalités, parmi trois possibles : matching de données à des sources offline, par exemple pour le CRM onboarding ; lier des terminaux, par exemple pour du tracking cross-device ; données précises de géolocalisation (lire encadré).

Au 10 juin, 322 acteurs figuraient dans la Global Vendor List. Criteo, AppNexus, Rubicon Project, LiveRamp, The Trade Desk ou encore RhythmOne en font par exemple partie. Une trentaine de ces 322 acteurs sont français (voir tableau des acteurs français).

L’analyse de ces informations donne des indications précieuses sur la manière dont les acteurs de la publicité en ligne abordent le RGPD. Elles nous aident notamment à mieux comprendre le positionnement de chacun, et à connaître le type de données qu’ils prélèvent sur le site des éditeurs avec lesquels ils travaillent. Quels acteurs se positionnent sur l’ensemble des finalités prévues par le framework, du stockage de cookies au reporting publicitaire en passant par la personnalisation ? Quels acteurs se positionnent sur l’ensemble des fonctionnalités, du matching de données offline à la géolocalisation en passant par le cross-device ?

mind Media a analysé la liste des prestataires publiée par l’IAB le 10 juin pour en tirer le maximum d’informations. Les choix des prestataires ont pu évoluer entre cette date et celle de la publication de ce dossier. Peu d’acteurs ont accepté de commenter leurs choix, tant en terme de positionnement que de bases légales.

Finalités

“Nous avons choisi cinq finalités qui reflètent l’essence de ce qu’est notre industrie, et fournissent suffisamment de granularité. Le dispositif est aussi assez flexible pour que nous puissions ajouter de nouvelles finalités dans le futur et mettre à jour la description de chacune”, explique Matthias Matthiesen, directeur confidentialité et politique publique de l’IAB Europe.

Les acteurs de la publicité en ligne ont une vision large de leur rôle, puisqu’il ont tendance à se positionner sur de nombreuses finalités. Ils en invoquent 3,9 en moyenne sur 5. Et 51 % d’entre eux (164 prestataires) demandent même le consentement pour les cinq finalités. C’est par exemple le cas de MediaMath, LiveRamp, IPONWEB, Gamned, ADUX et PulsePoint. Seul 24 acteurs ne revendiquent qu’une seule finalité, généralement l’information de stockage et d’accès ou la mesure. C’est notamment le cas d’Index Exchange, ID5 et SpotX.

Fonctionnalités

Matthias Matthiesen, de l’IAB Europe, explique les raisons pour lesquelles le Tech Lab a introduit la notion de fonctionnalités, en complément des cinq finalités : “Il est apparu pendant la préparation du framework que les finalités n’étaient pas suffisantes pour informer les utilisateurs, il fallait préciser certains types de data qui y étaient associées. Par exemple, la géolocalisation n’est pas une finalité, mais un type de donnée. Mais il ne fallait pas non plus créer une finalité par type de data, car le process aurait été trop complexe. Nous avons donc isolé trois types de data, ou fonctionnalités (cross-device, matching de données offline et géolocalisation), à côté des cinq finalités. Ainsi, un prestataire peut par exemple préciser de cette manière qu’il appliquera la finalité “personnalisation” à la donnée “géolocalisation”. Là encore, le système est flexible et nous pourrions ajouter de nouvelles fonctionnalités à l’avenir”.

6 prestataires sur 10 demandent l’accès aux données pour au moins une fonctionnalité. Et ils sont 20,5 % (66 prestataires) à demander l’accès pour les trois. C’est notamment le cas de Oath, Conversant, Tradelab et Zebestof.

Finalités et fonctionnalités

Certains acteurs se montrent particulièrement gourmands en data. Ils sont en effet 46 (14,3 %) à se positionner sur les 5 finalités et les 3 fonctionnalités. On trouve dans cette catégorie aussi bien des SSP que des DSP. C’est par exemple le cas de MediaMath, RhythmOne, PulsePoint, Amobee, Rakuten Marketing et IPONWEB. Ainsi que quatre acteurs français : Weborama, Mediarithmics, Vectaury et 1000mercis. “On sent une tendance chez certains acteurs à vouloir revendiquer beaucoup pour collecter le maximum de données et se couvrir du mieux possible”, observe le directeur numérique de Reworld Media Jérémy Parola.

Après la première publication de cette enquête, le chief revenue officer de la DMP Mediarithmics Grégoire Fremiot a justifié ce choix : “Il faut distinguer les acteurs qui ont un rôle d’opérateurs de traitement de ceux qui collectent les données pour eux-mêmes. Mediarithmics se positionne sur les cinq finalités et les trois fonctionnalités car nous travaillons pour des acteurs qui récoltent le consentement et définissent leurs propres finalités. Nous sommes juste une technologie que les annonceurs et éditeurs utilisent dans leur relation avec leurs prospects et clients, avec leur consentement”. 

Divergences sectorielles

L’analyse de la vendor list permet aussi de mettre en évidence que les acteurs d’un même secteur n’ont pas tous fait les mêmes choix. Par exemple, les SSP ne se sont pas tous positionnés sur les mêmes finalités, et n’ont pas choisi les mêmes bases légales. Il en va de même pour les acteurs de la recommandation de contenus, mais les différences sont moins flagrantes pour ceux de l’adverification (voir tableaux).

au 10 juin 2018

au 10 juin 2018

au 10 juin 2018

Pourquoi ces positionnements ?

mind Media a interrogé plusieurs acteurs français sur leurs choix en matière de finalités et de fonctionnalités, détaillées dans le tableau qui leur est consacré. Quelques-uns ont joué la transparence et accepté de répondre à nos questions :

Vincent Mady, directeur technique du trading desk Tradelab :
“Comme beaucoup d’acteurs de l’écosystème, nous-nous sommes positionnés sur les trois finalités car elles sont essentielles à notre activité. La géolocalisation est devenue centrale dans les campagnes mobiles, le CRM onboarding est une demande forte des annonceurs, et sans solution cross-device nous perdrions beaucoup d’inventaire, et achèterions le reste plus cher”.

Nicolas Rieul, chief strategy & marketing officer de la DSP mobile S4M :
“Nous nous sommes positionnés sur les trois premières finalités car la diffusion de publicité, le reporting et la détection de fraude constituent l’ensemble des finalités des services opérés par S4M. La fonctionnalité 1 (matching de données offline) peut être utilisée dans le cadre de notre offre drive-to-store physique. Ces données proviennent de partenaires tiers qualifiés dont nous avons encadré les relations par contrats afin de s’assurer que la donnée communiquée soit valablement consentie pour ce traitement. Ensuite, nous pouvons exercer notre activité et notamment gérer la fraude via l’intérêt légitime. La fonctionnalité 3 (géolocalisation) peut être utilisée dans le cadre de la personnalisation de la publicité”.

Mathieur Roche, fondateur d’ID5, spécialisé dans la synchronisation des cookies :
“Au sens du RGPD, ID5 est un “sous-traitant”, ce qui signifie que nous agissons pour le compte de nos clients qui sont “responsables de traitement” et qui définissent donc la finalité du traitement et son fondement juridique. La finalité de “stockage et d’accès à l’information” est relative à la future réglementation ePrivacy qui risque de nous obliger à avoir un consentement explicite de l’internaute pour poser et lire un cookie. C’est en préparation de ce futur que nous nous sommes déclarés sur cette finalité. C’est aussi en raison de la façon dont l’industrie se structure autour du Framework de l’IAB : certaines plateformes risquent de bloquer les appels tiers pour les vendors qui ne sont pas déclarés (et/ou n’ont pas reçu de consentement) dans la Global Vendor List, donc nous nous devions d’y figurer.” 

au 10 juin 2018

Méthodologie : étude réalisée à partir de la version 57 de la vendor list du consent & transparency framework de l’IAB Tech Lab, des 10-11 juin 2018, qui comprenait les informations déclarées par 322 prestataires.