RGPD : une grande partie du trafic français toujours sans information de consentement internaute

En obligeant les éditeurs à obtenir le consentement “univoque et éclairé des internautes” pour utiliser leurs données personnelles, le RGPD fait craindre aux acteurs de la publicité en ligne un assèchement de l’inventaire enrichi en data, qui présente de meilleurs CPM qu’un simple ciblage contextuel. En effet, qu’adviendrait-il si les internautes refusaient massivement ce droit aux éditeurs ?

L’industrie a pris les devants en mettant en place le transparency & consent framework (TCF) dans le cadre de l’IAB Europe, et des consent management platforms (CMP), que les éditeurs peuvent installer pour recueillir le consentement auprès des internautes et le transmettre à leurs partenaires (lire sur notre site).

Quatre mois après l’entrée en vigueur du RGPD, sur quelle part du trafic ces mesures ont-elles permis de valider la présence du consentement ? Et quelle proportion des internautes ont donné leur accord au recueil et au traitement des données ?

Pour aider le marché à y voir plus clair, Teads et Smart ont accepté de partager leurs premiers chiffres avec mind Media. Certes, leurs chiffres ne sont pas représentatifs de la totalité des marchés où ils sont présents, mais de leurs réseaux d’éditeurs. Ils donnent toutefois de précieuses indications, compte tenu de la couverture des utilisateurs uniques mensuels dans chacun. Pour Teads, elle est par exemple de 94 % en France, 92 % en Allemagne, 89 % au Royaume-Uni, 91 % en Italie et 97 % en Espagne.

Un consentement encore difficile à récolter

Il ressort ainsi que, fin septembre, Teads et Smart disposaient de l’information de consentement pour environ la moitié de leur trafic en Europe (voir graphiques ci-dessous). La France se situe dans cette moyenne, avec 51 % pour Teads et 49 % pour Smart. De quoi inquiéter les éditeurs ? Non, selon Rémi Cackel, senior product manager data chez Teads : “Près de 50 % seulement quatre mois après l’entrée en vigueur du RGPD, c’est très encourageant. Le 26 mai, ce n’était que 10 %, cela montre les progrès obtenus depuis”.

Il existe néanmoins des disparités importantes d’un pays à l’autre. Le cas Allemand, où l’information de consentement apparaît dans moins de 15 % des cas, peut surprendre. Mais l’explication est simple : la plupart des éditeurs du pays invoquent l’intérêt légitime comme base légale au traitement des données plutôt que le consentement explicite des internautes. Ce choix est conforme au RGPD, mais le framework de l’IAB ne le prend pas encore en compte. Les choses pourraient changer avec le déploiement de pubvendors.json, un fichier ajouté par les éditeurs sur leurs sites web, à la manière d’ads.txt, pour préciser les prestataires et les bases légales qu’ils autorisent.

En clair, pour l’heure, pour que Teads et Smart puissent considérer qu’un site leur a envoyé une information de consentement valide, il faut que cet éditeur ait mis en place une CMP et qu’il n’invoque pas l’intérêt légitime comme base légale.

A l’opposé de la situation allemande, Teads et Smart disposent de l’information de consentement pour plus de 70 % de leur trafic en Espagne. “Les éditeurs avec lesquels nous travaillons dans ce pays sont très demandeurs de supports pour comprendre les impacts et veulent préserver l’utilisateur”, explique Rémi Cackel. Dit autrement, les éditeurs espagnols sont plus nombreux à avoir mis en place une CMP que leurs homologues européens, et invoquent moins l’intérêt légitime.

Les freins au recueil

Ailleurs, faire progresser le taux de trafic avec information de consentement ne sera pas facile. D’abord parce que Google n’a toujours pas rejoint le transparency & consent framework. Ensuite parce que tous les éditeurs n’ont pas encore mis en place une CMP. Le 3 octobre, une étude d’Adloox dévoilée par le JDN notait ainsi que seuls sept des vingt sites d’actualité les plus consultés en France en ont installé une.

“Attendre que Google ait rejoint le framework pour mettre en place une CMP est une erreur, car entre les tests techniques et sur l’expérience utilisateurs, il faut environ deux mois pour que toutes les bid requests d’un éditeur aient bien l’information de consentement”, prévient Adrien Thil, head of corporate development de Smart. Car même lorsque les éditeurs ont mis en place une CMP, il arrive que l’information de consentement ne parvienne pas jusqu’aux partenaires en raison de problèmes techniques. Par exemple si la CMP se charge longtemps après l’ouverture du site. “Il y a environ 10 % d’erreurs techniques sur l’ensemble du trafic”, observe Rémi Cackel (Teads). Enfin, le consentement étant stocké dans un cookie, il risque de ne pas être valide sur les navigateurs qui font la chasse aux cookies tiers, comme Safari (Apple) et Mozilla (Firefox).

Oui massif

Avant l’entrée en vigueur du RGPD, les éditeurs craignaient aussi que les internautes leur refusent massivement de pouvoir traiter leurs données à des fins publicitaires. Les chiffres de Teads semblent pouvoir les rassurer, puisque lorsque l’information de consentement est connue, les utilisateurs sont en moyenne 92 % à donner leur accord, avec une pointe à 98 % en Espagne et un plus bas à 83 % en Allemagne. Chez Smart, le ratio de “oui” est supérieurs à 93 %.

Ces chiffres sont toutefois trompeurs, car tous les éditeurs n’ont pas la même manière de demander le consentement de leurs utilisateurs. La CMP de Quantcast est la plus utilisée par les éditeurs membres du réseau de Teads : 30 % du trafic avec l’information de consentement passe par elle. Or, Quantcast a opté pour l’approche la plus dure : la bannière s’affiche dès l’arrivée de l’internaute sur le site, et il ne peut poursuivre sa navigation que s’il accepte ou refuse le recueil de ses données. “Notre CMP est présente sur plus de 7 000 domaines en France, dont le Groupe NRJ, Altice Media et Slate. Mi-septembre, nous avions récolté plus de 2,2 milliards de consentements dans le monde”, explique Franck Lewkowicz, directeur général France de Quantcast. Il confirme les chiffres de Teads : “le taux d’acceptation à la récolte de données est supérieur à 80 %”. Chaque éditeur est libre de la paramétrer comme il le souhaite, ce qui laisse la porte ouverte à des pratiques auxquelles la Cnil pourrait trouver à redire. Certains n’affichent par exemple sur le premier écran de l’interface de leur CMP que le bouton “j’accepte”, obligeant les internautes qui ne veulent pas partager leurs données à de fastidieuses manipulations avant d’accéder au contenu. C’est par exemple le cas de Slate, NRJ, Yahoo et AOL (ces deux derniers utilisent la CMP d’Oath). Les éditeurs peuvent aussi configurer leur CMP de telle sorte qu’elle affiche un pop-up de consentement à un internaute qui le leur aurait refusé lors de sa précédente visite. 

Il arrive même que les internautes acceptent de partager leurs données, au sens du transparency & consent framework, sans en avoir pleinement conscience. En effet, certaines CMP tolèrent d’être connectées à une simple bannière d’information indiquant par exemple à l’internaute que la poursuite de sa navigation vaut accord. “Cette conception que le scroll vaut consentement s’observe chez les éditeurs français, italiens et espagnols”, observe Adrien Thil (Smart). La Cnil, qui s’est jusque là montrée tolérante avec ces pratiques, pourrait changer d’approche dans quelques mois.