Dans quelques mois, l’ensemble des États européens devra appliquer deux nouveaux textes majeurs pour la protection des données personnelles à l’heure du numérique. Que peut-on attendre de cette réglementation à venir ?
Effectivement, le 25 mai 2018 entrera en vigueur le Règlement général sur la protection des données (RGPD), qui redéfinit pour toute organisation les conditions industrielles d’exploitation et de sécurisation des données personnelles, tout en exigeant désormais un renforcement de l’expression du consentement de l’individu pour cette exploitation. Le texte ePrivacy est censé compléter cet ensemble sur le cas spécifique de la navigation internet. Le projet fait notamment reposer sur le seul navigateur le recueil et le stockage du consentement.
Pour quelles raisons ce second texte provoque-t-il un tollé dans le milieu de l’industrie publicitaire en ligne ?
D’une part, parce que ce texte souhaite confier la maîtrise de la data aux navigateurs, c’est-à-dire aux Gafa [Google, Apple, Facebook, Amazon], lesquels détiennent déjà 80 % du marché de la publicité en ligne. Ensuite, parce que les modalités du recueil du consentement interrogent beaucoup, rien n’étant véritablement précisé. Enfin, en demandant le renouvellement d’un consentement éclairé et positif tous les six mois, nous allons fabriquer une machine à dire non pouvant sabrer drastiquement la data disponible, dans un marché qui a crucialement besoin d’elle pour opérer.
L’impact de ces mesures serait-il réellement dangereux pour les médias ?
Bruxelles n’a pas compris que le programmatique, qui utilise la data, n’est plus depuis longtemps une source marginale de revenus pour notre métier. Il pèse pour 60 % du marché de la publicité en ligne, et représente pour certains éditeurs jusqu’à 35 % de leurs revenus. Nous parlons donc d’un enjeu vital pour le financement de la presse, dans une période où nous sommes déjà dans une situation de fragilité.
Depuis quelque temps, les éditeurs semblent davantage s’intéresser aux problématiques techniques de la centralisation du consentement qu’à son enjeu juridique. Pourquoi ?
Parce qu’il s’agit probablement du sujet le plus important. Au-delà du point politique des Gafa, nous comprenons parfaitement l’esprit du législateur, qui a voulu, au travers de cette logique de centralisation, réduire la présence des bandeaux. Le principe d’une gestion plus efficace de la data à partir d’un seul et même endroit est également compréhensible.
Mais en tant qu’éditeurs, nous avons le droit de redemander à l’internaute la possibilité d’utiliser ses données une fois qu’il est sur notre site. Cette data est importante pour notre monétisation. Comment l’utilisateur peut-il matériellement changer d’avis entre le navigateur et un site ? Comment l’information remonte-t-elle dans le navigateur ? Que fait-on des consentements nouveaux que nous pourrions obtenir ? À l’heure actuelle, nous n’avons aucune réponse de Bruxelles à ces questions.
Peut-être simplement parce que ce point est jugé secondaire ?
Il ne l’est pourtant pas. Modifier des données de consentement dans un navigateur a posteriori, cela s’appelle une faille de sécurité. Et les législateurs nous demandent de travailler sur cette base sans nous expliquer comment. Si cette question technique n’était pas centrale, elle l’est devenue et on nous explique qu’elle n’est pas envisageable.
Comment comptez-vous parer à cette situation ?
Jusqu’à présent, les éditeurs ne demandaient pas le retrait de ce fameux article 10 qui consacre la centralisation du recueil de consentement dans le navigateur. Après nos questionnements sans réponse, nous prenons acte de l’impasse technique et demandons la suppression pure et simple de cet article.
Et si Bruxelles votait tout de même ce texte en l’état ? Que se passerait-il ?
Discutons déjà du texte. Il faut arrêter d’être dogmatique des deux côtés et tenter de trouver des solutions. Si nous n’y arrivions pas, la question serait alors de savoir si nous pouvons continuer à maintenir la gratuité des contenus sur internet. Nous n’avons jusqu’à présent pas trouvé mieux que la publicité pour financer l’information gratuite. La conséquence démocratique serait donc peut-être la fin des contenus gratuits, ce qui veut dire qu’une très grosse partie de la population n’aurait de fait plus accès à l’information.
Dans toutes ces discussions, on semble tout de même oublier le principal, qui a été de vouloir lutter contre des abus nombreux concernant l’utilisation de données personnelles des internautes. Que pourriez-vous répondre aux défenseurs de la vie privée ?
Nous reconnaissons les abus passés et certaines formes d’usage de data qui ne sont pas acceptables. Pourtant, j’ai le sentiment que ce texte intervient au moment où le marché devenait plus mature, où il savait qu’il devait se réguler et faisait de nombreux efforts pour donner des gages sur la protection des données.
Les acteurs n’ont pas attendu ce texte pour revoir leur logique de qualité : les débats autour de la fraude et de la brand safety, le label Digital Ad Trust, ainsi que le retour du contextuel y ont contribué très fortement. La Cnil a su se faire entendre et le Règlement général sur la protection des données aurait pu suffire à réguler l’industrie. Au final, il est plutôt bien accepté et compris, à l’inverse d’ePrivacy qui nous
replonge dans le flou, puisque personne n’en saisit le message réel.
Croyez-vous que l’Europe puisse vous entendre ? Ce texte sera-t-il adopté ?
Le vote dogmatique a eu lieu. Avec le prochain vote des États réunis en Conseil européen, il est maintenant question du vote politique. Ce sont eux qui répondront ensuite des conséquences de ces mesures sur leurs territoires. À date, peu d’États se sont exprimés et nous ne connaissons d’ailleurs toujours pas la position de la France. Je ne peux donc pas vous répondre. Une chose est sûre en revanche, c’est que le processus législatif prend du retard. Nous savons déjà qu’il sera difficile de faire passer le texte avant 2019.
