Cnil et consentement : le grand jour arrive

Mille quarante et un jours. Soit deux ans, dix mois et six jours. C’est le temps qu’il aura fallu pour obtenir des directives claires, depuis la mise en application du RGPD le 25 mai 2018, afin de recueillir proprement le consentement des internautes pour tracer leur navigation et diffuser de la publicité ciblée. Le 1er avril 2021 fera date comme le jour de la clarification. Après des mois de consultations, plusieurs mises en demeure, des prises de positions contrastées dans les médias, et des recours devant le conseil d’État, les directives et recommandations de la Cnil entreront en application, six mois après leur mouture définitive.

Elles se veulent limpides pour qu’éditeur, annonceurs, et tout les acteurs de l’ad tech soient au clair avec la loi. « Ce sujet est légitime et répond à une évolution très nette de la société sur la question de la vie privée, concède Guillaume Tollet, directeur exécutif chez Fifty-five et ex-data protection officer du groupe Dentsu. Ces règles dressent un réalignement vis-à-vis du consentement pour savoir clairement quand le consommateur veut ou ne veut pas livrer ses données. »

Possibilité de changer d'avis

Désormais, les termes « consentement explicite et éclairé » de l’internaute tel qu’indiqué dans le RGPD ne sont plus une image floue. Et les plateformes de gestion du consentement (CMP) se doivent de refléter cette évolution. « Notamment, en arrivant sur le site, le choix entre “accepter” ou “refuser” le recueil de données par l’éditeur du site doit être au même niveau », indique Paola Prévot, directrice des partenariats chez l’éditeur de CMP Quantcast. Tout juste la Cnil admet-elle l’euphémisme « continuer sans accepter », pour inciter l’internaute à ne pas refuser. Si l’internaute veut rentrer en détail dans la granularité de son recueil de données, cela doit se faire au deuxième niveau de la CMP. Et à tout moment, il peut changer d’avis. Le cookie peut être conservé six mois « Mais dans le monde digital, un cookie de plus d’une semaine est souvent obsolète. La pub numérique se joue dans l’instantané la plupart du temps », pointe Paola Prévot.

Jusque-là, tout est clair. Seul hic : l’argent. Le modèle publicitaire reste le principal moteur du web et la publicité « personnalisée » a été l’unique idéal vanté sur le marché. « Le monde du numérique est en pleine restructuration. Tout le monde se pose beaucoup de questions, estime Paola Prévot. Certains sont alignés avec le règlement depuis longtemps, d’autres ont encore beaucoup de travail ! », observe-t-elle. Chez certains annonceurs, la pression est palpable. Notamment du fait de la responsabilité partagée entre tous les acteurs de la chaîne en cas de manquement aux règles. « Nous avons revu tous les partenariats, tout relu, tout repris à zéro », lance un responsable de la donnée d’une grande marque. « Le problème c’est que deux calendriers s’imbriquent, explique Romain Job, chief strategy officer chez Smart. La question du consentement, et la disparition du cookie tiers, prévue pour 2022. » Notamment du fait que Google Chrome – comme tous les autres navigateurs – n’acceptera plus le dépôt de cookie third party. Consentless, cookieless, deux problèmes et une seule question : comment faire ? « Le téléscopage de tous ces sujets, auxquels on peut aussi ajouter la question d’Apple avec iOS 14, rend tout cela très flou, et demande de multiplier les actions. Mais ce qu’on aperçoit, c’est une mine de créativité et de résilience dans tout l’écosystème », positive Véronique Pican, DG France de Smart et vice-présidente de l’IAB France.

Qu’est-ce que cela change ?

Concrètement, pour les éditeurs de contenu, il y aura perte de données personnelles. « À ce jour, pour les meilleurs sites, 85 à 90% des utilisateurs acceptent le recueil de données. Dans la nouvelle mouture de la règlementation, cela pourra descendre autour de 40 %, ou plutôt 60 % si on optimise la relation avec ses utilisateurs » détaille Guillaume Tollet. Et conséquemment, une perte d’inventaire ciblée, de mesure de performance, de valeur du coût pour mille mais aussi d’information pour les modèles d’attribution. « Même si le modèle de rétribution au last-click restait dans les faits le plus répandu encore sur le marché, car le plus simple », estime Véronique Pican. Autrement dit, la publicité ciblée ne pourra plus être le modèle dominant, ou du moins convergent, pour l'adtech. Et cela complexifiera d’autant plus le capping, pour ne pas surdiffuser aux même personnes.

Pour le ciblage, en revanche, des solutions existent. « La clé, c’est qu’il existe d’autres identifiants pour une cible que des données personnelles. Les données sémantiques, les données de contexte avancé, peuvent être davantage travaillées et donner des informations pertinentes pour connaître l’affinité à une marque. Les algorithmes permettent de retravailler cela », explicite Romain Job. Idem pour mesurer. « Ces critères ont été sous exploités par le passé et peuvent en outre, permettre de revaloriser tous les inventaires que l’on croyait perdus sur Mozilla, ou Safari », ajoute Véronique Pican – des navigateurs qui n’acceptent plus les cookies depuis longtemps. Et les identifiants personnels ? C’est là que le sujet du consentement est plus plus large que celui du « cookieless ». « Le consentement porte sur tous types de données personnelles. Même les first party cookies sont concernés », prévient Paola Prévot. Pour tous les utilisateurs non consentant, on sera donc sur du ciblage de masse. Il faut juste que les annonceurs acceptent ce modèle « à vue », qui ressemblera à ce qui a toujours été fait en télé, mais davantage travaillé grâce à de nouvelles analyses. Quoi qu’il en soit, les éditeurs devront bûcher leur relation avec les internautes. Peut-être briser le tabou de la gratuité et mettre en place des cookies walls – interdire l’accès au contenu sans don de ses informations ? Le travail ne fait que commencer.