Rencontre avec Paul Ouvrard-Arnaud, Data Protection Manager

*Règlement général sur la protection des données

Le 14 janvier 2020, la CNIL (Commission nationale de l’informatique et des libertés) mettait un gros coup de pied dans la fourmilière publicitaire en dévoilant son projet de recommandation sur les cookies et autres traceurs. Le texte ambitionne de mettre fin au consentement valable par la seule poursuite de la navigation et impose la présence d’un bouton « refuser tout » en plus du bouton « accepter tout ». Si on ajoute à cela les principaux navigateurs internet (notamment Google) qui partent à la chasse aux cookies tiers, on ne serait pas loin de l’apocalypse selon certains. Est-ce donc la mort du cookie et, par extension, la fin du ciblage publicitaire ? C’est en tout cas un sentiment largement partagé dans le secteur. Sauf pour Paul Ouvrard-Arnaud, Juriste Chargé de la conformité Data à l’agence Dentsu Aegis, qui recentre le débat en rappelant l’objectif premier de toutes ces mesures : défendre la vie privée.

Qu’est ce qui a poussé le législateur à créer le RGPD ?

Paul Ouvrard-Arnaud : Pour expliquer la création du RGPD il faut revenir au tout début des années 2010 avec le scandale Snowden, qui révèle l’espionnage de masse mené par la National Security Agency (NSA) par le biais des télécommunications. Ces révélations ont apporté une grosse prise de conscience. Ont été victimes non seulement des citoyens, mais aussi des personnalités politiques, comme Angela Merkel ainsi que plusieurs membres de cabinet de ministères allemands, du Parlement Européen, etc. Au-delà de l’énorme scandale sur cet espionnage de masse, se pose alors la question de la préservation des droits et libertés ainsi que la vie privée des citoyens européens.

Au niveau européen, on disposait déjà d’un texte : la  Directive Européenne datant de 1995 sur la protection des données. Seulement, il s’agit d’une directive, c’est-à-dire un texte qui donne les mesures minimales à appliquer et chaque État est libre de le transposer comme il le souhaite. Certains pays comme la France, le Royaume-Uni, l’Italie, avaient déjà de vraies autorités de contrôles (CNIL pour la France, Information Commissionner’s Office pour le Royaume Uni…). Suite aux révélations de Snowden, l’UE décide donc de remplacer cette Directive de 95 par un règlement qui devait s’appliquer à tous les pays : c’est la naissance du RGPD.

Ce règlement n’était pas supposé être le seul à  être mis en place par l’UE.  Un 2^nd règlement était prévu qui, lui, concernait la protection des données privées dans le cadre spécifique des communications électroniques. La Directive 2002/58 (E-privacy) devait donc être mise à jour en même temps que le RGPD, ce qui aujourd’hui n’est pas le cas. Pour résumer, on a d’un côté le RGPD qui régit d’une manière générale la protection des données personnelles au sens large (y compris sur les déclarations papiers), et, de l’autre, le futur règlement E-privacy, qui régit les questions liées à la protection des données dans le cadre des communications électroniques.

Sur le RGPD, les conséquences en termes économiques étant moins directes et évidentes, il y a eu un très fort consensus politique, tandis que pour E-privacy, c’était une autre histoire. Ce dernier texte a des effets plus visibles et plus facilement identifiables ; ce qui explique que les négociations autour du texte trainent en longueur et qu’il n’ait toujours pas été adopté.

Pourquoi ce besoin de renforcer la réglementation sur le marché digital ?

P O-A : Il faut déjà rappeler que notre secteur (Ndlr : le marché de la publicité) n’a pas été des plus exemplaires en matière de protection des données depuis le début d’internet. Déjà, il a fallu plusieurs années pour que la publicité par mail adopte certaines bonnes pratiques de la publicité classique : identification du message comme message publicitaire, identification de l’émetteur du message, etc. La situation a été la même pour le Display et il ne s’agit pas de problématiques de respect de la vie privée ! De plus, à partir du milieu des années 2000, la façon de diffuser de la publicité change progressivement avec l’arrivée du RTB en 2005 (Ndlr : Real Time Bidding = mode d’achat de la publicité en temps réel via un système d’enchères) qui s’impose depuis petit à petit comme le principal mode de diffusion de publicité sous format display et vidéo sur internet. Avant, on avait l’annonceur, l’agence et la régie qui commercialisait l’espace, parfois au nom de plusieurs éditeurs. Aujourd’hui, avec le RTB, jusqu’à 300 acteurs peuvent se rajouter et intervenir dans le cadre d’une diffusion publicitaire : le SSP, qui va agréger les inventaires de plusieurs régies, qui, elles, vont mettre à disposition les données personnelles qui lui sont remontées par les éditeurs, et à cela s’ajoutent les datas providers, les adservers… Autant d’acteurs à qui les données sont envoyées sans garantie du consentement des utilisateurs ni transparence envers ces derniers. Cette situation a pu donner une mauvaise image du marché publicitaire, car ce dernier n’a pas su s’autoréguler et intégrer assez tôt des pratiques de respect de la vie privée.

C’est pourtant possible notamment dans d’autres domaines de la communication. Par exemple, pour les spots TV, il est nécessaire d’obtenir l’agrément de l’ARPP (Autorité de Régulation Professionnelle de la Publicité), une organisation privée composée de membres de la sphère publicitaire, afin de valider le contenu du spot. Malgré son nom, l’ARPP est une association mise en place par le secteur, non pas par l’État, avec pour mission d’aider à réguler les messages publicitaires. Le marché de la publicité est donc capable de se réguler pour de meilleures pratiques.

C’est dans ce contexte qu’est arrivé le RGPD qui, sans s’appliquer au seul secteur publicitaire, a des effets très importants sur ce dernier, lequel a été le premier à être montré du doigt suite à l’arrivée du RGPD.

Le débat aujourd’hui réveille les inquiétudes sur l’hégémonie des GAFA qui, eux, peuvent continuer à tracker l’internaute en l’absence des cookies tiers. Quel est votre sentiment ?

P O-A : Le RGPD n’est pas le problème en soi. Il aggrave peut-être une situation déjà monopolistique mais avant 2016, déjà 90% des requêtes étaient faites sur le moteur de recherche de Google, et Facebook captait plus d’1 milliard d’utilisateurs. Ces acteurs avaient déjà des positions ultra dominantes sur le marché en réalité. Le vrai problème n’est pas le RGPD mais bien le manque de concurrents crédibles face aux GAFA. Et la publicité digitale est le seul secteur dans lequel une telle situation d’hégémonie existe.

Le cookie est quand même un formidable outil pour connaître sa cible, et Google fait encore obstacle…

P O-A : Oui mais on n’a pas besoin de connaître sa cible autant qu’on la connaît aujourd’hui pour faire de la publicité ciblée. A-t-on réellement besoin d’un identifiant unique, par utilisateur, auquel on attribue des variables ou a-t-on juste besoin d’identifier une audience potentielle, c’est-à-dire un groupe de personnes ?

L’identifiant unique en soi n’apporte rien mise à part la possibilité de le rattacher à l’identité de son utilisateur. Mais cela peut déjà aller trop loin dans de nombreux cas. A-t-on réellement besoin de ce niveau de connaissance pour percevoir les intérêts de son audience ?

De plus, Google a juste annoncé « la suppression les cookies tiers », il ne dit pas que c’est la fin des solutions pour faire de la mesure publicitaire, du ciblage, du retargeting.

Mais donc, la mort annoncée des cookies aura bien lieu ?

P O-A : Oui, mais avec une renaissance sous une forme différente. Oui, les cookies tiers n’existeront plus d’ici deux ans, si on en croit Google, mais cela ne veut pas dire qu’on ne pourra plus faire ce que l’on faisait avant avec ces cookies. Il y aura bien évidemment des moyens de substitution qui permettront de faire de la mesure publicitaire. De plus, le cookie 1rst party existera toujours. Ce type de cookie reste la technologie la plus simple, la moins chère et presque la plus sécure à mettre en place pour obtenir un premier niveau de connaissance sur les visiteurs de son site internet. Il y aura toujours de l’analytics, mais ce qui est sûr c’est que les cookies tiers des adservers, des DSP etc. disparaîtront pour laisser place à une autre technologie.

Et ce n’est pas plus mal car l’industrie de la publicité digitale commence juste à s’organiser. Charge maintenant aux technos et aux régies de trouver les solutions nouvelles, adaptées et plus responsables.

Justement, quelle est responsabilité des agences vis-à-vis des annonceurs dans le cadre du RGPD et après l’annonce de Google ?

P O-A : Pour l’instant, Google n’a fait que publier ses projets de substitution, qui sont en open source sur un site (la Privacy Sandbox). Ils vont très certainement être amendés, modifiés et vont évoluer. On est donc encore loin d’une mise en production effective.  

Chez Dentsu, nous sommes en train d’étudier les propositions de Google pour pouvoir bien comprendre les enjeux, les bénéfices et les opportunités à la fois commerciales mais aussi en termes de protection des données personnelles. Tout ça nous permet d’accompagner nos clients annonceurs à y voir un peu plus clair dans le climat légèrement anxiogène qui s’est développé depuis l’annonce.

Que dites-vous aux entreprises qui envisagent d’investir dans une DMP* ? Il y aura forcément un impact sur le Precision marketing…

*Data Management Platform

J’aimerais leur rappeler 3 points :

• La data first party, elle, existe toujours et il sera toujours possible de l’enrichir avec de la 2nd party (Ndlr : de la 1rst party collectée par les partenaires). Une DMP reste, donc, pertinente car elle permet de faciliter ces activités.
• Les techno DMP vont pouvoir de toutes façons s’adapter aux nouveaux écosystèmes et aux nouveaux process.
• Il ne faut pas oublier que cette annonce de Google concerne beaucoup la publicité par navigateur.

Ainsi, lorsque nos clients utilisent une DMP, notre recommandation immédiate est d’étudier comment mettre en place des méthodes de mesure et de collecte au niveau de leurs systèmes applicatifs. Il faut savoir que le système applicatif ne repose pas sur les cookies, mais sur un identifiant, le device ID, qui varie selon la marque du téléphone de l’utilisateur. Chez Apple c’est un IDFA (Identifier For Advertising) et chez Google c’est le GAID (Google Advertising Identifier).

Ensuite, il faut laisser le temps aux éditeurs de ces technologies de s’adapter : l’annonce est encore très récente et il ne faut pas douter de la capacité des éditeurs à proposer des alternatives viables afin de garantir la pérennité de leur service.

A quoi ressemblera l’ère post-cookie ?

P O-A : Un environnement assaini. Les données disponibles le seront à travers des technologies davantage respectueuses de la vie privée des utilisateurs, au moyen de techniques d’anonymisation avancées par exemple.

Je pense surtout qu’il ne faut pas avoir peur de plus de protection des données. N’oublions pas qu’avant d’être des publicitaires, nous sommes des citoyens et il faut se réjouir de voir nos droits personnels pris au sérieux et bien défendus.

Propos recueillis par Marie Hélène SYLVA