L’APD va-t-elle sonner le glas du tracking publicitaire en ligne ?

La légalité du RTB est actuellement remise en cause devant l’Autorité de protection des données belge. Afin de savoir si le RTB est compatible avec le RGPD, il faut d’abord savoir comment il fonctionne.

De quoi s’agit-il exactement et quelles sont les questions juridiques qui se posent ?

Qu’est-ce que le RTB ?

Les termes « enchères en temps réel » ou « Real time bidding » (« RTB ») en anglais, désignent un processus de marketing en ligne fort répandu. C’est ce système qui définit quelles publicités seront affichées lorsqu’un internaute visite une page internet.

Ce mécanisme est pourtant très peu connu du grand public.

Les différents acteurs :

Le RTB permet à un annonceur d’enchérir afin d’obtenir, s’il est le plus offrant, un emplacement pour son annonce sur un site internet, en fonction du visiteur du site.

L’enchère en temps réel nécessite l’intervention de quatre catégories différentes d’acteurs :

1)         Les internautes qui se connectent sur une page internet et qui sont des potentiels clients pour l’annonceur.

2)         Les éditeurs de site internet qui disposent, sur leur site, d’espaces publicitaires et veulent les mettre à disposition d’annonceurs, à titre payant, pour en tirer des revenus.

3)         Les annonceurs qui veulent publier leur message publicitaire sur des sites internet pour promouvoir leurs biens et services.

4)         Les intermédiaires (Supply-side-plateform, Ad exchanges, DSP et DMPs) qui rendent techniquement possible le RTB ou qui facilitent ce processus. En effet, ils vont mettre en relation les différents acteurs et mettre en place tout le système de RTB qui débouchera sur l’affichage de publicités sur les sites internet. Ces intermédiaires agissent en quelque sorte comme les fournisseurs d’une place de marché en ligne.

Déroulement du RTB :

Le RTB se déploie en plusieurs étapes successives qui se déroulent en un temps très court.

• Pour commencer, les internautes consultent une page internet. Lors de cette consultation, des données sont recueillies (typiquement par l’action des cookies).
• Ces données sont ensuite envoyées aux intermédiaires qui font l’appel d’offre. Cela consiste en une présentation du profil de l’internaute sur la base des informations recueillies sur lui.
• En fonction de ce profil, les annonceurs vont évaluer la valeur qu’ils attribuent à cette personne. Les annonceurs évaluent, au regard de leur public cible, s’il est intéressant d’atteindre cet internaute. En fonction de cette analyse, ils vont plus ou moins enchérir pour attirer l’attention de l’utilisateur.
• L’annonceur qui aura proposé le prix le plus élevé remporte l’appel d’offre. C’est alors sa publicité qui sera affichée sur le site web et vue par l’internaute.

Tout ce processus prend moins d’une seconde à se réaliser. Il se déroule dans le temps nécessaire pour que la page internet pour laquelle l’internaute a introduit une requête dans son navigateur s’affiche. Ceci n’est pas sans conséquence pour savoir si le RTB est compatible avec le RGPD.

Légalité du RTB au regard du RGPD

Le RTB nécessite le traitement des données à caractère personnel de l’internaute. Le RGPD est donc pleinement applicable en l’espèce, mais le RTB est-il compatible avec le RGPD ?

Sa légalité dépend notamment de l’existence d’une base juridique valide pour le traitement, et de l’éventuel profilage.

• Base juridique du traitement et conformité du real time bidding

Seules deux des bases légales énumérées à l’article 6 du RGPD peuvent trouver à s’appliquer :

• l’intérêt légitime du responsable de traitement,
• le consentement de la personne concernée.

Récemment, une plainte a été introduite devant l’autorité de protection des données (« APD ») belge, pour contester la légalité du RTB opéré via Google.

Bien que l’APD n’ait pas encore statué sur cette plainte, son service d’inspection a déjà rendu un rapport dans lequel il soulève de nombreux problèmes de conformité vis-à-vis du RGPD.

La critique principale concernant la légalité du RTB est justement l’absence de base juridique justifiant le traitement.

D’après le Service d’inspection de l’APD, le traitement ne peut pas être fondé sur l’intérêt légitime des responsables de traitement. Et ce, en raison de la masse de données traitées et de l’absence de mesures de sécurité suffisantes. Il faut donc que la personne concernée donne son consentement.

Cependant, le consentement de la personne ne peut pas, selon le Service d’inspection de l’APD, être considéré comme un consentement éclairé, car le processus de RTB est trop obscur pour l’internaute. Celui-ci ne sait pas quelles données sont exploitées, ce qu’il en est fait, à qui elles sont transférées.

De plus, le RTB se déroule en moins d’une seconde. Il serait donc impossible pour la personne concernée de donner son consentement en temps réel pour chaque traitement ou de s’opposer à ces traitements, ce qui mettrait à mal la légalité du RTB.

• Profilage : est que le RTB est compatible avec le RGPD ?

Par ailleurs, puisque les annonceurs définissent leur audience cible (clients de produits similaires, public de prédilection, …), il faut vérifier s’il est question de “profilage” au sens du RGPD.

Si c’est le cas, deux conséquences devront notamment en être tirées :

• le consentement de l’internaute devra en plus être explicite.
• dans son projet de lignes directrices sur le profilage des utilisateurs de réseaux sociaux, l’EDPB estime que lorsqu’il est question d’un profilage, l’annonceur et l’éditeur du site internet sont conjointement responsables du traitement consistant en la publicité ciblée. Ils doivent chacun traiter les données en application d’une base juridique de l’article 6 du RGPD et doivent conclure entre eux un accord de co-responsabilité (conformément à l’article 26 du RGPD).