La publicité programmatique est-elle compatible RGPD ?

Les technologies RTB (« real-time bidding » ; achat d’espaces publicitaires en temps réel) sont-elles conformes aux exigences du RGPD ? Brave Software en doute.

L’entreprise américaine, qui édite un navigateur basé sur Chromium, a déposé, ce 12 septembre 2018, plainte contre Google « et d’autres acteurs de la pub en ligne » (non cités).

Deux dossiers sont pour l’heure ouverts, auprès des Cnil irlandaise et britannique. Jim Killock, directeur exécutif de l’organisation Open Rights Group, s’y est associé, au même titre que Michael Veale, d’University College London.

Les plaignants fondent leur argumentaire sur les spécifications techniques d’OpenRTB et d’Authorised Buyers. Le premier fait office de standard dans l’industrie publicitaire. Le second (ex-DoubleClick Ad Exchange) est exploité spécifiquement par Google.

Pour l’un comme pour l’autre, un constat : chaque enchère implique la transmission de données personnelles relatives aux internautes (localisation, historique de navigation, adresse IP…) à « des dizaines, voire des centaines » de sociétés.

Ce mécanisme, estime Brave, va à l’encontre de plusieurs dispositions inscrites notamment à l’article 5 du RGPD. Rien n’exige, en l’occurrence, des acteurs de la chaîne RTB qu’il notifient les internautes de la diffusion de leurs données… tout comme de ce qu’il en est fait ultérieurement.

Brave considère en outre que sont transmises bien plus de données que nécessaire à l’affichage de publicités pertinentes. Et qu’à défaut de garde-fous adéquats sur la question de l’utilisation ultérieure, les maillons de la chaîne RTB ne peuvent se prévaloir d’un « intérêt légitime ».

L’éditeur américain se montre tout particulièrement inquiet du fait qu’une fois diffusées, les données échappent à tout contrôle, alors même que certaines peuvent être « sensibles » (origine ethnique, orientation sexuelle, opinions politiques…).

De Google à Qwant

L’IAB (Interactive Advertising Bureau) est chargé de définir les spécifications d’OpenRTB.

Sa branche européenne a créé un cadre censé favoriser le recueil du consentement des individus pour toute communication à des tiers. Problème, selon Brave : ledit cadre admet que les responsables de traitement perdent tout contrôle sur l’usage des données une fois qu’elles ont été diffusées.

Il serait par ailleurs possible, pour les responsables de traitement, de se dispenser du consentement des individus. Ce en s’appuyant sur une base légale obtenue par les tiers auxquels les données sont transmises.

Même principe chez Google, avec également des doutes sur l’accès aux données par les annonceurs qui ne remportent pas les enchères.

En vertu de l’article 62 du RGPD, Brave réclame que soit lancée une enquête à l’échelle de l’Union européenne.

Sa charge, qui pourrait faire jurisprudence dans la sphère adtech, intervient parallèlement à l’abandon de Google en tant que moteur de recherche par défaut en France et en Allemagne. Qwant prend le relais au nom d’une extension de « l’expérience de confidentialité ».

Crédit image : Denphumi – Shutterstock.com