Le décret sur la publicité adressée a été publié au Journal officiel la semaine dernière. Avec lui, les chaînes de TV sont autorisées à diffuser des pubs différentes et adaptées selon chaque foyer. En coulisse, le déploiement de traitements de données personnelles avec en première ligne, la question du consentement. Questionnée, la CNIL nous apporte de nouveaux éclairages.

Sauf exception, notamment s’agissant des publicités diffusées autour des émissions pour enfants, les chaînes peuvent désormais faire varier ces messages selon les foyers. Un changement complet par rapport à la situation antérieure, jugée trop asymétrique par l’ancien ministre de la Culture Franck Riester.

Et pour cause, contrairement aux chaînes, les acteurs du Net ont depuis des années la capacité de traquer les habitudes des utilisateurs pour en définir un portrait-robot de parfait acheteur, ce avant d’envoyer leurs pubs par bannières.

Avec les publicités dites « adressées », les chaînes vont désormais pouvoir déployer des trésors d’inventivité pour regagner des parts de marché. Toutes ces publicités segmentées n’impliquent pas nécessairement un traitement de données personnelles puisque TF1 pourra par exemple en accord avec TDF, envoyer des annonces localisées dans une région sans exploiter préalablement ce pétrole du numérique.

Le cœur de cette institution repose bien sur un tel filon, en témoignent les accords passés par France Télévisions Publicité avec Bouygues Télécom et Orange. La régie va pouvoir profiter du pipeline des 11 millions de box (4 et 7, respectivement) pour adapter, ciseler et mitonner des publicités plus spécifiques, aux antipodes des annonces nationales en vigueur préalablement au décret.

Marianne Siproudhis, directrice générale de FranceTV Publicité nous avait expliqué la semaine dernière espérer commencer à diffuser ces publicités segmentées dès la rentrée. La régie utilisera deux critères, « la géolocalisation et le ciblage sociodémographique », pour dresser ses profils consommateurs. Avec de tels leviers, un CSP++à Neuilly ne verra pas les mêmes publicités qu’une personne au RSA vivant dans un petit village d’Ardèche. Le premier pourra apprécier les derniers SUV à la mode, quand le second, des produits ou services beaucoup plus accessibles à ses moyens.

Un consentement probablement donné par la télécommande

L’existence d’un traitement de données personnelles implique les compétences de la CNIL. Contactée par nos soins, celle-ci a bien insisté après rappel des textes en vigueur : ces opérations ne peuvent être mises en œuvre qu’après consentement des personnes physiques concernées. « Ce consentement doit être libre, spécifique, éclairé et univoque » nous a-t-elle précisé, non sans rappeler la nécessité de respecter les obligations « de licéité, de transparence et le respect effectif des droits des personnes ». Autant d’exigences puisées dans le règlement général sur la protection des données personnelles.

L’exigence d’un consentement soit, mais comment recueillir un tel feu vert de la part de chaque personne physique ? À nouveau questionnée, la CNIL relève que « s’agissant des modalités de recueil du consentement, le recueil du consentement pourra se faire par divers moyens en fonction des canaux de communication avec l’utilisateur ».

En pratique, anticipe-t-elle, « il est, en effet, très probable que le consentement de l’utilisateur soit recueilli sur l’écran de la télévision et que l’utilisateur doive faire usage de sa télécommande. En tout état de cause, un tel consentement devra être recueilli conformément aux exigences du RGPD ». On en déduit que c’est via l’interface de la box, pilotée du bout des doigts, que chacun pourra exprimer son accord aux traitements portant sur ses données personnelles.

... mais pas nécessairement chaîne par chaîne

Une autre difficulté survient : faudra-t-il exprimer un consentement « groupé » ou par chaîne ? Avec plusieurs dizaines, si ce n’est plus, de canaux disponibles, on devine sans mal le chemin de croix pour l’utilisateur.

«Pour que le consentement soit éclairé, nous indique encore la commission, la personne concernée doit être informée de l’identité du ou des responsables de traitement : par conséquent si le consentement n’a pas nécessairement à être donné "chaîne par chaîne" mais bien pour une finalité déterminée (par exemple, la publicité ciblée), l’identité des chaînes (susceptibles d’être responsables de traitement) devra être portée à la connaissance de l’utilisateur avant que celui-ci puisse consentir».

Par contre, elle prévient que l’utilisateur devra disposer « de la faculté de retirer son consentement, à tout moment, et notamment, s’il le souhaite, auprès de chaque chaîne pour lesquelles le consentement a été donné ».