Advertising, CRM, DMP et protection des données : l’impossible équation ?

La possibilité pour une DMP de procéder à la réconciliation des données CRM avec celles obtenues dans le cadre de campagnes programmatiques et via les cookies est fréquemment remise en cause, sur le fondement d'une interdiction légale. Pourtant, cette interconnexion des données n'apparaît en rien impossible.

Les offres CRM, hébergées par les prestataires techniques du client, ont historiquement rencontré des difficultés à interagir avec le monde des media en ligne, privant les bases clients des avantages obtenus via le tracking et le RTB.

Les solutions de Data Management Platform (DMP) ont pour ambition de réunir le monde du CRM et celui de la programmatique, permettant de mêler l’ensemble des informations détenues sur les clients et prospects d’un annonceur aux possibilités de ciblage et de diffusion de contenus publicitaires dynamiques.

Pour certains, cette réconciliation des données se fait en contradiction avec la législation applicable, qui n’autoriserait pas que soient fusionnées plusieurs bases de données.

Cette interprétation des textes apparaît erronée car, comme souvent en matière de données à caractère personnel, rien n’est impossible lorsque le responsable du traitement prend les précautions nécessaires au respect des droits des internautes. Ici, deux aspects méritent que l'on s'y attarde plus particulièrement : l’interconnexion de bases de données et l’information des personnes concernées.

En premier lieu, s’agissant de l’interconnexion de bases de données, la Cnil pose trois critères cumulatifs permettant de la caractériser : l’existence de plusieurs traitements, le caractère automatisé de la réconciliation et le traitement de données à caractère personnel.

Si les critères relatifs au nombre de traitements et au caractère automatisé de l’interconnexion sont de l’essence même de ce type d’opérations, le point essentiel sera de déterminer le caractère personnel ou non des données issues des cookies. En effet, en l’absence de collecte de données à caractère personnelles, les cookies en tant que tels ne constituent pas un traitement de données à caractère personnel et leur rapprochement avec les données CRM via la DMP ne sera pas qualifié d’interconnexion.

A l’inverse, lorsque les cookies embarquent des données à caractère personnel, y compris permettant une identification indirecte de la personne (e.g., adresse IP, géolocalisation), la réconciliation au sein de la DMP constituera une interconnexion.

Toutefois, dans cette hypothèse, la réconciliation reste possible sous réserve que l’interconnexion, qui constitue en elle-même un traitement de données à caractère personnel en application de la loi de 78, fasse l’objet d’une déclaration ou d’une demande d’autorisation (dans l’hypothèse où les finalités des deux fichiers sont distinctes, ce qui semble peu probable dès lors que les finalités du traitement CRM et du traitement réalisé via les cookies, réconciliés via la DMP, sont le plus souvent identiques – i.e., suivi des clients et prospects).

En second lieu, il convient d’informer les personnes concernées, dans le respect de l’article 32 de la Loi de 78, non seulement de leurs droits et de l’identité du responsable du traitement mais aussi de l’ensemble des usages et transferts envisagés. Dans le cas de la réconciliation des données, l’interconnexion en tant que telle doit être portée à la connaissance des personnes concernées.

Tenant compte de cette obligation et dans le respect des recommandations de la Cnil et du groupe Article 29, il sera nécessaire que les différents intervenants (e.g., régies publicitaires, réseaux sociaux, éditeurs de solutions de mesure d’audience), en particulier lorsqu’ils traitent des données pour leur propre compte, s’accordent afin que l’internaute reçoive une information complète sur les différents usages qui sont faits de ses données.

En définitive, nous retiendrons que l’interconnexion ne pose pas de difficulté dès lors que les différents intervenants se sont accordés sur les modalités de sa mise en œuvre dans le respect des dispositions de la Loi de 78.