Un an après le séisme Cnil, les acteurs du drive to store voient le bout du tunnel
"Une mise en demeure n'est pas une sanction, elle se veut informative et pédagogique", assurait au JDN, fin 2018, le directeur de la protection des droits et des sanctions de la Cnil, Mathias Moulin. Cette prise de parole intervenait alors que l'autorité française venait de mettre en demeure publiquement quatre spécialistes de la géolocalisation : Teemo, Fidzup, Singlespot et Vectaury, en l'espace de quelques mois. Tous épinglés pour "absence de consentement des personnes au traitement de leurs données de géolocalisation à des fins de ciblage publicitaire".
| Date mise en demeure | Clôture mise en demeure | |
|---|---|---|
| Teemo | 19 juillet 2018 | 4 octobre 2018 |
| Fidzup | 19 juillet 2018 | 29 novembre 2018 |
| Singlespot | 23 octobre 2018 | 29 novembre 2018 |
| Vectaury | 8 novembre 2018 | 26 février 2019 |
Un an après cet épisode, le JDN a décidé de mesurer les conséquences de la décision prise par la Cnil auprès des principaux intéressés. Sans surprise, tous reconnaissent que les semaines qui ont suivi l'annonce ont été très difficiles. "Nous ne pouvions plus exercer notre activité, ayant dû mettre à la poubelle toutes nos données", explique le fondateur de Teemo, Benoit Grouchko. En pleine crise, les patrons d'adtech ont dû œuvrer sur plusieurs fronts. D'abord mettre en place une mécanique de collecte du consentement "RGPD compatible" pour lever le plus rapidement possible la mise en demeure. Mais aussi gérer les affaires courantes, en rassurant les collaborateurs et les clients. Pas une mince affaire en ce qui concerne ces derniers. "La plupart des directions marketing nous expliquaient vouloir mettre l'activité en pause, leur direction juridique ne voulant prendre aucun risque", se rappelle Matthieu Daguenet, le fondateur de Vectaury. L'adtech a perdu les trois-quarts de son activité sur le mois de novembre.
"On pensait pouvoir reprendre dès décembre 2018… mais la collecte de données n'a finalement repris qu'en juin 2019"
Et si elles pensaient être sorties d'affaire une fois la mise en demeure levée, nos jeunes pousses ont vite déchanté. Singlespot, qui s'était félicité à l'époque d'être "l'adtech la plus rapidement sortie d'une mise en demeure", s'est rendu compte qu'il n'était pas au bout de ses peines. "On pensait pouvoir reprendre dès décembre 2018… mais la collecte de données n'a finalement repris qu'en juin 2019", révèle son fondateur, Thomas Opoczynski. Le temps de renouer avec les clients, de les convaincre d'installer le SDK et d'atteindre un seuil critique de données collectées. Cette inactivité prolongée a eu des conséquences dramatiques pour son activité. L'adtech, qui dépose ses comptes aux greffes, a vu son chiffre d'affaires dégringoler de 4,2 à 3,2 millions d'euros entre 2017 et 2018. Une baisse énorme alors que la masse salariale avait, dans le même temps, fortement augmenté (elle est passée 700 000 euros à 1,7 million d'euros entre les deux exercices).
Résultat : les pertes ont explosé. Alors qu'elle avait réalisé un bénéfice de 400 000 euros en 2017, la société a perdu 3,9 millions d'euros en 2018, soit plus de la moitié du montant levé en avril 2018 (6 millions d'euros auprès d'Iris Capital). Singlespot a toutefois gardé le soutien de ses actionnaires dans cette période tumultueuse. Elle leur a même emprunté 800 000 euros supplémentaires en juin dernier. Vectaury, qui avait annoncé lever 20 millions d'euros un mois avant sa mise en demeure, a vécu une expérience similaire. "Notre revenu a fondu mais le niveau de coût est resté identique car nous avons pris le pari de garder nos collaborateurs", explique Matthieu Daguenet. L'argent levé pour financer des investissements R&D et le développement commercial de la société a servi à renflouer la société. Même cas de figure pour Teemo dont le business a été à l'arrêt durant plusieurs mois.
"L'action de la Cnil a détruit entre 75 et 100 emplois au total"
Ces déboires n'ont cependant pas toujours été sans conséquences pour les effectifs. Singlespot comptait une cinquantaine de collaborateurs à l'époque des faits. Ils ne sont plus qu'une vingtaine aujourd'hui. Ils étaient une cinquantaine chez Teemo avant la décision de la Cnil. Leur nombre est tombé à 40 début 2019. Fidzup a lui dû diviser ses effectifs par deux en l'espace d'un an. "On n'a procédé à aucun licenciement, uniquement des départs volontaires", précise toutefois son dirigeant, Olivier Magnan-Saurin. Selon ses estimations, l'action de la Cnil a détruit entre 75 et 100 emplois au total.
"Ces mises en demeure successives et publiques ont probablement tué dans l'oeuf une licorne en devenir"
Thomas Opoczynski en est persuadé : "Ces mises en demeure successives et publiques ont probablement tué dans l'oeuf une licorne en devenir". "Nous n'avions pas d'équivalent aux Etats-Unis", rappelle celui qui, un an après les faits, reste encore interpellé par la violence de la décision. "J'ai le sentiment que les entreprises du secteur ont été utilisées pour faire jurisprudence sur les sujets de consentement et que cette jurisprudence leur a coûté très cher". Et de déplorer le zèle d'une organisation qui n'avait pourtant pas l'habitude de recourir aux mises en demeure publiques (seulement trois en 2017).
"Je suis persuadé que l'impact économique aurait été tout autre si la Cnil n'avait pas fait la publicité de son action", estime de son côté Olivier Magnan-Saurin, qui a encore en mémoire la reprise, par plusieurs dizaines de médias, de la dépêche AFP annonçant la décision prise par la Cnil à l'encontre de sa société et de Teemo. "Ça a été très compliqué d'avoir cette étiquette au moment de discuter avec les clients", confirme Benoit Grouchko. Le patron de Teemo explique qu'il aurait aimé disposer de directives claires de la Cnil avant d'être mis en demeure. "On a découvert tout ce qui n'allait pas dans notre lettre de mise en demeure", regrette-t-il. Matthieu Daguenet confie lui aussi être tombé des nues : "On a eu une vingtaine d'interactions avec la Cnil au cours des deux ans qui ont précédé la mise en demeure, on pensait avoir une vraie collaboration". Contactée par le JDN, la Cnil se contente de répondre que les "manquements relevés concernant le recueil du consentement ou la durée de conservation ne sont pas de nouvelles obligations, l'absence de conformité aurait pu être identifiée par l'organisme lui-même avant l'intervention de la Cnil".
"On a découvert tout ce qui n'allait pas dans notre lettre de mise en demeure"
Toutes les adtech confirment que la sanction économique a été réelle. "L'amende de 50 millions d'euros infligée à Google n'a pas pesé lourd dans ses comptes alors que ces mises en demeure n'ont pas été loin d'être une mise à mort pour les adtech françaises", estime Thomas Opoczynski. "Il aurait été préférable de payer une amende de 4% de notre chiffre d'affaires que de perdre les trois-quarts de notre activité", abonde Mathieu Daguenet.
Les quatre start-up ont dû toutes repartir de zéro en réinitialisant leurs bases de données, une fois l'accord avec la Cnil conclu. Un accord qui a forcément eu un impact sur les taux d'opt-in. "Les taux d'acceptation ont fortement été impactés, même s'ils sont très variables selon les applications", déclare Thomas Opoczynski. "On reste toutefois au-dessus des 50%", confie, un brin soulagé, Olivier Magnan-Saurin. Matthieu Daguenet évoque lui un "taux qui oscille entre 55 et 65%". Vectaury n'a pas pu retrouver les 25 millions de profils que l'adtech revendiquait au moment de sa mise en demeure. Elle en cumule désormais 15. L'offre de Teemo n'a quant à elle pas changé : la plateforme aide les annonceurs à améliorer leurs dispositifs drive to store. Une fois la mécanique de récolte du consentement validée par la Cnil, l'adtech s'est elle aussi attachée à retrouver son reach. Le chemin a été long, les restrictions imposées par la Cnil ayant ici aussi une incidence sur les taux d'opt-in. Ce dernier est compris entre 40 et 80% selon les éditeurs, contre 99% par le passé.
"On a réattaqué en janvier 2019 mais ça a été compliqué de convaincre les agences et les annonceurs de réappuyer sur le bouton au vu de notre réputation sulfureuse", témoigne Benoit Grouchko. Le fondateur de Teemo a maintenant pour priorité son développement outre-Atlantique. Teemo avait ouvert son bureau en plein cœur de New York fin 2017 et a commencé à y commercialiser son offre courant 2018. La start-up a déjà signé avec quelques dizaines de clients locaux. Elle voit finalement dans ses mésaventures un "avantage juridique", car les entreprises américaines, qui devront bientôt se conformer au Consumer California Privacy Act, ont les yeux rivés sur l'Europe et son RGPD.
Côté business, les choses sont revenues à la normale. "On a retrouvé en juin 2019 le volume d'affaires mensuel qu'on avait avant la mise en demeure", témoigne Olivier Magnan-Saurin. Vectaury a lui attendu octobre 2019 pour retrouver le niveau d'activité qui était le sien. L'adtech assure avoir resigné avec 95% de ses partenaires éditeurs. "Maintenant que le cadre est clair, les clients sont rassurés", commente Benoit Grouchko. Singlespot a de son côté décidé de changer de business model et d'arrêter l'achat média. "On négocie l'exclusivité de la revente des données de géolocalisation des éditeurs", explique Thomas Opoczynski. Le fondateur de Singlespot, qui revendique une vingtaine de clients, assure lui aussi avoir renoué avec l'ensemble de ceux avec lesquels il travaillait avant la mise en demeure. Mais tous auront perdu un an.