[Tribune] DOOH, quel est le cadre légal à respecter ?

De nouveaux usages se développent en matière de publicité digitale : celle-ci s'invite désormais dans les espaces publics extérieurs, au moyen de panneaux publicitaires déjà présents. La nouveauté réside dans la combinaison de ces panneaux avec des caméras dites "intelligentes", capables d'analyser en temps réel et en continu le flux de passants. Ce nouveau mode de publicité porte le nom de DOOH ou Digital-Out-Of-Home, qui reprend les codes de la publicité en ligne et les appliquent aux espaces extérieurs, tels que des centres commerciaux. S'il est facile d'imaginer l'intérêt pour les annonceurs et commerçants de recourir à ce type de technologies, il subsiste la question du cadre légal à respecter pour développer légalement ces nouveaux modes de publicité.

Déjà émergeante en 2015 lors d'une affaire JCDecaux[1], la CNIL a récemment publié sa position définitive sur les conditions de déploiement des caméras dites "intelligentes" ou "augmentées" dans les espaces publics. L'application du RGPD au DOOH, même en cas d'anonymisation à bref délai des données collectées avec une suppression quasi-immédiate des images ou vidéos en clair, ne fait désormais plus de doute. Dès lors, comment celui-ci peut-il être "RGPD compatible" ? Car si sur le web, le consentement à l'utilisation et la collecte de données personnelles est devenu un principe, comment faire pour cette nouvelle forme de publicité où, par son fonctionnement même, il n'existe aucune de possibilité de faire de même ?

Les enjeux juridiques

Le DOOH n'entre pas dans la catégorie de la "reconnaissance faciale", car les visages humains captés par sa caméra intelligente sont immédiatement "oubliés" par le dispositif, qui ne permet ainsi pas d'identifier de manière unique une personne pour, par exemple, la suivre dans l'espace, de panneau en panneau. Dès lors, ces dispositifs semblent moins attentatoires à la vie privée qu'un système de reconnaissance faciale. Mais cela ne signifie pas qu'ils ne soulèvent pas, eux aussi, leur lot d'enjeux juridiques. En effet, cette technologie constitue un premier pas vers des systèmes de surveillance généralisés de la population dans l'espace public, ce qui a conduit la CNIL à se saisir de la question.

Le premier principe du RGPD auquel les acteurs souhaitant recourir à ces dispositifs devront respecter, est celui de la base légale des traitements de données personnelles : le recueil du consentement étant impossible au regard de l'instantanéité du traitement, le dispositif pourrait alors être mis en oeuvre sur le fondement de l'intérêt légitime de l'utilisateur du DOOH. Or, la CNIL l'exclut expressément pour les dispositifs les plus attentatoires à la vie privée, qui présentent ainsi un déséquilibre manifeste entre les droits et libertés des personnes et les intérêts de l'utilisateur du DOOH, "notamment en l'absence d'attentes raisonnables des personnes vis-à-vis de l'utilisation de ce type de dispositifs" [2]. En effet, les personnes passant devant des panneaux publicitaires ne s'attendent raisonnablement pas à ce que les émotions sur leur visage puissent être analysées par la caméra présente sur le panneau, afin d'afficher une publicité ciblée. Ne peuvent ainsi être fondés sur l'intérêt légitime de l'utilisateur d'un DOOH les traitements consistant à analyser et segmenter les personnes sur la base de critères tels que l'âge ou le genre afin de leur adresser des publicités ciblées ; ou sur la base de leurs émotions afin de leur proposer des contenus en conséquence.

Cette exclusion est également liée au fait que, en se fondant sur l'intérêt légitime, les utilisateurs de DOOH évitent le recours au consentement préalable, impossible en pratique, mais subsiste l'obligation de prévoir un droit d'opposition pour les passants. Comment s'opposer au traitement de ses données personnelles lorsque le traitement est instantané et s'effectue lorsque l'on passe devant un panneau doté d'une caméra "augmentée" ? La CNIL a étudié les propositions des acteurs du secteur (manifester son refus par un "non" de la tête, se placer dans une zone délimitée au sol pour manifester son opposition, prévoir des chemins alternatifs pour éviter de passer devant les panneaux, etc.), pour considérer qu'aucune n'était réellement satisfaisante et aisément praticable dans les faits.

Il s'agit ainsi de l'immense majorité des nouveaux usages de la publicité digitale extérieure qui ne peut pas à l'heure actuelle être mis en oeuvre, car aucune des bases légales de traitement prévues par le RGPD ne peut être adoptée par leurs utilisateurs. La CNIL considère que ces dispositifs doivent, pour pouvoir être mis en oeuvre, être autorisés et encadrés par un texte légal ou règlementaire. Or, ce cadre n'existe pas à l'heure actuelle, ni en droit français ni au niveau européen. Quelles solutions subsistent donc pour les acteurs de la publicité digitale ?

Les usages autorisés

En réalité, tout n'est pas totalement interdit. D'une part, les DOOH peuvent être utilisés de manière à sortir du cadre de la règlementation de protection des données personnelles, lorsqu'ils ne collectent aucune donnée susceptible d'être considérée comme étant à caractère personnel. Il s'agit des dispositifs recueillant des données climatiques ou des données relatives à l'environnement pur du panneau (la circulation automobile, le taux de pollution, les enseignes à proximité, etc.). Les publicités affichées deviennent ainsi contextuelles (non pas ciblées à la population, mais à l'environnement du panneau doté d'une caméra et/ou d'un capteur "intelligent").

Enfin, une seconde possibilité est expressément envisagée par la CNIL, pour laquelle les utilisateurs de DOOH pourront se fonder sur leur intérêt légitime, si et seulement si les données sont collectées uniquement afin de produire des statistiques ne contenant que des données agrégées et anonymes, avec un écrasement des données instantané après la collecte. Ne seront conservés que les résultats de l'analyse statistique de la population passée devant les panneaux.

Seconde condition à l'éligibilité au régime dérogatoire : les résultats ne peuvent être utilisés immédiatement par les utilisateurs, car si c'était le cas, le traitement aurait pour finalité l'affichage de publicité ciblée en temps réel, et non pas uniquement la production de données statistiques. Dès lors, la CNIL impose le respect d'un délai entre le recueil des données statistiques et la prise de décision associée. Pour exemple, est considéré comme un traitement statistique par la CNIL l'analyse du type de fréquentation d'un centre commercial sur la base de critères tels que le genre des personnes et la tranche d'âge afin de permettre au gérant de choisir, dans un second temps, les publicités les plus adaptés.

Hormis ces usages autorisés, les acteurs de la publicité ne pourront, en l'absence d'une évolution législative au niveau français ou européen, reproduire l'écosystème de la publicité digitale en ligne (impliquant le système d'enchères en temps réel pour les achats d'encarts publicitaires par les annonceurs) sur le système du DOOH.

Antoine Gravereaux est avocat associé au sein du département Propriété intellectuelle, Technologies numériques et Data de DS Avocats, il intervient dans les domaines du droit des contrats, du droit des technologies avancées, de la propriété intellectuelle et de la protection des données à caractère personnel. Ses missions consistent à conseiller et accompagner ses clients dans les projets stratégiques liés à la transformation numérique.

Valentine Chauveau est avocate au sein du département Propriété intellectuelle, Technologies numériques et Data de DS Avocats. Spécialisée en nouvelles technologies, Valentine Chauveau assiste les acteurs du secteur public et privé dans toutes leurs problématiques liées à la protection des données à caractère personnel.

[1] Délibération n°2015-255 du 16 juillet 2015 refusant la mise en oeuvre par la société JCDecaux d'un traitement automatisé de données à caractère personnel ayant pour finalité de tester une méthodologie d'estimation quantitative des flux piétons sur la dalle de la Défense ; position validée par le Conseil d'Etat, 10^ème - 9^ème chambres réunies, du 8 février 2017, n°393714.

[2] Position de la CNIL sur les conditions de déploiement des caméras dites "intelligentes" ou "augmentées" dans les espaces publics, juillet 2022.