La Cnil lève la mise en demeure de Vectaury

Afin de lever la mise en demeure prononcée par la Cnil le 8 novembre 2018, Vectaury n'exploite plus que d'une façon limitée les données de géolocalisation issues des enchères du programmatique, en plus de celles issues de son SDK installé au sein d'applications tierces.

Le recueil et le traitement des données de géolocalisation doivent permettre à la solution d'effectuer des campagnes de ciblage publicitaire vers des téléphones mobiles. Lors de son contrôle, la Cnil avait notifié à Vectaury des manquements aux dispositions de la loi " Informatique et Libertés ", reprises par le RGPD (règlement général sur la protection des données) qui portaient sur "un défaut de recueil de consentement des personnes au traitement de leurs données de géolocalisation à des fins publicitaires. Ces données étaient issues, d'une part, des applications mobiles éditées par les partenaires de la société VECTAURY et, d'autre part, d'offres d'enchères d'espaces publicitaires sur des applications mobiles reçues par VECTAURY", explique la Commission dans un communiqué.

Pour lever la mise en demeure, Vectaury, qui avait dévoilé sa CMP en juillet dernier, a ainsi mis en place une nouvelle Consent Management Platform (CMP) conforme aux recommandations de la CNIL, à savoir "une bannière s'affichant lors de l'installation des applications mobiles avant la collecte des données. Cette bannière permet désormais de recueillir un consentement libre, spécifique, éclairé et résultant d'une action positive des personnes, conformément au RGPD. Les utilisateurs sont ainsi informés, avant toute collecte de leurs données : de la finalité du traitement : la publicité ciblée géolocalisée ; de l'identité des responsables de traitement (les partenaires géomarketing) accessible aisément grâce à un lien cliquable ; des données collectées : l'identifiant publicitaire du téléphone et les données de géolocalisation."

Fin de l'utilisation des données du programmatique

"Concernant le système d'enchère d'espace publicitaire en temps réel, la société ne traite à présent que les données d'utilisateurs dont le consentement a été valablement recueilli par l'organisme qui lui transmet ces données. Elle vérifie en amont les modalités de recueil du consentement", ajoute le communiqué.

Comme nous vous l'indiquions dans notre enquête sur le sujet, la mise en place d'une CMP conforme au RGPD devrait se traduire par une baisse de leur taux d'opt-in et du reach effectif de mobinautes géolocalisés en continu. Selon nos informations, non-confirmées par Singlespot, cette dernière solution, qui n'exploite que les données issues d'applications tierces, aurait d'ailleurs arrêté ses activités liées à la publicité mobile géolocalisée.

Par ailleurs, la limitation de l'exploitation des données issues du programmatique par Vectaury prouve bien les difficultés auxquelles les acteurs de l'ensemble de l'écosystème de la publicité digitale vont être confrontés pour se mettre en conformité avec les recommandations de la Cnil et l'impératif, dans le cadre du RGPD, de s'assurer de la traçabilité de la conformité du recueil du consentement par le primo-récoltant. Or, selon les différentes études menées auprès des éditeurs, seulement la moitié d'entre eux aurait mis en place une CMP. Reste encore à ce que cette CMP soit conforme aux recommandations de la Cnil, à savoir que l'ensemble des usages prévus pour la donnée soient listés dès la première bannière, et décochés par défaut.