Publicité ciblée et protection des internautes Des recommandations déontologiques concertées des professionnels Présentation à la CNIL Mardi 16 mars 2010.

Présentation au sujet: "Publicité ciblée et protection des internautes Des recommandations déontologiques concertées des professionnels Présentation à la CNIL Mardi 16 mars 2010."— Transcription de la présentation:

1 Publicité ciblée et protection des internautes Des recommandations déontologiques concertées des professionnels Présentation à la CNIL Mardi 16 mars 2010

2 CNIL - 16 mars 2010 Une initiative des membres de l’UFMD… Une initiative coordonnée par l’Union Française du Marketing Direct (UFMD, www.ufmd.org), qui a réuni :www.ufmd.org – AACC (Association des Agences Conseil en Communication) 200 adhérents - www.aacc.frwww.aacc.fr – FEVAD (Fédération E-commerce et Vente A Distance) 440 adhérents - www.fevad.comwww.fevad.com – SNCD (Syndicat National de la Communication Directe) 130 adhérents - www.sncd.orgwww.sncd.org – UDA (Union des Annonceurs) 300 adhérents - www.uda.frwww.uda.fr (suite)

3 CNIL - 16 mars 2010...à laquelle se sont jointes d’autres associations – IAB France (Internet Advertising Bureau France) 95 adhérents - www.iabfrance.comwww.iabfrance.com – GESTE (Groupement des Editeurs de Services en ligne) 110 adhérents - www.geste.frwww.geste.fr – UDECAM (Union Des Entreprises de Conseil et Achat Media) 11 adhérents - www.udecam.frwww.udecam.fr D’autres Associations ont manifesté le souhait de se joindre à cette initiative. Elles pourront être incluses après la phase actuelle de présentation aux pouvoirs publics.

4 CNIL - 16 mars 2010 Méthodologie Un groupe de travail réuni en amont et coordonné : – Suite au rapport de la CNIL sur la publicité ciblée sur Internet, – Selon les travaux européens de révision de la Directive 2002/58/CE Des réunions mensuelles à hebdomadaires de juillet 2009 à mars 2010 – Présidées par un professionnel désigné par les Associations – avec l’appui d’un conseil juridique externe aux Associations

5 CNIL - 16 mars 2010 Méthodologie Un périmètre de travail précis… – Préparé par le Président du Groupe de travail – Adapté selon les remarques des Associations membres – Tenant compte des évolutions de l’actualité juridique et législative et des initiatives déontologiques … pour une concertation avec les pouvoirs publics – La CNIL. – Le Gouvernement et le Parlement, en tant que de besoin.

6 CNIL - 16 mars 2010 Objectif Les Associations professionnelles ont pour responsabilité : – de définir un ensemble de bonnes pratiques, – de promouvoir le nécessaire et juste équilibre entre : les impératifs de transparence et de respect de la privée des internautes et; les équilibres économiques de l’internet.

7 Publicité ciblée et protection des internautes Quel environnement juridique et économique ?

8 CNIL - 16 mars 2010 1. Les formes de publicité ciblée en ligne L’expression « publicité ciblée » recouvre des facultés très diverses d’adaptation des contenus publicitaires, qui reposent sur des techniques et des données elles-mêmes diverses. Publicité contextuelle : – Déterminée par le contenu dans lequel elle s’insère. – Ne recourt à aucune donnée comportementale ni personnelle. – La diffusion du contenu publicitaire résulte d’un mot figurant dans un contenu éditorial, mais pas d’un terminal ou d’un logiciel de navigation, ni d’un comportement -réel ou supposé.

9 CNIL - 16 mars 2010 1. Les formes de publicité ciblée en ligne Publicité comportementale : – Déduire les centres d’intérêt supposés des internautes à partir de leur navigation. – Afficher des publicités adaptées à cette navigation, supposées intéresser davantage les internautes. – Résulte : des technologies employées et des acteurs concernés, de la disponibilité ou non d’un « témoin de connexion » (cookie), de la faculté ou non de partager un tel « témoin » avec des tiers.

10 CNIL - 16 mars 2010 1. Les formes de publicité ciblée en ligne Publicité personnalisée : – CNIL : « la publicité personnalisée est […] choisie en fonction des caractéristiques connues de l’internaute (âge, sexe, localisation, etc.) et qu’il a lui même renseignées ». – Résulte : d’informations déclaratives insuffisantes pour identifier l’internaute : – Âge, sexe, goûts, centres d’intérêts … ou ; d’un traitement de données personnelles : – Application de la loi « I&L » aux acteurs qui y sont soumis. – Information des internautes lors de la collecte, sur la finalité d’adaptation des contenus publicitaires.

11 CNIL - 16 mars 2010 2. Les principaux enjeux économiques Les modèles économiques de la publicité en ligne – au nombre d’affichages (coût pour mille ou « CPM »), – à la réactivité (coût au « clic » ou « CPC »), – à l’orientation vers un annonceur (cost per lead ou « CPL »), – à l’inscription à l’offre promue ou lors de la collecte des données de l’internaute (cost per acquisition ou « CPA »).

12 CNIL - 16 mars 2010 2. Les principaux enjeux économiques La publicité, « carburant de l’économie numérique » – finance des services et des contenus pour qu’ils soient gratuits ou à coût réduit, sites éditoriaux, de presse, d’information, blogs, podcasts, etc. – présente des services en priorité lors de la consultation d’un moteur de recherche avant tout accès à un site éditorial. liens sponsorisés, référencement payant, etc. Le rendement économique de ce « carburant » n’avait jamais pu être aussi précisément mesuré dans les medias « physiques », qu’il peut l’être désormais sur Internet.

13 CNIL - 16 mars 2010 2. Les principaux enjeux économiques Les « cookies », témoins de l’économie numérique – Pas d’économie -numérique ou non- sans comptage. Nombre de visiteurs uniques, d’affichages, de clics, de pages visitées, durée de consultation d’un contenu. – Les acteurs de l’économie numérique, avec les « cookies » : mesurent leur audience, jugent de leur pertinence ou constatent une interaction avec un internaute ou l’exécution d’un contrat entre des acteurs économiques. Les « cookies », un instrument monétaire de l’Internet – Les cookies permettent de constater un fait économique : une interaction entre des acteurs de l’économie numérique, parmi lesquels les internautes.

14 CNIL - 16 mars 2010 2. Les acteurs de la publicité numérique L’annonceur : – Tout organisme qui recourt aux différentes techniques de communication pour promouvoir sa notoriété, son image, ses produits ou ses services. – L’annonceur répartit ses investissements publicitaires et marketing pour qu’ils soient le plus fructueux possibles. L’agence conseil en communication : – Accompagne l’annonceur dans la création et la mise en œuvre des dispositifs de communication, notamment digitale.

15 CNIL - 16 mars 2010 2. Les acteurs de la publicité numérique La régie publicitaire : – Commercialise des espaces publicitaires pour le compte d’un ou plusieurs éditeurs de sites Internet. – Elle peut : concevoir des offres publicitaires rémunératrices pour le diffuseur (l’éditeur) et pour elles-mêmes et efficaces pour l’annonceur ; mettre en œuvre des solutions technologiques de recueil de données de navigation d’un même terminal (ordinateur, Smartphone) sur un seul ou sur plusieurs milliers de supports de diffusion dont elles sont les intermédiaires.

16 CNIL - 16 mars 2010 2. Les acteurs de la publicité numérique Le diffuseur (ou éditeur) – dispose d’espaces publicitaires qu’il cherche à rémunérer par l’insertion de contenus publicitaires (ex : presse en ligne), – doit pouvoir justifier d’une audience, – peut faire appel à une ou plusieurs régies publicitaires afin de valoriser ses espaces. Ces régies publicitaires peuvent mettre en œuvre des dispositifs de comptage ou d’adaptation des contenus publicitaires qu’elles afficheront sur le site du diffuseur.

17 CNIL - 16 mars 2010 3. Les principaux enjeux juridiques Appliquer aux diverses formes de publicité ciblée un cadre juridique adapté à la nature des données traitées. – Soit des données à caractère personnel sont traitées… La loi « I&L » requiert d’informer les internautes sur le traitement de leurs données personnelles à des fins de diffusion de publicités personnalisées et de leur offrir un droit d’opposition sans motif. – Soit aucune donnée à caractère personnel n’est traitée… Si des cookies sont utilisés, les règles de protection de la vie privée requièrent d’en informer les internautes et de leur indiquer comment ils peuvent, via leur logiciel de navigation, accepter ou refuser le stockage de cookies.

18 CNIL - 16 mars 2010 3. Les principaux enjeux juridiques L’adresse IP est-elle une donnée personnelle ? – La LCEN (loi 2004-575 du 21 juin 2004, art 6.II) : Seules les personnes agissant dans la cadre de la défense d’un droit en justice ou de la poursuite d’une infraction, sont susceptibles d’obtenir d’un juge l’autorisation d’interroger un F.A.I. Le F.A.I. ne peut être interrogé que par l’autorité judiciaire. – Les acteurs de la publicité ciblée : ne peuvent pas obtenir d’un juge l’autorisation d’identifier un internaute à des fins commerciales à partir d’une adresse IP, ne disposent d’aucun moyen juridique de déduire d’une adresse IP l’identité réelle ou supposée d’un internaute.

19 CNIL - 16 mars 2010 3. Les principaux enjeux juridiques Les fichiers « cookies » ou « témoins de connexion » – ne stockent que des informations déposées par leur émetteur qui peut seul les lire. Lorsqu’ils sont émis et gérés par l’éditeur du site visité, on parle de cookies « on-site », – parfois nécessaires pour permettre la navigation sur le site visité, et/ou ; – pour adapter le contenu du site à l’ordinateur qui le visite, sans que cette adaptation porte nécessairement sur les espaces publicitaires du site. Lorsqu’ils sont émis et gérés par un tiers à l’éditeur du site visité, on parle de cookies « tiers » ou « off-site ». En régulant uniquement un procédé technologique, plutôt que la diversité des usages qui en sont faits, il convient d’être prudent dans l’énoncé de règles générales.

20 CNIL - 16 mars 2010 3. Les principaux enjeux juridiques L’instrument de la régulation des « cookies » : le navigateur L’économie numérique mondiale s’est construite autour d’une normalisation mondiale des cookies initiée par l’IETF depuis 1994. – Les logiciels de navigation doivent offrir deux options aux internautes : l’acceptation ou le refus des cookies. Le fondement européen régulant les « cookies » : la vie privée Directive 2002/58/CE (Cons. 24, 25 et article 5.3) Article 32.II de la loi « I&L » – Information claire, précise et complète des utilisateurs sur la finalité – Choix libre (acceptation ou refus) qui s’exerce dans le navigateur.

21 CNIL - 16 mars 2010 3. Les principaux enjeux juridiques L’évolution de la réglementation européenne des « cookies » Modification de l’article 5.3 de la Directive 2002/58/CE par l’article 2.5 et le Considérant 66 de la Directive 2009/136/CE du 25 novembre 2009. Délai de transposition : avant le 25 mai 2011. – L’article 5.3 pose le principe de « l’accord de l’utilisateur ». – Le Considérant 66 retient un « droit au refus » par le navigateur. Ces deux formules contradictoires : – sont le prix d’un consensus entre les Etats membres, – devront être interprétées de manière à garantir l’harmonisation des législations et des positions des autorités nationales de contrôle.

22 CNIL - 16 mars 2010 3. Les principaux enjeux juridiques Les « spyware », des procédés proscrits : – Loi Godfrain et articles 323-1 et suivants du Code pénal Intrusion frauduleuse dans un système d’information – Ex : consulter ou recueillir, à l’insu de l’internaute, des données stockées dans son terminal et qui n’y avaient pas été préalablement déposées licitement par l’entité qui les consulte ou les recueille.

23 CNIL - 16 mars 2010 3. Les principaux enjeux juridiques La problématique territoriale : – Les acteurs influents de la publicité ciblée sont américains. Réglementer plus strictement la publicité comportementale ou personnalisée en France au motif que les géants mondiaux du secteur sont situés outre-Atlantique, favoriserait des situations de déséquilibre au détriment des entreprises françaises et européennes qui luttent dans une compétition économique mondiale. – L’évolution de la réglementation française devra tenir compte : de sa cohérence avec la réglementation européenne, de sa cohérence avec la normalisation mondiale.

24 Publicité ciblée et protection des internautes Des recommandations déontologiques concertées des professionnels

25 CNIL - 16 mars 2010 Reco. n° 1 – Informer les internautes Sur le caractère ciblé des offres publicitaires insérées dans les services qu’ils consultent. – Sur les différentes formes d’adaptation des contenus publicitaires : Contextuelle, comportementale ou personnalisée. – Sur les procédés utilisés : Contexte, cookies, adresse IP, etc ; – Sur les types d’informations traitées : Données de navigation, données personnelles. Sur les acteurs intervenant dans la chaîne de traitement. Sur les droits des internautes : accepter ou refuser, – l’utilisation des procédés techniques concernés, – le rapprochement de ces procédés avec des données personnelles.

26 CNIL - 16 mars 2010 Reco. n° 1 – Informer les internautes Par un espace d’information… – aisément accessible et présenté sous une forme pédagogique, – dissocié des conditions de vente du service consulté. … assurant une parfaite transparence sur : – les données et informations collectées, – les procédés utilisés (contexte, navigation, données personnelles), – les méthodes de suppression ou de refus des cookies, – les conséquences d’une suppression ou d’un refus, – les critères de conservation des données de navigation applicables, par défaut, en l’absence d’intervention de l’internaute.

27 CNIL - 16 mars 2010 Reco. n° 1 – Informer les internautes Acteurs concernés : – l’ensemble des acteurs de la chaîne de diffusion des publicités ciblées, selon les dispositifs qu’ils opèrent : l’annonceur, la régie publicitaire, l’éditeur du support de diffusion des contenus publicitaires.

28 CNIL - 16 mars 2010 Reco. n° 1 – Informer les internautes Supports d’information concernés : – Les sites et services de communication au public en ligne Inclure au sein de la rubrique du site traitant du respect de la vie privée un chapitre spécifique : – dédié à l’adaptation des contenus publicitaires, – décrivant la finalité des dispositifs mis en œuvre : publicité contextuelle, publicité comportementale ou publicité personnalisée. – Les contenus publicitaires En cas d’utilisation de techniques de publicité comportementale, l’information des internautes, présente sur le site de la régie de publicité ciblée, est accessible à proximité du format publicitaire recourant à ces techniques.

29 CNIL - 16 mars 2010 Reco. n° 1 – Informer les internautes Le contenu de l’information : – les différentes formes de publicité ciblée, – les divers procédés utilisés, – les catégories d’informations traitées et non traitées, – les possibilités d’accepter ou de refuser l’affichage de publicités comportementales ou personnalisées : modalités de manifestation de l’accord et du refus, ponctuel ou permanent, à l’implantation de cookies, droit d’opposition des internautes organisé par les prestataires de publicité comportementale utilisant des cookies « tiers », suppression des cookies stockés dans le terminal, conséquences du refus ou de la suppression d’un cookie.

30 CNIL - 16 mars 2010 Reco. n° 2 – Le choix des internautes Exprimé auprès des opérateurs publicitaires… – par des moyens simples et non payants de manifester directement auprès des acteurs concernés, leur accord ou leur refus de voir s’afficher des publicités comportementales. – Les internautes seraient informés de l’existence et des modalités d’exercice de leurs droits dans les conditions décrites dans la Recommandation n°1. …via des plateformes alimentées par les internautes… – mises à leur disposition par les régies publicitaires, – leur permettant, depuis un support ou un contenu publicitaire exploité par l’opérateur concerné, d’accepter ou de refuser l’affichage de publicités comportementales.

31 CNIL - 16 mars 2010 Reco. n° 2 – Le choix des internautes Consulté par les opérateurs publicitaires auprès des internautes… – …via le logiciel de navigation : accord ou refus de stockage de fichiers cookies. – par l’information des internautes sur les modalités de suppression : des cookies, des historiques de navigation. – par la mise en œuvre de cookies persistants : exprimant l’opposition des internautes à l’utilisation de cookies « tiers » ou « off-site », compatibles avec la sécurité informatique et le fonctionnement des terminaux et des logiciels de navigation, exprimant leur volonté de ne pas faire l’objet ou de faire l’objet de publicités comportementales de la part de tiers au site visité.

32 CNIL - 16 mars 2010 Reco. n° 3 – Le rapprochement données comportementales / données personnelles Les trois catégories de droits des internautes à ce jour : 1. l’utilisation nécessaire des cookies qui, le cas échéant, peuvent être associés à des données personnelles pour permettre le fonctionnement d’un service, ou ; 2. le droit de refuser l’utilisation de fichiers « cookies » à leur égard, lesquels ne peuvent donc pas être associés à des données personnelles, ou ; 3. le droit d’accepter l’utilisation de fichiers « cookies » à leur égard et le droit, sauf nécessité contraire (cf cas n° 1), de refuser le rapprochement de données de navigation avec leurs données personnelles. Les Associations ont distingué deux hypothèses.

33 CNIL - 16 mars 2010 Reco. n° 3 – Le rapprochement données comportementales / données personnelles Les rapprochements au sein d’une même organisation – Le responsable du traitement des données personnelles : en informe les internautes lors de la collecte de leurs données personnelles ou au plus tard avant d’effectuer un tel rapprochement. Cette information devrait satisfaire aux conditions des article 32.I et 32.II de la loi « I&L ». – Les internautes devraient : être mis en mesure par le responsable de traitement de données personnelles, d’accepter ou de refuser un tel rapprochement, être informés des modalités d’exercice de cette faculté et de ses conséquences.

34 CNIL - 16 mars 2010 Reco. n° 3 – Le rapprochement données comportementales / données personnelles Les rapprochements de données détenues par plusieurs organisations – Le responsable du traitement des données personnelles, en informe les internautes lors de la collecte de leurs données personnelles ou au plus tard avant d’effectuer un tel rapprochement. Cette information devrait satisfaire aux conditions des article 32.I de la loi « I&L ». – Les internautes devraient pouvoir exprimer leur accord pour un tel rapprochement auprès du responsable de traitement. – À défaut, un tel rapprochement ne devrait pas pouvoir intervenir.

35 CNIL - 16 mars 2010 Reco. n° 4 – Le « droit à l’oubli » des cookies La durée de prise en compte des cookies utilisés à des fins de publicité comportementale devrait : – Être limitée à une durée proportionnée à celle du cycle d’achat du produit ou service promu par le biais de telles publicités. Une durée de 90 jours, souvent constatée par les opérateurs publicitaires, pourrait constituer une durée d’exploitation par défaut des cookies, … sans toutefois exclure l’application de durées plus courtes ou plus longues, proportionnées à la durée du cycle d’achat du produit ou service promu par le biais de publicités comportementales.

36 CNIL - 16 mars 2010 Reco. n° 5 – Protections particulières Le respect des correspondances privées – Les différentes formes de publicité ciblée ne doivent pas porter atteinte au secret des correspondances. Ce secret ne peut être levé qu’avec le consentement explicite et préalable de la personne bénéficiaire de ce secret. Jeunes internautes – Les catégories spécifiques de comportements des internautes âgés de moins de 13 ans devraient être proscrites. – Les publicités ciblées susceptibles d’être reçues par les jeunes internautes sont régies par les règles applicables à toute publicité (ex: Recommandation « Enfants » de l’ARPP, Code ICC, etc.)

37 CNIL - 16 mars 2010 Reco. n° 6 – Les techniques de « capping » Chaque opérateur publicitaire devrait se doter de règles de plafonnement (« capping ») des publicités ciblées qu’il est susceptible d’opérer, portant sur : – la fréquence du réaffichage des publicités comportementales ou personnalisées à destination, selon les cas, d’un même logiciel de navigation ou d’une même personne ; – la durée de validité du ciblage comportemental ou personnalisé (Recommandation n° 4).

38 CNIL - 16 mars 2010 Reco. n° 7 – Encourager les dispositifs techniques de protection Les Associations encouragent l’usage et le développement de dispositifs : – techniques et déontologiques de protection de la vie privée et des données personnelles ou, – d’anonymisation des données personnelles éventuellement traitées par les opérateurs publicitaires.