CMP : zoom sur les consent management platforms

Récolter et stocker le consentement des internautes quant au traitement de leurs données : c’est l’objectif d’une consent management platform, ou CMP. L’objectif : s’afficher en règle avec le RGPD. Zoom sur le concept.

CMP, RGPD et CNIL

Une CMP, pour consent management platform, consiste en une plateforme adtech standardisée.
Avec elle, les éditeurs en ligne peuvent informer les utilisateurs du type de données collectées et leur demander l’autorisation de les utiliser dans le cadre d’un traitement ultérieur.
L’objectif : faire preuve de transparence vis-à-vis des tiers auxquels les données sont transmises, demander une autorisation différente pour chaque usage de ces données et permettre ainsi aux utilisateurs, s’ils le souhaitent, de retirer facilement leur consentement.
Ainsi, une CMP a pour but de faciliter et de standardiser des procédures.
Elle permet par exemple d’effectuer les actions suivantes : montrer les bons pop-ups et widgets aux utilisateurs, demander de manière adaptée leur autorisation, conserver les informations recueillies, ou encore traiter les demandes de modification ou de suppression des données requises par les utilisateurs.
C’est depuis l’entrée en vigueur du règlement européen RGDP que cette autorisation est requise pour traiter les données à caractère personnel.
Une étude de l’institut Mind souligne qu’un an après son entrée en vigueur, on constate que 80 % des entreprises étaient équipés d’une CMP, un ratio en augmentation depuis.
Le simple équipement d’une CMP ne suffit en effet pas : comme le rappelle la CNIL, le consentement doit être libre, spécifique, éclairé et non équivoque.
La CMP sert dès lors à transmettre, si nécessaire, le consentement à des partenaires, via le framework de transmission du consentement (TCF) conçu par l’IAB, l’Interactive Advertising Bureau, une organisation regroupant les acteurs de la publicité sur Internet et dont le but est de développer des normes, de mener des recherches, et de fournir un soutien juridique aux acteurs de l'industrie qu'elle représente.

Les éditeurs de CMP

De nombreux outils CMP existent sur le marché : Cookie Consent, Cookie Consent Kit, Cookie Control, Cookiebot, Evidon/Crownpeak, OneTrust, Quantcast et TrustArc.
En France, le leader du marché est Didomi, qui fournit aux entreprises une solution pour collecter, stocker et exploiter les consentements et les préférences des utilisateurs en ligne. QuantCast et Commanders sont également très populaires en hexagone.
Ils s’adressent aux éditeurs de site web - média, e-commerçants ou tout type d’entreprise - pour récolter, enregistrer et stocker le consentement du visiteur concernant l’utilisation de ses données personnelles.
Pour le moment, l’internaute a le choix entre deux possibilités : accepter les cookies ou les paramétrer pour détailler leur choix.
Ce mode de fonctionnement ne convient pas à la CNIL : dans son projet de recommandations de début 2020, elle estime que les options accepter et refuser devraient figurer au même niveau.
Avec la crise du coronavirus, les éditeurs devront appliquer ces recommandations d’ici la fin de l’année.

Le cas des “cookies walls” : légaux ou non ?

Un cookie wall désigne la barrière créée par un site web pour limiter l’accès aux utilisateurs ne consentant pas à l’ensemble des cookies ou aux autres technologies de suivi du même type activés sur le domaine.
Ce scénario “à prendre ou à laisser” est mis en place pour les utilisateurs dans le but de s’assurer que tous les cookies et traceurs sont activiés, et collecter ainsi le plus de données possibles, même contre le libre arbitre des visiteurs.
Un cookie wall ne laisse ainsi aucune possibilité à l’utilisateur de sélectionner ou désélectionner certaines catégories de cookies tels que les cookies marketing.
Seulement, au sein de l’UE, les cookie walls représentent un moyen illégal d’obtenir le consentement d’un utilisateur.
En effet, le 4 mai 2020, le Comité européen de protection des données (EDPB), un organe de contrôle indépendant composé de représentants de toutes les autorités nationales de protection des données dans l’UE, a publié de nouvelles lignes directrices venant éclairer la légalité des cookie walls et ce qui constitue un consentement valide.
Les lignes directrices 05/2020 de l'EDPB excluent les cookie walls comme moyen valide pour les sites web d'obtenir le consentement de leurs utilisateurs pour traiter leurs données personnelles.
L'EDPB indique ainsi clairement dans ses lignes directrices que les cookie walls sont illégaux.
Cependant, le Conseil d'Etat vient de donner raison au Geste et aux représentants du marché publicitaire, qui considèrent qu’un consentement donné dans de telles conditions peut être libre et éclairé. De nouvelles discussions vont donc être organisées entre la Cnil et les éditeurs.