Publicité numérique : les quatre dossiers juridiques à surveiller à la rentrée

À l’occasion de cette rentrée, les professionnels du marketing et de la publicité numérique doivent composer avec plusieurs évolutions réglementaires. Entre les blocages autour du projet européen Digital Omnibus, le durcissement annoncé par la CNIL sur la preuve du consentement marketing, les nouvelles incertitudes entourant les transferts de données vers les États-Unis et le dossier des pixels d’emailing, le secteur évolue dans un environnement juridique mouvant.

Digital Omnibus : le consentement au niveau du navigateur dans l’impasse

Parmi les dossiers les plus suivis figure le projet européen Digital Omnibus et, en particulier, son article 88B. Celui-ci propose de gérer directement au niveau des navigateurs web les choix de consentement ou de refus des internautes.

Le dispositif remet ainsi sur la table une logique proche du « Do Not Track » ou d’un bloqueur publicitaire intégré à la navigation. Une approche très contestée, notamment par Thomas Adhumeau, Chief Privacy Officer chez Didomi.

Première critique : la Commission européenne a présenté son texte sans réaliser d’étude préalable complète sur son impact économique. Une décision qui interroge alors même que le Digital Omnibus s’inscrit dans une politique de simplification réglementaire destinée à renforcer la compétitivité européenne, dans le sillage du rapport Draghi. Il juge l’approche trop bureaucratique et en décalage avec les évolutions technologiques, notamment l’IA.

Le texte se heurte également à une forte opposition politique et industrielle. Au Conseil européen, plusieurs États membres, parmi lesquels la France, l’Allemagne et le Danemark, bloquent le projet. Les éditeurs de navigateurs comme Google refusent de leur côté d’endosser la responsabilité de gestionnaires de l’accès publicitaire, notamment en raison des risques antitrust et après l’expérience du Privacy Sandbox.

À cela s’ajoute un calendrier particulièrement long. Aucun accord au Conseil ou au Parlement n’est envisageable avant le printemps ou le milieu de l’année 2027. En tenant compte des délais du trilogue (les discussions entre Commission européenne, le Conseil de l’Union européenne et le Parlement européen), des deux années de mise en conformité et du temps nécessaire à l’intégration du mécanisme par les navigateurs, son application effective ne pourrait intervenir qu’en 2030, voire 2032.

Pour les éditeurs de sites et la presse, déjà confrontés à une baisse d’audience liée aux fonctionnalités de recherche par IA comme Google Overview, un tel dispositif pourrait encore réduire les possibilités de monétisation publicitaire.

« Vouloir légiférer ainsi est profondément ringard. Alors que le numérique est en plein chamboulement et que nul ne sait à quoi ressemblera notre rapport à internet dans cinq ans, l’Europe s’apprête à bâtir une usine à gaz réglementaire pour encadrer des usages qui auront déjà évolué, avec le risque que tout cela ne serve finalement à rien. », estime Thomas Adhumeau, Chief Privacy Officer chez Didomi.

Le dossier reste donc à suivre, mais la mise en application, elle, prendra du temps.

Consentement marketing : la CNIL veut passer de la procédure à la preuve

En France, un autre chantier pourrait avoir des conséquences plus immédiates. La CNIL doit publier d’ici la fin de l’année, probablement en novembre ou décembre, sa recommandation définitive sur la preuve du consentement marketing.

Le changement est important : les entreprises ne pourraient plus se contenter, lors d’un contrôle, de présenter leur processus interne et la manière dont le consentement est théoriquement recueilli. Elles devraient être capables d’apporter une preuve individuelle et horodatée des choix affichés et validés par chaque utilisateur.

Cette exigence pourrait également avoir un impact direct sur les bases de données partenaires. Lors d’opérations de collecte via des newsletters ou des jeux-concours, puis de revente de fichiers, l’entreprise utilisant ensuite les données pour ses campagnes devrait vérifier activement que le consentement a bien été recueilli à la source. Cette vérification pourrait notamment passer par des preuves de consentement standardisées et transmissibles entre acteurs, sur le modèle du TCF publicitaire.

Le projet est jusqu’ici resté relativement discret, même si plusieurs associations professionnelles, parmi lesquelles Alliance Digitale et la FEVAD, ont participé aux concertations. Thomas Adhumeau constate qu’il intervient néanmoins dans un contexte de lassitude d’une partie du marché français face à ce qui est perçu comme une forte activité réglementaire de la CNIL par rapport à ses homologues européennes.

Transferts de données vers les États-Unis : le DPF de nouveau sous pression

Autre source d’incertitude : le Data Privacy Framework (DPF), instauré en 2023 pour sécuriser les transferts de données entre l’Union européenne et les États-Unis, se retrouve à nouveau fragilisé.

En cause, plusieurs décisions politiques américaines et notamment la révocation par Donald Trump de membres démocrates du Civil Liberties Protection Officer (CLPO). Cette décision pose la question de l’impartialité de cet organe, alors que l’indépendance du mécanisme de recours américain constituait l’une des principales conditions posées par l’Europe lors de la validation du DPF.

La Commission européenne s’est saisie du dossier et pourrait être amenée à réévaluer l’accord. Un scénario qui compliquerait fortement l’utilisation de nombreuses technologies américaines, parmi lesquelles Google Analytics, Salesforce, Snowflake ou Amazon. Les entreprises devraient alors s’appuyer sur d’autres mécanismes, notamment les clauses contractuelles types, avec potentiellement davantage d’analyses et de garanties autour des transferts.

« Le Data Privacy Framework est un colosse aux pieds d’argile. Bâti sur un décret présidentiel américain gravé dans le sable, l’accord est condamné à être balayé à chaque nouvelle marée politique à Washington», constate le Chief Privacy Officer chez Didomi.

Pixels dans les emails : le marché semble avoir absorbé les nouvelles règles

Enfin, le dossier des pixels de tracking dans les courriels semble progressivement sortir des préoccupations immédiates du marché.

La souplesse accordée par la CNIL pour les bases de contacts existantes (avec la possibilité de proposer une opposition plutôt que d’exiger systématiquement un consentement strict préalable), a permis d’absorber la mesure sans provoquer, à ce stade, d’impact majeur mesurable sur les taux d’ouverture.