Les données personnelles des consommateurs sont au cœur du RGPD et la classification des données personnelles est élargie dans le cadre du RGPD. Cela signifie que les données sur lesquelles l'industrie de la publicité numérique s'appuie et qui ne sont pas actuellement considérées comme des données personnelles peuvent désormais être classées comme telles en vertu du RGPD. Bien qu'il n'existe pas de liste définitive d'identifiants personnels pour les spécialistes du marketing, nous pouvons supposer sans risque qu'elle comprendra des informations telles que les identifiants de cookie, les numéros de clients, les adresses IP et les identifiants d'appareils. Il s'agit d'identifiants que de nombreux réseaux et plateformes saisissent dans le cadre de leurs efforts de suivi et de retargeting.

Les annonceurs utilisant le suivi auront donc l'obligation de s'assurer qu'ils sont légalement conformes à la nouvelle réglementation.

Les entreprises doivent disposer d'une base juridique pour traiter les données personnelles. Six bases juridiques sont prévues. Les deux plus couramment utilisées dans le secteur de la publicité numérique sont le consentement et l'intérêt légitime.

L'intérêt légitime est différent du consentement. Selon l'Information Commissioner's Office (ICO), « il est susceptible d’être le plus approprié quand les données des personnes sont utilisées d’une manière à laquelle elles peuvent raisonnablement s’attendre et qui a un impact minimal sur la vie privée, ou bien lorsqu’une justification impérieuse pour le traitement existe ». Si une entreprise choisit de s'appuyer sur l'intérêt légitime, elle doit être sûre de pouvoir démontrer qu'il s'agit d'une base juridique appropriée.

Lorsqu'il est jugé nécessaire de s'appuyer sur le consentement, l'ICO déclare : « Le consentement consiste à offrir aux individus un choix réel et un contrôle concret sur la manière dont leurs données seront utilisées. Un consentement éclairé doit permettre aux individus d'avoir le contrôle, de renforcer la confiance et l'engagement des clients et d'améliorer votre réputation. »

Le « contrat » est également une base juridique qui peut être applicable dans certains cas. Le recours à cette base juridique suppose que le traitement soit objectivement nécessaire à l’exécution d’un contrat entre l’organisme traitant les données et les personnes concernées, permettant à l'entreprise de collecter et de traiter des données à caractère personnel.

Vous trouverez plus d'informations sur les bases juridiques ici.

La directive ePrivacy, ou loi sur les cookies, concerne essentiellement les bannières et pop-ups qui informent les consommateurs de l'utilisation de cookies pour suivre leur activité en ligne. Cette directive couvre également le consentement qui s’applique aux e-mails, SMS et marketing téléphonique, qui sont applicables à certaines entreprises.

La directive ePrivacy est une lex specialis (en latin « loi spéciale » concernant un sujet particulier) : de ce fait, la directive complète le RGPD par des règles spécifiques. Cela signifie que la directive ePrivacy doit être appliquée lorsque les règles sont plus spécifiques que dans le RGPD. La directive ePrivacy oblige le responsable du traitement à obtenir le consentement pour les cookies et le marketing direct. La Directive ePrivacy est actuellement en cours de révision et sera remplacée par une réglementation d'ici un an environ.

La révision vise à améliorer la transparence pour les consommateurs et à introduire un consentement plus strict pour les cookies et les technologies de suivi similaires. Dans le cadre de la directive ePrivacy actuelle, l'ICO a précisé que le consentement est nécessaire pour les « cookies et technologies similaires ». Ainsi, quelle que soit la base juridique utilisée pour le traitement des données à caractère personnel dans le cadre des règles du RGPD, la directive ePrivacy reste en vigueur, ce qui signifie qu'un consentement explicite est nécessaire pour l'utilisation de nombreux cookies, car  le RGPD ne considère le consentement comme suffisant que s'il est explicite. Cela signifie que les spécialistes du marketing devraient revoir leurs mécanismes de consentement ainsi que les directives de l'ICO et apporter des modifications en conséquence.

Compte tenu de l’impact potentiellement significatif sur toutes les formes de publicité en ligne, l’industrie a collaboré à la création de normes et d'approches générales. En novembre 2017, IAB Europe a annoncé une norme technique pour le consentement en ligne et les parties prenantes de l’industrie sont en train de créer un outil de consentement destiné à assurer la conformité au RGPD et à la directive ePrivacy.

Il existe une variété d'options et d'outils disponibles en ligne et nous vous conseillons de vérifier les différentes solutions pour vous assurer qu'elles peuvent être mises en œuvre dans le respect des réglementations.

• Les publishers doivent évaluer l'impact du RGPD sur leur activité et documenter les mesures prises pour se conformer aux règles.
• Les publishers doivent garantir une entière transparence au consommateur et décider de la base juridique la plus appropriée pour la collecte et le traitement des données à caractère personnel des visiteurs du site.
• Les publishers doivent évaluer et actualiser les politiques de confidentialité et les notifications d'utilisation de cookies afin de garantir la transparence et d'améliorer la collecte des consentements.
• Les publishers doivent demander des conseils juridiques de leur côté. Cet article ne constitue pas un avis juridique.
• Les publishers doivent consulter leurs réseaux et plateformes d'affiliés pour tout conseil ou exigence spécifique concernant la conformité au RGPD.
  

Le RGPD implique que toutes les entreprises devront procéder à des changements, et l'impact sur l'industrie à ce stade est incertain. Cependant, ces impacts peuvent être moindres si les entreprises font preuve de compréhension, d'efforts et de mesures déployés et avérés pour se conformer aux règles.