Depuis dix-huit mois, le débat public s’est largement emparé de la question de la protection des données personnelles et des libertés numériques. Selon une étude CSA-Orange de février 2014, 85% des Français s’avouent inquiets du traitement de leurs données personnelles sur internet. «La capture, le stockage, le partage, l’analyse et l’activation des données numériques soulèvent des questions d’ordre juridique, éthique et économique», souligne Romain Chaumais, cofondateur d’Ysance, agence-conseil en technologie digitale. A qui appartient la data? Qui a le droit d’en faire usage et jusqu’où?
Et de quelle data parle-t-on? Le monde de la donnée s’articule en effet autour de deux grands ensembles: la data nominative dite «first party» (données clients et CRM en et hors ligne de l’annonceur); la data comportementale, dite «third party» (données comportementales émanant de tiers).
La première catégorie est d’évidence la plus critique puisqu’elle regroupe des informations associées à des individus qu’elles permettent d’identifier. «L’entreprise doit garder à l’esprit que les données qu’elle collecte sur ses clients leur appartiennent au premier chef», rappelle Samuel Profumo, directeur data et CRM du groupe Figaro. A l’heure du big data et du cloud, la data CRM est exposée au risque de piratage. Les exemples ne manquent pas, à l'image du vol des données personnelles de 1,3 million de clients et prospects d’Orange en mai 2014. Et que dire du «celebgate» de septembre 2014, qui exposa aux yeux de tous des centaines de photos très privées de stars.
Une écrasante majorité de «data cookies»
L’écosystème digital est habité par une multitude d’acteurs: entreprises et administrations, moteurs de recherche, réseaux sociaux, annonceurs, éditeurs de sites Web, sans compter la myriade de prestataires du monde publicitaire (régies, agences médias, DMP [Data Management Platform], SSP [Sell Side Platform], DCO [Dynamic Creative Optimization], data sharing…). Dans un tel environnement, la propriété des données devient de moins en moins exclusive. «La donnée est le plus souvent le fruit d’une interaction de l’internaute avec un service. A minima, on peut donc plutôt parler de copropriété», remarque Armel Bursaux, directeur data et analytics de l’agence médias Starcom (Publicis Groupe).
Les entreprises doivent donc investir dans des systèmes de verrouillage, des mécanismes de transcodage visant à rendre les données anonymes pour les prestataires ou partenaires. «Il faut se montrer très vigilant sur les contrats, tant dans les clauses relatives aux données et aux traitements que dans celles relatives aux obligations et garanties des parties», souligne Laurent Dupuytout, directeur général de Bluewolf France, cabinet de conseil stratégique spécialisé dans la relation client.
Il faut surtout choisir ses partenaires. Le groupe Les Échos, qui a créé en janvier 2015 un département data afin de garder la totale maîtrise des flux et des modalité de partage, vient de mettre en place un audit annuel de ses processus et de ceux de ses fournisseurs. «Nous travaillons avec deux partenaires de confiance: Weborama et Ezakus. Pour nos activités de régie et de monétisation des adresses opt-in, nous nous sommes adossés au spécialiste du data sharing Worldline», explique Béatrice Lhopitallier, directrice data et marketing régie.
Mais à l’échelle du big data, la donnée client nominative est infinitésimale. L’écrasante majorité des données sont des «data cookies», captées par ces petits fichiers que les sites web placent sur le disque dur de notre ordinateur lors d’une première visite et qui vont suivre nos comportements de navigation. Celles-ci sont strictement numériques et totalement anonymes. Les algorithmes publicitaires qui les brassent chaque jour se limitent à la dimension statistique de la data. «La question de la confidentialité des données personnelles est pour nous un “non problème”: nous ne traitons aucune donnée personnelle et ne voulons surtout pas avoir à en traiter», lance Éric Clémenceau, directeur général France de Rocket Fuel, société éditrice de solutione d’optimisation des campagnes publicitaires.
Si les cookies sont régulièrement dans le viseur des pouvoirs publics, syndicats et organisations professionnelles refusent de mettre dos à dos la protection des individus et les intérêts économiques. «Partir en croisade contre les cookies, c’est, à l’inverse de ce qu’on pense souvent, prendre le risque d’une inflation de messages publicitaires et d’une dévalorisation de la donnée, vouée à devenir un élément essentiel de l’actif des entreprises», résume Catherine Michaud, présidente de la délégation customer marketing à l'AACC (Association des agences-conseils en communication). En outre, si l’on en croit des chercheurs de l’université de Pittsburgh (Pennsylvanie, États-Unis), un internaute aurait en moyenne besoin de 76 jours pour lire toutes les politiques de confidentialité des sites qu’il utilise chaque année!
«Organiser un meilleur cadre de collecte»
Mais le vrai danger ne viendrait-il pas des GAFA (Google, Apple, Facebook, Amazon)? Début avril 2015, un groupe de 25 000 citoyens d'Europe, d'Asie, d'Amérique latine et d'Australie dépose un recours au tribunal civil de Vienne (Autriche). Objet de la plainte: le réseau social Facebook, accusé d'utiliser leurs données personnelles, notamment au profit du programme de surveillance Prism de l’Agence de sécurité nationale américaine.
Google et Facebook sont-ils en train, par leur force de frappe, de préempter le marché de la donnée? Entre les tags placés sur les pages des sites marchands qui leur achètent de la publicité et les dispositifs d'identité unifiée, comme Facebook Connect et Google+, les deux géants du web ont une vue en continu du parcours de l'internaute. Ils en savent davantage sur les prospects des sites marchands que les sites marchands eux-mêmes. «Il faut un signe fort du régulateur pour organiser un meilleur cadre de collecte afin de garantir aux entreprises et consommateurs européens une souveraineté sur l’écosystème de données», remarque Armel Bursaux, de Starcom. «Si se passer de Google ou de Facebook semble difficile pour un gros e-commerçant, celui-ci doit en revanche tout faire pour protéger ses données clients, en mettant en place une DMP first party», soutient Yan Claeyssen, directeur général de Publicis ETO.
Face à cette privatisation de fait des données par quelques géants d'internet, les acteurs sont de plus en plus nombreux à en appeler à un «open data» des données privées. «Il s’agit d'imposer la mise en place de dispositifs techniques d'accès permettant à des programmes tiers, autorisés préalablement, d’accéder à ces données. Leur exploitation serait ainsi déléguée à d'autres innovateurs que ceux qui les collectent, ce qui éviterait un “enfermement” numérique, sans pour autant priver l'entreprise qui collecte les données des revenus qu'elle peut en tirer», développe Hervé Mignot, partner au cabinet-conseil Equancy.
Gestion et monétisation
C’est en partie l’ambition affichée des défenseurs du VRM (Vendor Relationship Management), un CRM inversé en quelque sorte, puisqu’il permet au consommateur de gérer sa relation avec l’ensemble des marques, tout comme une marque utilise le CRM pour mieux gérer sa relation avec ses clients. «De nouveau outils “quart de confiance” sont en train d’émerger, permettant aux internautes de gérer les cookies et les données qui les qualifient», signale Yan Claeyssen. Les sites de monétisation de profils se multiplient: Yes Profile, Publiaddict, Reputation.com ou encore Tsu, réseau social-publicitaire qui reverse 90% de ses revenus à ses utilisateurs.
Selon une étude Orange-CSA de septembre 2014, les internautes européens évaluent eux-mêmes la valeur de leur données personnelles à 170 euros par an. Pour les annonceurs, la vie personnelle d'un internaute européen, si l’on en croit une évaluation du Boston Consulting Goup, vaudrait déjà plus de 600 euros par an, et sans doute trois fois plus en 2020.
