Rédigé par Benjamin Poilvé – LINC (Laboratoire d’Innovation Numérique de la CNIL) – 14 Janvier 2020
Depuis la création du cookie, le domaine de la publicité en ligne n’a cessé d’utiliser de nouvelles techniques afin d’améliorer les systèmes publicitaires. Ainsi dans le domaine de l’affichage dynamique de contenus publicitaires en ligne, un des précurseurs est Oingo qui, en 1998, propose une méthode dite de publicité contextuelle. Leur algorithme analysait les contenus des pages pour sélectionner les publicités relatives à ce contenu et ainsi en optimiser l’impact sur les lecteurs, de la même manière qu’un magazine papier spécialisé imprimera majoritairement des publicités relatives au domaine qu’il traite. En 2003, Google achète Oingo et renomme le système « AdSense ».
Les systèmes d’enchères en temps réel (ou Real-time Biding, RTB) sont un développement relativement récent de l’industrie publicitaire en ligne. La mise en service de ce type de système commence vers 2005 avec l’arrivée d’un ensemble de plateformes (ASDAQ, DoubleClick Ad Exchange, adBrite, etc.) visant à changer le paradigme de la publicité contextuelle vers celui de la publicité ciblée. Contrairement à la publicité contextuelle, qui s’accordait au contenu de la page sur laquelle elle est affichée, la publicité ciblée utilise des informations sur l’utilisateur qui consulte le site pour évaluer l’intérêt de lui présenter une publicité, et ainsi valoriser au mieux l’emplacement publicitaire pour cet utilisateur particulier, et ce pour chaque annonceur. Cette différenciation par utilisateurs et par annonceur a conduit au développement de systèmes permettant de mettre en relation des annonceurs et une impression (espace publicitaire affiché à un utilisateur) dans un délai très court correspondant au temps de chargement d’une page web (inférieur à 100ms). Durant ces 100 ms les impressions sont proposées à de nombreux services publicitaires via un système d’enchère fournissant des informations sur l’utilisateur (catégorie d’âge, profil, centres d’intérêt) afin de leur permettre de faire une offre éclairée.
La promesse faite aux éditeurs est de pouvoir mieux valoriser leurs espaces publicitaires en les rendant disponible à des acteurs disposant de l’information nécessaire sur leurs utilisateurs pour identifier avec précision les contenus le plus susceptibles de provoquer un clic. Cela veut également dire qu’un gain de précision en ciblage est un avantage concurrentiel primordial dans la mesure où la publicité est vendue dans ce type de système au coût par clic. Ainsi une publicité mieux ciblée a une espérance de retour plus importante et donc plus de chance de remporter l’enchère, provoquant le développement d’un ensemble d’intermédiaires proposant des technologies de plus en plus complexe pour affiner le ciblage utilisateur.
Si ces systèmes ne gèrent pas l’intégralité de la publicité en ligne, ils en représentent une part de plus en plus importante (en France en 2018, 51% de la publicité programmatique).
Le mécanisme du RTB
Le principe général du RTB est assez simple. Une page web contenant un emplacement publicitaire spécifique est visualisé par un utilisateur. Les informations sur l’utilisateur et sur l’emplacement publicitaire sont diffusées à des régies publicitaires. Chacune enchérit pour le compte de ses annonceurs, celui qui gagne envoie le contenu publicitaire à afficher. L’écosystème du RTB est cependant assez complexe, notamment du fait de la multiplicité des réseaux publicitaires, qui provoque l’émergence de nouveaux intermédiaires voulant proposer des offres complètes à leurs clients.
On retrouve ainsi dans l’écosystème des acteurs historiques, et des nouveaux entrants :
Acteurs historiques :
-
Les annonceurs qui désirent afficher des publicités à des internautes répondant à certains critères.
-
Les régies publicitaires, qui vont gérer le placement des publicités.
-
Les réseaux publicitaires, proposant les systèmes RTB.
-
Les éditeurs, qui ont des espaces disponibles.
-
Les utilisateurs, consultant les sites des éditeurs et les publicités des annonceurs.
Nouveaux acteurs:
-
Les Supply Side Platforms (SSP), qui permettent aux éditeurs de commercialiser leurs inventaires auprès de multiples réseaux publicitaires de façon simultanée.
-
Les Demand Side Platforms (DSP), qui permettent aux régies publicitaires d’enchérir sur de multiples réseaux publicitaires en parallèle.
-
Les Ad Exchange (ADX), qui combinent de multiples réseaux publicitaires, jouant à la fois le rôle de DSP et SSP, créant ainsi une plate-forme visant à se faire rencontrer l’offre et la demande, de façon similaire à un marché.
-
Les Data Exchange (DX), parfois appelé Data Management Platform (DMP), fournissent aux DSP, SSP et ADX des informations sur l’utilisateur (en temps réel). Ces DX peuvent être indépendants, ou bien être opérés par l’un des maillons de la chaine.
Il est important de noter qu’en raison d’une forte croissance et rentabilité dans ce domaine, la plupart des acteurs cherchent à développer leurs activités transversalement, ce qui floute les distinctions entre les différents rôles. Par exemple, certains annonceurs décident d’internaliser l’activité de régie publicitaire pour directement s’interfacer avec les DSP, certains (les plus gros) vont même jusqu’à internaliser ce métier. Par souci de généralité, on utilise le terme de « Vendor » pour designer l’ensemble des acteurs de l’écosystème publicitaire qui travaillent du côté « demande » des réseaux publicitaires.
Finalement, c’est un écosystème complexe, dans lequel chaque Ad Exchange traite plusieurs centaines de milliards d’enchères par jour. A titre de comparaison, la bourse de New-York gère environ 12 milliards de transactions par jour.
La viabilité économique d’un tel système repose sur deux postulats :
-
La capacité à toucher un ensemble de Vendors le plus large possible pour valoriser au maximum l’emplacement.
-
La capacité de chacun de ces Vendors à profiler l’utilisateur avec précision pour pouvoir augmenter au maximum la valeur de l’emplacement publicitaire.
Ces deux postulats ont des conséquences importantes en matière de vie privée.
Les problématiques posées par le RTB
La mise aux enchères de données très personnelles
Lors d’une enchère, le gérant de la plate-forme de RTB va diffuser à tous les enchérisseurs possibles des informations sur l’utilisateur afin de les aider à faire leur choix. La diffusion de ces informations est totalement inhérente au principe du RTB, et les données partagées peuvent être intrusives.
On trouve typiquement dans ces demandes d’enchères des informations telles que l’adresse IP de l’utilisateur, son modèle de téléphone ou d’ordinateur, sa localisation, son fuseau horaire, la langue, et une segmentation déduite de la page consultée.
Cette segmentation peut inclure des catégories de données sensibles. Par exemple pour Google, ces catégories incluent :
• 113 /People & Society/Ethnic & Identity Groups/Lesbian, Gay, Bisexual & Transgender
• 202 /Health/Reproductive Health/Male Impotence
• 238 /Health/Medical Facilities & Services/Medical Procedures/Surgery/Cosmetic Surgery
• 421 /Health/Reproductive Health/Sexually Transmitted Diseases
• 429 /Health/Health Conditions/Cancer
• 556 /People & Society/Ethnic & Identity Groups/Arabs & Middle Easterners
• 647 /Health/Reproductive Health/Infertility
• 1251 /People & Society/Religion & Belief/Scientology
Il est important de noter que Google a exprimé sa volonté de cesser de partager ces données avec les publicitaires, mais le simple partage de l’url pourrait permettre de continuer à inférer ces informations, via des services tiers.
Le mécanisme de cookie matching
L’intérêt du RTB est de pouvoir discriminer l’utilisateur en fonction des informations dont les différents maillons de la chaine publicitaire disposent. Il est donc logique que ce système repose sur des méthodologies de traçage des utilisateurs. La méthode la plus courante est celle du cookie. Un cookie est une petite quantité d’information, déposée par un serveur sur le terminal de l’utilisateur et qui peut être lue et modifiée uniquement par le serveur ayant déposé le cookie. Ce dernier point est crucial.
Par exemple si un site A.com reçoit une requête d’un utilisateur, il peut (techniquement) stocker sur son terminal un cookie contenant l’identifiant 123 lui permettant d’identifier l’utilisateur. Lors de visites subséquentes, il pourra lire le cookie à nouveau et relier les informations dont il dispose déjà sur cet usager à l’utilisateur 123. Par contre, si le même usager visite le site B.com, celui-ci n’aura pas accès au cookie 123, et ne pourra donc pas faire le lien avec l’utilisateur 123 du site A.com, même si celui-ci voulait le lui permettre. C’est une caractéristique fondamentale des cookies.
En revanche pour l’écosystème publicitaire, c’est une problématique majeure car chaque réseau ne peut avoir qu’une connaissance locale (limitée à un réseau) de l’utilisateur sans pouvoir partager ces informations.
En raison de cette limitation s’est développé le principe de Cookie Matching ou de Cookie Syncing. Cette méthode permet à deux régies de « synchroniser » leurs cookies pour identifier un unique utilisateur de façon conjointe. C’est une méthode extrêmement efficace permettant de faciliter le profilage des internautes à travers l’ensemble du web.
Le principe est assez simple. Imaginons un utilisateur ayant fait l’objet de dépôts de cookies à la fois par le site A.com et B.com.
