CMP – Définition & comparatifs des solutions Consent Management Platforms

Depuis 2018, une nouvelle famille de solutions technologiques a émergé pour faciliter le recueil des consentements et leur gestion : nous voulons parler des Consent Management Platforms ou CMP pour les intimes.

Dans ce guide pratique, nous allons passer en revue l’essentiel des choses à savoir et des questions clés à propos des plateformes de gestion des consentements. Bonne lecture.

Avant toute chose – La notion de consentement selon la RGPD

Ce que dit la RGPD

Le règlement général sur la protection des données – RGPD, ou GDPR en anglais – est entré en vigueur il y a 2 ans et demi, le 25 mai 2018 pour être précis. L’objectif de cette nouvelle réglementation est de renforcer les droits des personnes sur les données personnelles qu’elles communiquent aux entreprises. La RGPD a eu pour effet d’imposer de nouvelles obligations aux entreprises ou de renforcer des obligations qui existaient déjà. Vous devez déjà les connaître puisqu’elles concernent directement votre entreprise :

• Les entreprises doivent documenter les traitements sur les données personnelles de leurs clients, prospects, fournisseurs…Comment ? En mettant un place un registre des traitements et en tenant un journal des traitements. Pour les traitements sensibles, la RGPD impose en plus la réalisation d’analyses d’impact en amont du déploiement desdits traitements.
• Les données ne doivent pas être conservées au-delà de ce qui est nécessaire pour réaliser les traitements pour lesquels ces données ont été collectées. La durée de conservation des données doit être raisonnable.
• Les clients ou utilisateurs doivent être informés de manière explicite et claire des raisons de la collecte de leurs données. La RGPD met en avant le principe de transparence. De la même manière, les clients ou utilisateurs ont à tout moment le droit de savoir quelles sont les données dont dispose l’entreprise sur eux et quels sont les traitements.
• La RGPD consacre également de nouveaux droits, comme le droit à la portabilité des données ou bien le droit à l’oubli.

Mais, me direz-vous, nous n’avons toujours pas parlé de la notion de consentement. Nous y arrivons justement. La notion de consentement est au cœur de la RGPD. On ne peut pas, on ne peut plus utiliser les données personnelles de ses clients ou utilisateurs à l’insu de leur plein gré. Les clients et les utilisateurs doivent consentir de manière explicite et « positive » (exit les cases pré-cochées par exemple) aux traitements sur les données que vous collectez sur eux.

Précisons que cette notion de consentement n’est pas nouvelle, puisqu’elle figurait dans la Loi Informatique & Libertés en application avant 2018. Seulement, la RGPD précise et renforce cette notion. En cas de contrôle de la CNIL, l’entreprise doit prouver qu’il y a bien eu recueil du consentement. Soulignons que si cette obligation est stricte en B2C, elle est en réalité plus souple en B2B. Le recueil du consentement n’est pas obligatoire en B2B si les données si la finalité de la collecte est bien respectée.

Cette obligation du consentement a un impact majeur sur la gestion des cookies. C’est l’obligation du recueil des consentements qui impose l’affichage d’un bandeau d’information à la première visite sur le site web :

Une petite précision avant de continuer sur le cas particulier des cookies : le consentement sert de base légale aux traitements, mais il faut savoir que ce n’est pas la seule. L’article 6 de la RGPD liste les différentes bases légales possibles, dont les suivantes :

• Les traitements sont nécessaires à l’exécution d’un contrat. Par exemple, vous recueillez l’adresse postale de votre client pour pouvoir lui livrer son colis. Dans ce cas, pas besoin de recueillir le consentement. Le recueil des consentements est surtout obligatoire pour les traitements de nature marketing et/ou publicitaire (ciblage et reciblage).
• Les traitements servent à des fins d’intérêt légitime. Cette base légale comme la suivante se caractérise par un certain flou juridique que la jurisprudence essaie de dissiper progressivement.
• Les traitements sont nécessaires à une mission d’intérêt public.

Pour en savoir plus sur cette notion de base légale, nous vous invitons à découvrir l’article de la CNIL. Précisons que les bases légales sont toutes énumérées dans l’article 6 de la RGPD.

Le cas particulier du recueil des consentements cookies

Le consentement peut être recueilli au moment de la collecte des données par formulaire ou bien au moment d’une inscription à une newsletter, via une case à cocher d’optin. Pour ce qui est des cookies, il existe plusieurs méthodes de collecte des consentements, certaines plus souples que d’autres :

• Recueil de consentement « strict ». L’utilisateur exprime son consentement explicite, par exemple en cliquant sur un bouton « J’accepte » ou une case « J’autorise X à faire usage de mes données personnelles pour… ».
• Recueil de consentement « light ». Les tags ne commencent à se déclencher qu’à la deuxième page ouverte sur le site.
• Recueil de consentement « très light ». Le consentement est considéré comme recueilli si l’utilisateur fait défiler la page vers le bas.

Disons-le franchement, les méthodes light de recueil des consentements des cookies arrangent bien les entreprises et les équipes marketing, mais ce sont des pratiques limites du point de vue de la RGPD. Les entreprises profitent du fait que la RGPD ne donne pas de précisions concernant le recueil des consentements cookies. Mais la jurisprudence et les autorités de contrôle risquent de durcir les choses dans les prochains mois ou années. Pas sûr que les méthodes de collecte light restent tolérées très longtemps…

Découvrez 4 alternatives à Google Analytics dispensées du Consentement Cookies.

Qu’est-ce qu’une Consent Management Platform, dans les grandes lignes ?

Comme son nom l’indique, une Consent Management Platform est une solution logicielle utilisée pour gérer la collecte des consentements auprès des internautes lors de leur première visite sur le site et tout au long de leur parcours web. La CMP est surtout utilisée aujourd’hui pour gérer le recueil des consentements cookies, même si certaines plateformes permettent de gérer toutes les formes de consentements.

La CMP permet de déposer des cookies et de déclencher des tags en toute légalité, et en particulier dans le respect de la RGPD. Une Consent Management Platform permet de bloquer le dépôt de cookies et le déclenchement de tags tant que le consentement n’a pas été recueilli. Nous avons vu il y a quelques instants les 3 principales méthodes de recueil du consentement cookie. La CMP vous donne la possibilité de paramétrer la méthode de votre choix. Une fois recueillis par la CMP, les consentements cookies peuvent être transmis aux autres plateformes & outils de l’entreprise : AdTech & MarTech.

Voici un panorama rapide des fonctionnalités proposées par les Consent Management Platforms :

• Centralisation des consentements : une CMP permet de piloter la gestion des consentements sur une interface unique.
• Historisation des consentements : une CMP permet de stocker tous les consentements et donc de démontrer à la CNIL, en cas de contrôle, que vous respectez bien la RGPD !
• Possibilité pour la personne de modifier ou retirer son consentement : La CMP facilite la garantie des droits des personnes et en particulier la possibilité qui leur est donnée de modifier ou retirer leur consentement.
• Personnalisation du bandeau de collecte du consentement cookies. Le recueil du consentement cookies a tendance à dégrader l’expérience utilisateur et à casser la fluidité du parcours web…d’où l’intérêt de bien travailler l’affichage et le wording des supports de collecte. Comment avoir un site RGPD-friendly sans pour autant que cela nuise à l’expérience utilisateur sur le site ? C’est l’un des challenges auxquels répondent les CMP.

La popin qui se déclenche lorsque l’on arrive sur le site de l’éditeur Didomi (que nous présenterons plus loin) présente assez bien la principale proposition de valeur d’une Customer Management Platform :

Zoom sur 7 bénéfices clés d’une Consent Management Platform

Une Customer Management Platform a pour fonction de vous aider à exploiter des données sur les visiteurs de votre site web dans le respect de la réglementation européenne sur la protection des données personnelles. Le tout en limitant au maximum l’impact sur l’expérience utilisateur. Pour mieux comprendre le périmètre fonctionnel et l’intérêt d’une solution de gestion des consentements, nous vous proposons un passage en revue des 7 principaux bénéfices des CMP.

#1 La CMP permet de personnaliser les règles de collecte des consentements selon votre interprétation de la RGPD

Il y a plusieurs manières d’interpréter la règlementation européenne sur la protection des données. D’un pays à l’autre, d’une entreprise à l’autre, l’interprétation des règles essentielles de la RGPD peut varier légèrement. Certaines pratiques sont tolérées dans certains pays, proscrites dans d’autres – suivant le niveau de rigueur et de moyens de l’autorité de contrôle concernée. Sans même parler de la jurisprudence, qui peut à tout moment venir préciser, assouplir ou au contraire durcir certaines règles.

Prenons un exemple très concret. Aujourd’hui, en France, le scrolling d’une page web par un internaute peut être considéré comme un consentement. Il y a une tolérance sur le sujet. C’est l’une des 3 méthodes de recueil du consentement cookie dont nous parlions tout à l’heure. Mais il n’est pas certain que cette tolérance tienne longtemps…Il est même assez probable que le régulateur durcisse le ton dans les prochaines années. Le rôle de votre CMP n’est pas d’interpréter la RGPD, ça, c’est votre travail. Ce qu’il y a de puissant avec une Consent Management Platform, c’est qu’il s’agit d’un outil qui peut être configurable selon votre interprétation de la RGPD. Vous pouvez paramétrer votre CMP en vous basant sur la méthode de collecte de votre choix (strict ou soft).

#2 Une CMP se connecte facilement aux solutions AdTech / MarTech

Les préférences et configurations que vous choisissez sur votre Consent Mangement Platform s’intègrent à l’ensemble de vos outils AdTech et MarTech : CRM, Marketing Automation, Emailing, Notifications push, régies publicitaires, DSP… Les choix de vos clients ou utilisateurs en matière de consentement se reflètent dans tous vos systèmes. En un mot, une CMP permet de centraliser la gestion des consentements sur une plateforme unique. En avoir une facilite grandement la bonne gouvernance de vos données !

#3 Une Consent Management Platform permet de contrôler vraiment le déclenchement des tags

Dans les standard classiques IAB, les tags sont chargés que l’utilisateur ait ou non donné son consentement. Il est ensuite de la responsabilité de l’entreprise de processer ou non la donnée collectée via les tags suivant que le consentement a ou non été recueilli. Ce qui pose une question : Pourquoi tout simplement ne pas désactiver par défaut le déclenchement de tags jusqu’à ce que l’utilisateur donne son consentement ? C’est une approche plus sure et plus logique, mais il faut savoir que toutes les CMP ne la proposent pas !

Il y a deux manières de bloquer les tags avant la collecte du consentement :

• En ajoutant manuellement un trigger dans le code du tag.
• En créant un flux entre votre CMP et votre gestionnaire de tags pour que le premier envoie le GO au second pour charger les tags lorsque le consentement est donné. Cela permet d’automatiser le process.

#4 Une Consent Management Platform permet de personnaliser le CTA de recueil du consentement et le privacy center

Les popin de recueil du consentement sont souvent les mêmes d’un site à l’autre. L’originalité ne prévaut pas. Avec une Consent Management Platform, vous pouvez personnaliser le CTA de recueil du consentement et le privacy center qui liste l’ensemble des cookies activés, pour qu’ils soient en phase avec le design général de votre site web. Après tout, le popin, l’écran ou le bandeau est la première chose que voit un nouveau visiteur qui découvre votre site web. Il est important que le design des formats de collecte vous ressemble. Une CMP vous permet de personnaliser le recueil du consentement, à la fois au niveau du contenu et au niveau du design.

#5 Une CMP gère à la fois les sites web et les applications mobile et permet d’adapter l’UX du recueil de consentement au device

La gestion des consentements ne concerne pas uniquement les sites web, mais aussi les applications mobiles et les versions mobile des sites web. Cela créé un challenge en matière d’UX : il faut que les formats utilisés soient adaptés au device utilisé, responsive design. On ne peut pas utiliser la même interface sur un site web affiché sur un desktop, sur un site mobile et sur une application mobile. Sur un site web affiché sur desktop, la bonne pratique consiste à faire en sorte que la popin ne masque pas le contenu du site. Sur un écran mobile, cette règle a beaucoup moins de pertinence. Les CMP permettent de répondre à ce challenge.

#6 Une Consent Management Platform permet une mesure précise de la performance

Vous pouvez réaliser différentes actions grâce à une CMP, comme nous venons de le voir. Vous pouvez personnaliser la pop-in, son contenu, son design. Vous pouvez tester différentes tailles d’écran. Il est important que vous puissiez mesurer la performance de vos différentes actions et de vos différents choix. Une Consent Management Platform permet de réaliser des A/B Tests pour mesurer la performance des différentes versions de recueil du consentement pour vous aider à identifier la plus efficace, c’est-à-dire celle qui produit le meilleur taux de consentements. Vous pouvez également mesurer l’impact de vos dispositifs de collecte des consentements sur les parcours web et la performance de votre site web, ou de votre application mobile. Une CMP est certes un outil de gestion de la compliance, mais c’est aussi un outil MarTech – et pour cela, vous devez aussi mesurer la performance.

#7 Une CMP vous permet d’historiser les consentements

L’un des principes clés de la RGPD est la responsabilité – l’accountability en anglais. Cela signifie que votre entreprise ne doit pas seulement collecter les données personnelles de manière légale et honnête, elle doit aussi être en mesure de le prouver. Une CMP vous aide dans cette tâche, puisqu’elle permet d’archiver de manière précise les choix de vos utilisateurs en termes de consentement. Vous pouvez à tout moment savoir si tel utilisateur a donné son consentement pour toutes les finalités de la collecte ou uniquement pour certaines finalités. Vous êtes en mesure de tracer et d’exporter les consentements recueillis. Dans l’éventualité d’un contrôle de la CNIL, cet archivage pourra tout à fait faire office de preuve de votre conformité.

Faut-il obligatoirement utiliser une CMP pour être en conformité avec la RGPD ?

C’est une question que beaucoup d’entreprises se posent. Si la gestion des consentements, et en particulier la gestion du consentement aux cookies, se pose obligatoirement à toutes les entreprises, faut-il pour autant utiliser une solution CMP pour opérer cette gestion ?

La réponse à cette question légitime est assez simple. Premier élément de réponse : non, la réglementation ne vous oblige pas à utiliser ce genre de plateformes. La RGPD n’oblige pas les organisations à utiliser une CMP. Deuxième élément de réponse : Dans les faits, une CMP vous permet de réaliser cette gestion de manière plus simple, plus sure et plus efficace. Une Consent Management Platform est un facilitateur opérationnel. Il est donc conseillé d’en utiliser une, à moins d’avoir déjà des process de gestion des consentements béton.

Ceci dit, disposer d’une CMP n’est pas une assurance tous risques et ne donne aucun certification de conformité à la RGPD. Vous pouvez très bien utiliser une solution de gestion des consentements et…mal gérer vos consentements.  Nous reviendrons d’ailleurs sur cette question à la fin de l’article, après vous avoir présenté les principales solutions du marché. Nous verrons l’importance du paramétrage de la CMP.

Comprendre le marché des solutions de Consent Management Platform

Comprendre l’origine des différentes CMP

Toutes les Consent Management Platforms ne se ressemblent pas. Elles n’ont pas toutes le même positionnement et ne proposent pas toutes les mêmes fonctionnalités. Il y a une hétérogénéité importante entre les solutions qui incite à la prudence : lorsque l’on parle de CMP, on peut parler de solutions très variées. Ce n’est pas une famille homogène. La première raison de cet état de fait c’est que les CMP ont des origines différentes. C’est de là que naissent les écarts fonctionnels.

Pour vous aider à mieux comprendre ce marché hétérogène, nous proposons de vous présenter dans un premier temps les fonctionnalités communes à toutes les plateformes. Nous verrons ensuite les fonctionnalités spécifiques que proposent les CMP suivant qu’elles sont issues des AdTech/MarTech, des Tag Management Systems ou que l’on a affaire à des pureplayers.

Typologies des acteurs du marché des CMP

Il existe grosso modo trois familles d’acteurs sur le marché des Consent Management Platforms :

• Les acteurs de l’AdTech et des MarTech : adservers, DSP, marketing digital…Ces CMP sont utilisées pour enrichir la Relation Clients et mettre en œuvre des campagnes et scénarios ciblés en omnicanal. Un certain nombre d’éditeurs d’AdTech ou de MarTech ont développé des CMP pour rassurer les clients et leur permettre d’utiliser leurs outils principaux en conformité avec les nouvelles obligations issues de la RGPD.
• Les acteurs du Tag Management, spécialisés dans la gestion centralisée des tags et leur sécurisation. Leur fonction est de collecter des données issues du digital (données de navigation…) pour ensuite les envoyer à des outils d’activation tiers (ou des outils analytics).
• Les pure-players, qui ont construit des solutions avec l’objectif principal d’assurer la conformité à la RGPD et en appliquant le principe du Privacy By design.

Les fonctionnalités communes à toutes les Consent Management Platforms

Voici les fonctionnalités communes à toutes les solutions de gestion des consentements :

• Le paramétrage et la personnalisation du « cookie consent ». Toutes les CMP vous permettent de personnaliser les modalités de recueil du consentement : recueil strict avec acte positif de l’utilisateur, consentement à la deuxième page, consentement par scrolling de la première page. Toutes les solutions vous permettent également de personnaliser l’affichage du popin ou du bandeau (contenu et design).
• Le Centre des Préférences, qui permet à l’utilisateur de contrôler et de modifier à tout moment ses préférences en matière de consentement.
• Les connecteurs et intégrations qui permettent de diffuser les règles de consentement à tous les outils de votre écosystème digital.
• Les tableaux de bord, grâce auxquels vous pouvez suivre l’avancement de la collecte des consentements, le pourcentage d’opt-in par exemple, le pourcentage d’opt-out…
• Les systèmes d’alerte qui permettent de définir des alertes en cas de non-conformité.
• L’archivage et les fonctions d’export des consentements, utiles en cas de contrôle de la CNIL !

Les fonctionnalités spécifiques suivant l’origine de la CMP

Les solutions de gestion des consentements sont issues de différents univers métier. Certaines proviennent des AdTech et MarTech. Ce qui les caractéristique c’est qu’elles ont tendance à proposer des tarifs bien plus avantageux que les offres solutions du marché. Les solutions développées par des acteurs du Tag Management System proposent en général des CMP sous forme de module supplémentaire à leur solution principale. Les CMP proposées par ces acteurs de la gestion de tags donnent accès à une cartographie détaillée des tags et permettent de contrôler les données envoyées dans les tags. Elles offrent par ailleurs un haut niveau de sécurisation des tags. Enfin, les pure-players proposent des fonctionnalités spécifiques comme :

• La cartographie des données et des flux.
• La centralisation des consentements dans une base servant de référentiel. Les CMP pure-players ne sont pas les seules à proposer cette fonctionnalité (nous avons vu qu’il s’agissait d’une fonctionnalité du tronc commun), mais cette fonctionnalité est souvent plus avancée. La spécificité porte ici sur la profondeur fonctionnelle.
• La gestion des consentements au-delà des cookies. Nous parlons dans cet article de gestion des consentements en général, mais il est bien évident que le sujet principal est le consentement cookie. Les CMP pure-players permettent par ailleurs de gérer les autres formes de consentements : newsletter, personnalisation, avis clients…
• Les CMP pure-players proposent enfin des fonctionnalités plus avancées pour la gestion des nouveaux droits issus de la RGPD : droit à la portabilité, droit à l’oubli…

Nous allons à présent vous présenter quelques acteurs issus de ces trois univers.

Présentation des solutions de Consent Management Platforms par typologie

Nous allons rapidement vous présenter le nom des principaux acteurs pour chacune de ces familles de Consent Management Platforms.

Les CMP qui viennent de l’Adtech / Martech

SIRData est un éditeur de l’AdTech proposant une solution permettant aux éditeurs de monétiser le trafic de leurs sites web en devenant apporteurs de données. SIRData a développé une Consent Management Platform assez complète et conçue pour répondre aux exigences de l’industrie digitale. Simple d’utilisation, proposant une interface soignée, SIRData permet :

• A vos utilisateurs d’exprimer leurs choix en matière de collecte et de traitement de leurs données personnelles.
• De configurer votre CMP en quelques minutes et de la déployer en copiant-collant le tag sur votre site web.
• De personnaliser de manière très fine le design des bannières et autres Privacy Center, pour les adapter à votre charte graphique. SIRData CMP est responsive et s’adapte à tous les appareils et navigateurs.
• De gérer le multilingue (16 langues supportées).

Mentionnons 3 autres solutions CMP de qualité proposées par des acteurs des MarTech & AdTech : Quantcast, SourcePoint et Segment.

Les CMP qui viennent du Tag Management

CommanderActs, leader français du Tag Management, a développé une Consent Management Platform très puissante répondant au nom de TrustCommander. Toutes les fonctionnalités que l’on est en droit d’attendre d’une CMP et que nous avons listé plus haut sont proposées. TrustCommander permet de bloquer l’exécution de tags qui n’ont pas été expressément autorisés par les internautes et s’intègre avec toutes les solutions de Tag Management (donc GTM).

Voici 2 autres exemples de Consent Management Platforms développées par des acteurs issus du Tag Management : Taelium et Crownpeak.(ex-Evidon),

Les Pure Player

Nous avions promis de vous parler de Didomi. Didomi est un pure-player français, c’est-à-dire un éditeur qui consacre toute son énergie au développement et à l’amélioration d’une solution de Consent Management Platform, contrairement aux solutions que nous avons vu plus haut et dont la CMP n’est qu’un des éléments de leur offre logicielle. Lancée en 2017, la société Didomi est basée à Paris et revendique près de 200 clients, dont L’Equipe, Michelin ou encore le quotidien espagnol El Mundo. Il s’agit actuellement de la plateforme leader en France et en Espagne. La plateforme proposée par Didomi combine richesse fonctionnelle et simplicité d’utilisation. out y est. Disons-le, c’est notre coup de coeur même si notre avis n’est pas forcément 100% objectif dans la mesure où nous n’avons pas testé à fond toutes les CMP du marché…L’abonnement à la plateforme de Didomi est mensuel et calculé en fonction du nombre de visiteurs de votre site web.

Trois autres plateformes de gestion des consentements « pure players » pour clore ce rapide tour d’horizon : CookieBot, OneTrust et SFBX (anciennement Chandago).

Mettre en place une CMP – Le rôle clé du paramétrage

Avant de conclure, nous voulions faire un point rapide sur un point clé concernant les CMP. Une CMP, nous l’avons dit plus haut, n’est pas une assurance de conformité à la RGPD. Ce n’est pas parce que vous utilisez une CMP que vous êtes forcément RGPD-compliant. Car vous devez correctement paramétrer votre solution…Le paramétrage est une étape clé dans la mise en place d’une plateforme de gestion des consentements.

Nous avons vu que la RGPD était sujette à interprétations sur certains points précis, en particulier sur la question des méthodes de recueil des consentements cookies. Nous avons vu aussi que la majorité des solutions CMP (sauf exceptions comme SIRData par exemple) vous laissaient libre dans le paramétrage des modalités de la collecte…en attendant un durcissement du cadre juridique. Mais il est important de vérifier si la CMP met en application toutes les règles obligatoires de la RGPD : elle doit garantir un consentement libre, informé et résultant d’un acte positif de l’utilisateur. Par ailleurs, il doit être aussi facile pour l’utilisateur de donner son consentement que de le retirer. Or, toutes les CMP n’ont pas été conçues « RGPD By Design » si l’on peut dire et certaines d’entre elles proposent un paramétrage natif et des interfaces pas toujours RGPD-compliant. Nous vous recommandons vraiment de prendre en compte cet aspect dans le choix de votre solution et surtout de prendre le temps de paramétrer votre plateforme, quitte à demander conseil auprès d’un spécialiste pour vous assurer que tout est ok.

CRM / Data - Plus de 15 ressources & templates gratuits à télécharger.

Découvrir