Privacy Sandbox : l'étau se resserre sur Google
Les choses se compliquent pour Google. Le rapport trimestriel d'étape que la Competition and Markets Authority (CMA) a publié vendredi 26 avril sur la mise en conformité de la Privacy Sandbox aux principes de la concurrence a doublé de taille. Non seulement ce pavé de cent pages réaffirme d'anciennes exigences et attentes en matière de respect de la concurrence, mais il intègre pour la toute première fois les nombreuses inquiétudes du Bureau du commissaire à l'information (ICO), l'organisme en charge de veiller au respect de la loi britannique sur la protection des données (traduction nationale du RGPD).
"C'est la première fois que le rapport de forces entre d'un côté les exigences en matière de privacy, de l'autre les besoins de l'industrie publicitaire, est aussi explicitement démontré. Comment Google va concilier ces deux pôles ou vers lequel se penchera-t-il ? Et comment la CMA compte-t-elle se positionner de son côté ? Cela donne une dimension nouvelle et majeure au rapport de la CMA qui de surcroit rend tous ces enjeux plus transparents", analyse Pierre Devoize, DGA en charge des affaires publiques chez Alliance Digitale.
La CMA a de fait consulté l'ICO afin d'y intégrer, pour chacune des API de la Privacy Sandbox, l'impact potentiel de l'outil sur la protection des données et de la vie privée des internautes. Il est par exemple noté que Protected Audience API (PAAPI), l'API de retargeting, ne disposera pas tout de suite des garde-fous nécessaires pour minimiser les risques de suivi de l'activité en ligne des internautes (ces garde-fous sont prévus par Google mais à partir de 2026). Il est également attendu que Google fasse évoluer plusieurs aspects du fonctionnement de Topics pour que l'API de ciblage soit conforme avec la législation pour une meilleure information des utilisateurs sur la manière dont leurs données sont utilisées. Il est enfin demandé que Topics réduise le risque que l'API soit utilisée pour d'autres finalités que la publicité basée sur les centres d'intérêt (qui ne sont pourtant pas précisées par l'autorité).
La gouvernance de la Privacy Sandbox, point bloquant
Pour ce qui est du respect du droit de la concurrence, Google reste également encore très loin du compte, puisque le rapport de la CMA met toujours en exergue des points majeurs et stratégiques qui n'ont pas été réglés. Tout d'abord, la manière dont Google Ad Manager (GAM) se positionne sur les enchères de Protected Audience API (PAAPI) qui fausse la concurrence.
Ensuite, l'absence d'un dispositif défini pour la gouvernance de la Privacy Sandbox qui puisse favoriser la transparence et qui offre "des possibilités d'engagement d'autres acteurs de l'industrie". Un sacré caillou dans la chaussure de Google. "La gouvernance semble être un véritable point bloquant, puisque sans gouvernance neutre de la Privacy Sandbox, les risques d'abus de position dominante resteront entiers après son lancement. Mais qui pour assurer cette gouvernance et selon quelles modalités ? La CMA insiste à juste titre sur ce point qui n'a pas du tout avancé jusqu'à présent", déclare Pierre Devoize.
Dans ce contexte tendu, et en attendant qu'une solution jugée acceptable par l'autorité soit trouvée ou proposée pour tous les points en suspens, c'est tout le marché de l'adtech qui reste suspendu. "Au vu de tout ce qui reste à faire pour rendre la Privacy Sandbox conforme aux attentes des autorités britanniques, même le nouveau délai annoncé par Google nous semble compliqué à tenir face à l'ampleur de la tâche. Ce qui n'est pas sans conséquences pour tout un pan du marché qui s'investit lourdement pour rendre viable l'open web sans cookies tiers sur Chrome. Cette situation est regrettable parce qu'elle génère encore de l'incertitude pour l'ensemble des acteurs du marché. Ces derniers restent dépendants de la décision d'une seule entreprise et surtout ne peuvent anticiper les conséquences économiques concrètes sur leurs activités de ce basculement, en ne sachant pas quand (et si) il s'opérera", déclare Nicolas Rieul, président de l'Alliance digitale.
A noter que l'autorité britannique prend acte de la décision de Google de décaler la suppression des cookies tiers au début de l'année prochaine et confirme que la collecte des retours des tests de la Privacy Sandbox par le marché durera jusque fin juin.