Depuis quelques années, les réglementations américaines sur la protection des données personnelles se multiplient. Si elles partagent un socle commun, chacune possède ses propres spécificités, rendant la gestion de la conformité plus complexe pour les entreprises opérant sur plusieurs États.
Pour répondre à cette fragmentation, l'écosystème presse et média américain adopte progressivement le Global Privacy Platform (GPP), un standard permettant de transmettre les choix des utilisateurs de manière uniforme à l’ensemble de la chaîne publicitaire. Dans ce nouveau numéro de Check-Up Conformité, on vous explique à quoi sert le GPP, dans quels cas il peut être nécessaire et comment l'activer simplement depuis le back-office d'Axeptio.
Le GPP : pourquoi ce standard a-t-il été créé ?
Contrairement à l'Europe, où le RGPD constitue un cadre commun à l'ensemble des États membres, les États-Unis ne disposent pas d'une réglementation fédérale unique entre les Etats en matière de protection des données personnelles et de gestion des traceurs.
Depuis l'entrée en vigueur du California Consumer Privacy Act (CCPA), de nombreux États ont adopté leur propre législation. Ce paysage réglementaire évolue d'ailleurs en permanence, avec l'arrivée régulière de nouvelles lois locales.
Cette fragmentation ne signifie pas pour autant que chaque État fonctionne selon une logique différente. Ces réglementations reposent sur un même principe : le modèle d'opt-out. Contrairement au RGPD, qui impose de recueillir le consentement avant le dépôt de cookies ou de traceurs, les réglementations américaines autorisent leur utilisation par défaut, tout en laissant à l'utilisateur la possibilité de s'y opposer. Si vous souhaitez approfondir les différences entre les modèles européens et américains, nous vous invitons à consulter notre précédent numéro de Check-Up Conformité Privacy made in USA : panorama d'un paysage réglementaire fragmenté en pleine mutation.
Pour les entreprises présentes sur plusieurs États américains ou à l’international, cette multiplication des réglementations (et donc des spécificités) rend la transmission des préférences de confidentialité des utilisateurs à l'ensemble des partenaires plus complexe.
C'est précisément pour répondre à cette problématique qu'est né le Global Privacy Platform (GPP). Développé par l'IAB Tech Lab, ce standard propose un langage commun permettant d'encoder et de partager les choix de confidentialité des utilisateurs, quelles que soient les réglementations concernées.
Dans quels cas le GPP est-il pertinent ?
Toutes les organisations n'ont pas besoin d'utiliser le GPP. Son intérêt dépend principalement du marché sur lequel elles opèrent et des partenaires avec lesquels elles échangent des informations liées à la confidentialité.
Pour un site destiné exclusivement à une audience européenne, le RGPD reste naturellement le cadre réglementaire de référence. Les éditeurs qui diffusent sur leur propre site de la publicité via les solutions Google s'appuient déjà sur le standard Transparency & Consent Framework (TCF), qui répond aux besoins spécifiques de l'écosystème publicitaire européen.
Le GPP, quant à lui, a été conçu pour faciliter l'application des réglementations américaines sur la protection des données personnelles en offrant un format commun d'échange entre les différents acteurs de l'écosystème numérique. Il ne s’agit pas d’une réglementation mais bien d’un standard. Il peut ainsi être particulièrement pertinent pour les éditeurs (site de presse et média) qui s'adressent à une audience située aux États-Unis et qui collaborent avec des partenaires AdTech devant interpréter les choix des utilisateurs au regard des différentes lois américaines.
Comment fonctionne le GPP ?
Le Global Privacy Platform regroupe les préférences de confidentialité de l'utilisateur dans une seule chaîne de caractères, appelée la GPP_String.
Cette chaîne encode les choix exprimés par l'utilisateur selon les réglementations applicables, dans une structure unique, composée de plusieurs sections, chaque section correspondant à un cadre réglementaire spécifique et peut être lue uniquement par les partenaires concernés.
Le GPP peut aussi s’appuyer sur le Multi-State Privacy Agreement (MSPA), un accord réunissant un large nombre d'acteurs de l'industrie afin d'encadrer l'application des différentes lois américaines relatives à la protection des données personnelles. Le standard constitue ainsi un socle commun destiné à faciliter les échanges entre l'ensemble des signataires. C’est cette gestion du GPP qu’Axeptio a choisi de vous proposer dans son back-office.
Activer le GPP dans le back-office d'Axeptio
Afin d'accompagner les entreprises qui souhaitent utiliser ce standard, Axeptio prend en charge le Global Privacy Platform directement depuis son back-office.
Pour créer une bannière GPP, il suffit de sélectionner les États-Unis comme pays de diffusion, puis de choisir Global Privacy Platform (GPP) comme réglementation. Axeptio applique ensuite automatiquement le cadre correspondant à ce standard.
Le GPP introduit également une option supplémentaire dans le back-office : Enable MSPA opt-out mode. Comme expliqué, ce document constitue le socle contractuel sur lequel repose le fonctionnement du GPP. En signant cet accord, les différents acteurs de l'écosystème confirment qu'ils appliquent les mêmes règles d'interprétation des préférences de confidentialité exprimées par les utilisateurs. C'est pourquoi Axeptio demande aux administrateurs de prendre connaissance du MSPA et de confirmer son acceptation avant la création d'une bannière GPP.
Du côté des visiteurs, l'expérience proposée reste très proche de celle d'une bannière CCPA.
Les trois modes d'affichage déjà disponibles sont conservés :
- masquer la bannière et appliquer la collecte par défaut (à condition de fournir un moyen d’opt-out pour les utilisateurs et de prendre en charge de GPC comme c’est le cas avec Axeptio)
- afficher une bannière informative tout en appliquant la collecte par défaut (là encore à condition de fournir un moyen d’opt-out pour les utilisateurs et de prendre en charge de GPC comme c’est le cas avec Axeptio)
- afficher une bannière et attendre le choix de l'utilisateur avant d'appliquer ses préférences (similaire au fonctionnement européen).
La principale différence concerne les choix avancés. Contrairement à une bannière CCPA, le GPP ne propose pas de personnalisation granulaire des finalités. Le bouton "Let me choose" est remplacé par "See partners", qui permet aux utilisateurs de consulter les partenaires concernés par le traitement de leurs données, conformément au fonctionnement prévu par le standard.
