Acteurs du data marketing – qui est responsable de quoi (et jusqu'où) ?
Spoiler alert : ce n’est pas toujours celui qu’on croit !
Le 15 mai 2025, la #CNIL a rendu deux décisions très attendues concernant les sociétés #SOLOCAL et #CALOGA, et a profité de l’occasion pour mettre les points sur les « i » (et les responsabilités sur les épaules) des acteurs de la chaîne du data marketing.
Le considérant 14, c’est le nouveau passage incontournable à lire et relire sous un parasol cet été. Il distingue trois profils clés :
- Le primo-collectant : celui qui récolte les données en premier (souvent un éditeur de site ou une app)
- L’intermédiaire en data marketing : celui qui structure, enrichit, revend ou partage les données (type DMP ou #broker)
- L’annonceur final : celui qui utilise les données pour activer des campagnes ciblées.
La CNIL y rappelle que : la qualification retenue par les acteurs eux-mêmes, notamment dans leurs actes contractuels, est non déterminante – ce n’est pas parce que c’est écrit « sous-traitant » dans le contrat que cette qualification sera retenue par la CNIL en cas de contrôle.
Une analyse au cas par cas s’impose, selon :
- Qui est propriétaire et gère la base de données,
- Comment elle a été constituée,
- Qui fait les choix de ciblage (segmentation, etc.),
- Quel est le niveau d’instruction donné par l’annonceur à ses prestataires.
Ce qu’on retient :
- Un prestataire de data marketing constituant des bases de données de contact à partir de diverses sources tierces peut être qualifié de responsable de traitement, c’est même la qualification que retient la CNIL concernant les sociétés #Solocal et #Caloga.
- Un annonceur aussi.
- Les deux ensemble parfois (vive la co-responsabilité).
Le mot de la fin : en matière de marketing data-driven — tous les acteurs ont potentiellement une responsabilité au regard du RGPD.
Il n’est plus possible de se cacher derrière un « je ne fais que passer la data ».
Au programme pour les acteurs de la chaîne :
- Revoir la qualification choisie dans les modèles de contrat avec les partenaires data,
- Revoir la qualification choisie dans les CGV avec ses clients annonceurs,
- Bref : si la CNIL passe par là, mieux vaut que tout le monde sache qui fait quoi — et pourquoi.
Rendez-vous la semaine prochaine pour l’épisode 2 : « Consentement vs intérêt légitime : le match retour ».