· Hélène Marceau
La CNIL n’a pas interdit les clean rooms. Elle a rappelé autre chose.
Une note d’actualité juridique lue trop vite comme un arrêt de mort des collaborations marketing. Relire le texte, pas le titre.
Plusieurs fils d’actualité ont résumé une prise de parole de la CNIL comme un signal d’alarme contre les data clean rooms. Le document original, plus sec, insiste sur la finalité, la minimisation, et le rôle respectif du responsable de traitement et du sous-traitant.
Une clean room n’efface pas le RGPD. Elle peut, si le contrat est clair, réduire les copies inutiles. Elle peut aussi, si personne n’a nommé les finalités, devenir un nouveau lieu d’entassement de données « au cas où ».
Les équipes marketing confondent souvent trois couches : le consentement collecté pour une campagne, le contrat entre deux entreprises, et le paramétrage technique du prestataire. Un changement sur la troisième couche ne répare pas un vide sur la première.
Nous recommandons, dans les ateliers, de poser sur la table le registre des traitements avant toute slide produit. Si le traitement « mesure d’audience croisée avec un partenaire retail » n’existe pas, la clean room n’est pas en retard. C’est le registre qui l’est.
La note de juillet de la rédaction liste les questions que le juridique peut poser au prestataire sans jouer les experts en cryptographie : où sont hébergées les tables, qui peut lancer une requête, combien de temps survit le résultat, et qui est mentionné dans le contrat comme responsable.