Publicité en ligne : consentement aux cookies et RGPD

Lancer une campagne publicitaire ajoute des traceurs sur votre site et envoie des données à des régies extérieures. Quatre points se vérifient avant le premier euro dépensé : le bandeau de consentement, la liste réelle des cookies déposés, les durées de conservation, et la fiche de registre du traitement. Le contrôle prend une demi-journée.

Ce que la publicité change dans votre collecte de données

Un site vitrine sans campagne dépose rarement autre chose que des cookies techniques. L’arrivée d’une campagne modifie ce tableau du jour au lendemain.

Trois nouveautés apparaissent. Une balise de suivi de la régie, déposée sur toutes les pages. Un identifiant publicitaire attaché au visiteur, qui sert à le retrouver sur d’autres sites. Un flux de conversions renvoyé vers la plateforme, souvent enrichi de données de commande.

Ces trois éléments relèvent du consentement aux cookies préalable. L’article 82 de la loi Informatique et Libertés impose de recueillir l’accord de l’internaute avant tout dépôt non strictement nécessaire au service demandé, ce qui vise directement les traceurs publicitaires.

La responsabilité reste chez l’annonceur. La régie fournit l’outil, l’entreprise décide de la finalité et des moyens : elle endosse le rôle de responsable de traitement, avec les obligations d’information qui vont avec.

Le bandeau de consentement, premier point de contrôle

Le bandeau constitue la partie visible du dispositif, celle que contrôle en priorité l’autorité de protection des données.

Quatre exigences se vérifient à l’œil nu :

• Refuser doit demander le même effort qu’accepter, avec deux boutons de même niveau
• La finalité de chaque catégorie de traceurs doit être décrite en langage clair, sans jargon
• Le consentement doit être granulaire, catégorie par catégorie, jamais global et indivisible
• Aucun traceur publicitaire ne doit se déposer avant l’action de l’utilisateur

Ce dernier point échappe souvent à la vigilance : l’outil de gestion du consentement s’affiche correctement, mais la balise publicitaire se déclenche quand même au chargement de la page. La vérification se fait dans les outils de développement du navigateur, onglet stockage, avant tout clic.

La CNIL a sanctionné en décembre 2021 deux grandes plateformes américaines, à hauteur de 150 et 60 millions d’euros, précisément parce que refuser les cookies y réclamait plus de clics qu’accepter. La logique s’applique aux sites de toute taille, avec des montants proportionnés.

Une PME qui prépare sa première campagne payante gagne à cadrer ces réglages avant la mise en ligne des annonces. Beaucoup choisissent de passer par un partenaire extérieur pour la diffusion et le pilotage, ce qui ne transfère ni la qualité de responsable de traitement ni l’obligation d’information : le prestataire conseille et exécute, l’entreprise reste comptable devant l’autorité de contrôle. Le contrat qui lie les deux parties précise utilement qui paramètre le bandeau de consentement et qui répond aux demandes d’exercice des droits.

Les durées de conservation, rarement paramétrées

Les réglages par défaut des outils dépassent fréquemment les limites recommandées. Trois durées structurent le sujet.

La durée de vie des traceurs eux-mêmes : treize mois au maximum après le premier dépôt selon la recommandation de la CNIL, sans prorogation automatique à chaque nouvelle visite.

La durée de conservation des informations collectées par ces traceurs : vingt-cinq mois au maximum, toujours selon la CNIL, avec un réexamen périodique pour rester au strict nécessaire.

La conservation du choix exprimé, enfin. La CNIL considère une durée de six mois comme une bonne pratique, refus compris. Conserver le refus évite de réafficher le bandeau à chaque page, comportement qui dégrade l’expérience et fatigue le visiteur.

Une quatrième durée concerne les données de prospection issues de la campagne : les contacts non convertis se conservent trois ans après le dernier contact d’après la doctrine de la CNIL. Notre article sur la protection des données personnelles en entreprise revient sur ces règles de purge.

Le mode consentement des régies, à configurer sérieusement

Les grandes plateformes publicitaires ont développé des mécanismes qui transmettent l’état du consentement à leurs balises. Google impose depuis mars 2024 la version 2 de son mode consentement aux annonceurs de l’Espace économique européen qui utilisent ses fonctionnalités d’audience et de remarketing.

Le principe reste simple : tant que l’utilisateur n’a pas accepté, les balises fonctionnent en mode dégradé, sans identifiant publicitaire. Une fois l’accord donné, elles basculent en mode complet.

Deux erreurs de paramétrage reviennent souvent :

• Déclarer le consentement comme accordé par défaut, ce qui vide le dispositif de son sens
• Oublier de relier l’outil de gestion du consentement aux balises, qui restent alors bloquées en permanence

La seconde erreur se voit dans les statistiques, avec un volume de conversions anormalement bas. La première ne se voit pas, jusqu’au contrôle.

Les données first party, socle plus solide que le ciblage tiers

Les cookies tiers reculent, les navigateurs les bloquent progressivement. Les données first party, celles que votre entreprise collecte directement auprès de ses clients et prospects, prennent le relais.

Cette bascule ne dispense d’aucune obligation. Importer un fichier client dans une régie pour construire une audience suppose trois vérifications : une base légale valide pour cet usage, une information des personnes mentionnant explicitement ce type de transmission, et un contrat encadrant la relation avec la plateforme.

L’audience similaire construite à partir de ce fichier mérite la même attention. La régie exploite votre base pour trouver des profils comparables, ce qui constitue un usage supplémentaire de données personnelles à mentionner dans votre politique de confidentialité.

Cette bascule vers les données propres à l’entreprise change aussi la nature du travail publicitaire : moins de ciblage acheté à des tiers, davantage de segmentation à partir de l’historique commercial réel. La qualité de la base client devient le facteur limitant, avant le budget média.

Mesurer sans dépendre entièrement des traceurs

Une part croissante des visiteurs refuse les cookies publicitaires. Le suivi de conversion devient partiel, et les tableaux de bord des régies sous-estiment mécaniquement les résultats.

Trois compléments rétablissent une vision utilisable :

• La mesure d’audience exemptée de consentement, sous les conditions strictes fixées par la CNIL, qui donne les volumes de trafic par source
• Les indicateurs commerciaux internes : demandes de devis, appels entrants, commandes, rapprochés des périodes de diffusion
• Un champ de provenance dans le formulaire de contact, renseigné par le prospect lui-même

Cette dernière méthode paraît rudimentaire. Elle reste précieuse pour les entreprises dont le cycle de vente se termine au téléphone, hors de portée de tout suivi de conversion automatisé.

Le suivi côté serveur, qui envoie les conversions depuis votre infrastructure plutôt que depuis le navigateur, complète le tableau. Il ne dispense d’aucun consentement : la donnée reste personnelle, seul le chemin technique change.

Le registre et les mentions, la partie écrite du dossier

Une campagne crée un traitement de données, donc une fiche de registre des traitements au titre de l’article 30 du RGPD. Cette fiche tient en une page et couvre cinq rubriques.

• La finalité : prospection publicitaire, mesure de performance des campagnes
• Les catégories de données : identifiants techniques, pages consultées, données de commande transmises
• Les destinataires : la régie publicitaire, l’agence si elle accède aux comptes
• La durée de conservation, alignée sur les délais du paragraphe précédent
• Les transferts hors Union européenne, fréquents avec les grandes plateformes

Ce dernier point mérite une ligne explicite dans la politique de confidentialité, sujet traité dans notre guide sur le transfert de données hors UE.

La politique de confidentialité du site se met à jour en même temps. Un visiteur doit y trouver, sans chercher, la mention des traceurs publicitaires, le nom des destinataires et les moyens d’exercer ses droits. Notre guide sur les obligations RGPD des entreprises détaille la structure attendue.

La revue de conformité, avant et pendant la campagne

Le contrôle ne se limite pas au lancement. Une campagne évolue, des balises s’ajoutent, des prestataires changent.

Une revue trimestrielle suffit pour une PME. Elle porte sur quatre points : la liste réelle des traceurs déposés, comparée à la liste déclarée dans le bandeau ; les durées configurées dans l’outil ; les accès ouverts au compte publicitaire ; et la cohérence entre la politique de confidentialité publiée et la réalité technique.

Cette revue se documente en quelques lignes, datées et archivées. En cas de contrôle, l’existence d’un suivi régulier pèse davantage qu’une conformité affichée sans preuve. L’automatisation de la conformité RGPD allège cette charge sur les points répétitifs.

Prochaine étape avant votre prochaine campagne : ouvrir votre site en navigation privée, refuser les cookies dans le bandeau, puis vérifier dans les outils du navigateur qu’aucun traceur publicitaire n’a été déposé. Ce test de deux minutes révèle la majorité des non-conformités.