RGPD, consentement et tracking publicitaire : piloter avec un signal incomplet

Deux réglementations, deux logiques, et une confusion permanente

La première source de confusion tient à ce que deux textes différents s'appliquent en même temps. Le RGPD encadre le traitement des données personnelles et admet plusieurs bases légales, dont l'intérêt légitime. La directive dite « ePrivacy », transposée en France dans la loi Informatique et Libertés, encadre la lecture et l'écriture d'informations sur le terminal de l'utilisateur, et impose le consentement préalable sauf exceptions limitées.

Autrement dit : pour déposer un cookie publicitaire, l'intérêt légitime ne vous sert à rien. C'est le second texte qui commande, et il exige un consentement préalable, libre, spécifique, éclairé et univoque. C'est l'erreur juridique que je rencontre le plus souvent chez des équipes marketing pourtant sérieuses, qui pensent couvrir leur pixel Meta par une mention d'intérêt légitime dans la politique de confidentialité.

La ligne de la mesure d'audience mérite une nuance, parce qu'elle décide de la qualité de vos chiffres. Une exemption de consentement existe pour l'analyse de fréquentation, mais elle suppose une configuration précise : finalité limitée à la seule mesure, pas de recoupement avec d'autres traitements, pas de suivi de l'utilisateur entre plusieurs sites, durée de conservation encadrée. Les recommandations en vigueur sont détaillées sur le site de la CNIL. Une installation standard de Google Analytics ne remplit pas ces conditions.

Le bandeau : les règles qui font tomber les contrôles

Les sanctions prononcées ces dernières années ne portent presque jamais sur des subtilités juridiques. Elles portent sur la forme du bandeau, parce qu'elle se vérifie en dix secondes depuis un navigateur, sans enquête. Cinq règles suffisent à couvrir l'essentiel du risque.

• Refuser doit être aussi simple qu'accepter. Un bouton « Tout refuser » au même niveau visuel que « Tout accepter », dès le premier écran. Un refus caché derrière « Personnaliser » est la non-conformité la plus sanctionnée.
• Rien ne se dépose avant le choix. Aucun traceur non exempté ne doit être écrit avant l'action de l'utilisateur. Beaucoup de bandeaux affichent la bonne interface tout en ayant déjà chargé le pixel.
• Le refus doit durer. Réafficher le bandeau à chaque page ou à chaque visite après un refus revient à forcer la main. Comptez six mois de mémorisation du choix.
• Le consentement doit être retirable. Un lien permanent en pied de page permettant de rouvrir le choix, sans devoir écrire au délégué à la protection des données.
• La preuve doit être conservée. Votre plateforme de gestion du consentement doit horodater et archiver les choix. Sans journal, vous ne pouvez rien démontrer lors d'un contrôle.

Deux points annexes se traitent en même temps. La durée de vie des traceurs publicitaires est plafonnée à treize mois, et les données qui en découlent à vingt-cinq mois. Les transferts hors Union européenne doivent reposer sur un mécanisme valide, ce qui est le cas des principaux acteurs américains certifiés dans le cadre du dispositif de protection des données entre l'Union et les États-Unis, à condition de le vérifier fournisseur par fournisseur et de le documenter dans votre registre.

Le mode consentement de Google : obligatoire, et mal compris

Depuis mars 2024, Google exige des annonceurs diffusant dans l'Espace économique européen l'implémentation du mode consentement en version 2 pour continuer à utiliser les audiences, le remarketing et une partie du suivi des conversions. Un compte qui ne l'a pas déployé continue de dépenser, mais perd progressivement ses fonctions d'audience et voit son suivi de conversions se dégrader.

Le mécanisme est souvent décrit à l'envers. Le mode consentement ne contourne pas le refus : il transmet à Google l'état du consentement sous forme de signaux, et adapte le comportement des balises en conséquence. En cas de refus, la balise envoie un signal anonyme sans identifiant ni cookie, ce qui permet ensuite à Google de modéliser les conversions manquantes à partir du comportement observé sur les utilisateurs consentants.

Le mode avancé est donc à privilégier dans presque tous les cas, et sa documentation technique est publiée dans l'aide développeurs de Google. Une réserve honnête toutefois : la modélisation exige un volume minimal de conversions pour fonctionner. Un compte B2B qui génère quinze leads par mois n'atteint pas ce seuil, et verra ses chiffres remonter partiellement quoi qu'il fasse. Ce n'est pas une raison pour renoncer au mode avancé, c'est une raison pour ne pas piloter sur les seuls chiffres de la plateforme.

Le suivi côté serveur ne dispense pas du consentement

C'est le malentendu le plus coûteux du moment, parce qu'il se paie deux fois : une fois en prestation technique, une fois en risque juridique. Déplacer la collecte du navigateur vers votre propre serveur améliore la fiabilité du signal face aux bloqueurs et aux limitations de durée de vie des cookies. Cela ne modifie en rien vos obligations : la lecture d'une information sur le terminal reste soumise au consentement, quel que soit l'endroit où le traitement se poursuit ensuite.

Un dispositif côté serveur déployé pour « ne plus dépendre du bandeau » est simplement un contournement, et il est traité comme tel en cas de contrôle. Déployé correctement, en aval du consentement, il reste un excellent investissement : il récupère une partie du signal perdu chez les utilisateurs consentants, ce qui est déjà considérable.

Piloter des campagnes avec un signal partiel

Voici le cœur du sujet pour un annonceur. Avec un taux de consentement compris entre 55 et 75 % sur un site B2B français correctement configuré, entre un quart et la moitié de votre signal publicitaire disparaît ou devient modélisé. Trois conséquences pratiques en découlent, et elles changent la façon de conduire un budget.

1. 1Le coût par lead affiché est structurellement surévalué. Vous payez tous les clics et n'en mesurez qu'une partie. Comparez vos coûts par lead dans le temps, jamais à un repère sectoriel calculé ailleurs avec d'autres réglages.
2. 2Les algorithmes apprennent sur moins d'exemples. Les phases d'apprentissage s'allongent, les changements fréquents deviennent plus coûteux, et la patience devient une compétence de pilotage.
3. 3Le CRM redevient l'arbitre. C'est la seule source qui compte tous les leads, consentants ou non. La question « comment nous avez-vous connus », posée au formulaire, récupère une part de l'attribution perdue pour un coût nul.

La remontée des conversions hors ligne depuis votre CRM vers Google et Meta complète le dispositif, en réinjectant les signés dans l'apprentissage des plateformes. Elle repose sur des données de contact, donc sur une base légale et une information des personnes clairement établies, ce qui se traite dans votre politique de confidentialité et votre registre.

Faire monter le taux de consentement sans tricher

Puisque chaque point de consentement se traduit en signal, l'optimisation du bandeau devient un sujet de performance à part entière. Les leviers honnêtes existent, et ils fonctionnent mieux que les manipulations visuelles qui exposent à une sanction.

• Expliquer en une phrase compréhensible à quoi servent les traceurs, plutôt que d'aligner un paragraphe juridique que personne ne lit.
• Soigner le design du bandeau pour qu'il s'intègre au site : un bandeau qui ressemble à une alerte de sécurité fait fuir, un bandeau sobre et clair est massivement accepté.
• Ne pas bloquer toute la page sur un site B2B de contenu, où l'utilisateur vient chercher une réponse et refusera par réflexe si on l'en empêche.
• Demander au bon moment plutôt qu'à la première milliseconde, quand l'utilisateur a compris où il est arrivé.
• Mesurer le taux réel dans votre plateforme de gestion du consentement, mois par mois. En dessous de 50 %, il y a un problème d'ergonomie, pas de réglementation.

En résumé

Retenez la hiérarchie des textes : le dépôt d'un traceur publicitaire exige un consentement préalable, et aucun intérêt légitime ne remplace ce consentement. Rendez le refus aussi simple que l'acceptation, ne déposez rien avant le choix, mémorisez ce choix six mois, permettez son retrait et conservez la preuve : ces cinq points couvrent l'essentiel du risque de contrôle. Déployez le mode consentement avancé, indispensable depuis 2024 pour conserver vos audiences et faire modéliser vos conversions manquantes. Traitez le suivi côté serveur comme un gain de fiabilité en aval du consentement, jamais comme un moyen de s'en affranchir. Enfin, acceptez de piloter sur un signal partiel : comparez vos chiffres à eux-mêmes dans le temps, arbitrez sur le CRM, demandez à vos prospects d'où ils viennent, et travaillez votre taux de consentement comme un levier de performance.

Ce cadre complète notre guide du tracking des conversions B2B sur la partie juridique et le mode consentement, éclaire les écarts décrits dans notre article sur l'attribution marketing B2B, et conditionne directement les audiences décrites dans notre méthode de retargeting B2B. Envie de campagnes pilotées sur des données propres et conformes ? Découvrez notre offre publicité Meta & Google.