1. Cookies et mesure d'audience
- Les cookies publicitaires et la plupart des outils de mesure nécessitent le consentement préalable du visiteur.
- Refuser doit être aussi simple qu'accepter : un bouton « Tout refuser » au même niveau que « Tout accepter ».
- Tant que le visiteur n'a pas choisi, les balises soumises à consentement ne doivent pas se déclencher.
- Certains outils de mesure d'audience strictement configurés peuvent être exemptés de consentement selon les conditions fixées par la CNIL ; ce n'est pas le cas par défaut des outils publicitaires.
Côté Google, le Consent Mode v2 transmet le choix du visiteur aux balises Google : sans consentement, elles s'adaptent, et une partie des conversions est modélisée. Sa mise en place est détaillée dans notre guide sur le Consent Mode v2.
2. La prospection par e-mail : B2B et B2C n'obéissent pas aux mêmes règles
- Vers des particuliers (B2C) : le consentement préalable est la règle. Exception : vos clients existants, pour des produits ou services analogues à ceux qu'ils ont achetés, s'ils ont pu s'y opposer dès la collecte.
- Vers des professionnels (B2B) : la prospection est possible sans consentement préalable si le message concerne la profession de la personne, à condition de l'avoir informée et de lui permettre de s'opposer.
- Dans tous les cas : identifier clairement l'expéditeur, proposer un lien de désinscription simple, et respecter les oppositions sans délai.
Les adresses génériques d'entreprise (contact@, info@) ne désignent pas une personne : elles ne relèvent pas des mêmes règles que les adresses nominatives, mais les bonnes pratiques d'information et de désinscription restent de mise. La délivrabilité est un autre sujet, traité dans notre guide sur la délivrabilité des e-mails.
3. Les fichiers clients pour la publicité
Importer une liste de clients dans Google Ads ou Meta pour créer une audience est un traitement de données personnelles, même si les plateformes demandent des données hachées. Il faut une base légale, que les personnes aient été informées de cet usage (dans la politique de confidentialité et au moment de la collecte), et ne pas y inclure les personnes qui s'y sont opposées. Limitez la liste au nécessaire et mettez-la à jour pour retirer les désinscrits.
4. Les prestataires et les outils
Quand une agence ou un outil traite des données personnelles pour votre compte (fichier clients, formulaires, audiences), il agit comme sous-traitant au sens du RGPD. Un contrat doit encadrer ce traitement : l'article 28 du RGPD en fixe le contenu, souvent sous la forme d'un accord de traitement des données. Vérifiez où les données sont hébergées, combien de temps elles sont conservées, et qui y accède.
La liste de contrôle d'une PME
- Un bandeau cookies avec refus aussi simple que l'acceptation, et des balises qui attendent le choix.
- Une politique de confidentialité à jour, qui mentionne la publicité et les audiences si vous en faites.
- Un lien de désinscription dans chaque e-mail marketing, et une liste d'oppositions respectée.
- Un registre simple des traitements : quelles données, pourquoi, combien de temps, qui y accède.
- Des contrats de sous-traitance avec l'agence et les outils qui traitent vos données clients.
- Des comptes et accès nominatifs, avec la double authentification.
Ce que fait Vandolo
Vandolo vérifie la présence et le fonctionnement des balises de mesure et signale les incohérences de suivi, ce qui aide à contrôler que le bandeau et le Consent Mode sont bien en place. La base de données et les serveurs sont à Francfort, dans l'Union européenne ; un accord de traitement des données est disponible, et l'accès impose la double authentification. Vandolo ne remplace pas l'avis d'un conseil juridique.