Votre suivi des conversions Google Ads mêle la loi, le contrat Google et un réglage technique. Séparez d’abord ces trois questions : la réponse à l’une ne vaut pas pour les autres. Un bandeau cookies bien conçu n’empêche pas des balises de se déclencher trop tôt. À l’inverse, un choix bien transmis à Google ne prouve pas que le consentement était valable, ni que l’usage fait ensuite des données est licite.
Loi, contrat Google, outil : qui impose quoi ?
| Règle | Qui elle vise d’abord | Ce que vous vérifiez |
|---|---|---|
| RGPD, règlement (UE) 2016/679 | Responsables de traitement et sous-traitants | But, base légale, conservation, transferts et droits des personnes |
| Article 82 de la loi Informatique et Libertés | Toute entité qui lit ou écrit sur l’appareil du visiteur | Consentement préalable ou exemption, vérifié traceur par traceur |
| DMA, règlement (UE) 2022/1925 | Grandes plateformes désignées « contrôleurs d’accès », dont Alphabet | L’effet des choix transmis sur les fonctions de Google |
| DSA, règlement (UE) 2022/2065 | Plateformes en ligne, avec des obligations en plus pour les très grandes | Transparence de l’annonce et limites du profilage publicitaire |
| Règles de Google | Annonceurs et utilisateurs de ses produits | Choix exigés, données admises et fonctions disponibles dans Google Ads |
| Mode Consentement | Votre installation technique, réglée balise par balise sur le site | État initial, mise à jour du choix et envois réels |
Le mode Consentement v2, basique ou avancé, est le réglage qui adapte la mesure au choix de la personne sur les cookies. La loi ne vous impose ni ce produit ni son interface. Ce mode ne recueille pas le choix, qui passe par votre bandeau cookies. Selon l’aide Google Ads, le mode basique bloque les balises Google tant que le visiteur n’a pas consenti. En cas de refus, elles restent bloquées. Le mode avancé les charge dès l’arrivée. Avec un refus configuré par défaut, il peut envoyer des mesures sans cookies.
Le rôle de Google change selon le produit, le but, les réglages et le contrat. Il peut agir pour votre compte, comme sous-traitant, ou décider lui-même de l’usage des données, comme responsable de traitement. Son statut de contrôleur d’accès au sens du DMA ne tranche pas cette question.
Ce que chaque texte impose, et à qui
Article 82 et RGPD : les cookies, puis les données
Un traceur est un cookie ou tout code qui lit ou écrit une information sur l’appareil du visiteur. En France, cette lecture ou cette écriture relève de l’article 82, même quand l’information n’est pas une donnée personnelle. Les traceurs publicitaires et de reciblage exigent en principe un consentement préalable aux cookies. Certains outils de mesure d’audience peuvent être exemptés s’ils remplissent toutes les conditions de la CNIL. Cette exemption ne couvre pas un suivi publicitaire déguisé.
Une annonce liée au contenu de la page, sans traceur, n’exige pas ce consentement du seul fait de son affichage. Si des données personnelles sont tout de même traitées, il leur faut une base légale.
L’usage qui est fait des données relève ensuite du RGPD. Il demande un but précis, une base légale adaptée, une information claire et une collecte limitée au nécessaire. Il demande aussi une durée de conservation et des droits que les personnes peuvent vraiment exercer. Quand il est requis, le consentement doit être libre, spécifique, éclairé, univoque et démontrable. Refuser ou retirer son accord doit être aussi simple qu’accepter.
Le DMA vise Google, pas l’annonceur
Le DMA est entré en vigueur le 1er novembre 2022 et s’applique depuis le 2 mai 2023. La Commission a désigné Alphabet contrôleur d’accès le 6 septembre 2023, pour plusieurs services dont la publicité en ligne. L’échéance initiale de mise en conformité de ces services était le 6 mars 2024.
L’article 5, paragraphe 2, du DMA soumet certains croisements de données entre services d’un contrôleur d’accès à un choix précis et au consentement au sens du RGPD. Le texte ne crée pas de « consentement renforcé » et ne nomme pas le mode Consentement. Ces obligations visent Alphabet dans son rôle de contrôleur d’accès, pas l’annonceur.
C’est la politique de consentement de Google qui vous demande de transmettre les choix des visiteurs. Elle les exige pour certaines fonctions de mesure, de listes et de personnalisation dans l’Espace économique européen.
Le DSA : transparence, profilage et mineurs
Le DSA s’applique pleinement depuis le 17 février 2024, sans ajouter de case à cocher dans Google Ads. Son article 26 sur la publicité oblige les plateformes à identifier l’annonce, l’annonceur, le payeur éventuel et les principaux critères de ciblage. L’article 28 leur interdit la publicité fondée sur le profilage d’une personne qu’elles savent mineure avec une certitude raisonnable. Il n’interdit pas toute publicité qu’un mineur pourrait voir.
L’article 39 impose aux très grandes plateformes et aux très grands moteurs de recherche un registre public des publicités, consultable par critères et par interface de programmation. Ce registre conserve chaque annonce pendant sa diffusion, puis un an. Le Centre de transparence publicitaire de Google est l’outil de la plateforme. Son existence ne prouve ni que le DSA est respecté, ni que votre ciblage est valide.
Listes de clients et intérêt légitime
Une audience réduite peut venir du choix des visiteurs, d’un réglage, d’un seuil de taille ou d’une règle de Google. Ce constat technique ne tranche pas, à lui seul, la question juridique : chaque opération doit être examinée séparément.
L’intérêt légitime ne remplace pas le consentement
L’intérêt légitime est l’une des bases légales du RGPD. Il ne permet pas de contourner le consentement exigé par l’article 82 pour un traceur publicitaire non exempté. La base légale de l’usage fait ensuite des données reste une analyse à part, à mener pour chaque but.
Importer vos listes de clients
Le ciblage par liste de clients consiste à envoyer à Google les coordonnées de vos clients pour leur diffuser vos annonces. L’import n’est pas, en soi, un accès à l’appareil du visiteur. Google n’impose pas une base légale unique, mais sa politique sur le ciblage par liste de clients pose des conditions :
- des données recueillies directement par vous, lors d’échanges avec vos clients ;
- une information appropriée des personnes sur cet usage publicitaire ;
- leur consentement quand la loi ou les règles de Google l’exigent ;
- un envoi par les seules interfaces approuvées par Google.
Votre analyse couvre aussi le but initial de la collecte, les attentes des personnes, leur droit d’opposition et la durée de conservation.
Les e-mails sont hachés en SHA-256 avant l’envoi, et les conversions avancées font de même pour affiner la mesure. L’e-mail haché reste généralement une donnée personnelle pseudonymisée, car Google peut le rapprocher de la même valeur issue de ses comptes. Le hachage n’apporte donc ni anonymat, ni base légale, ni autorisation d’usage.
La sécurité, la limitation des données et leur durée de conservation restent à traiter. Votre dossier doit documenter une base légale adaptée et une information cohérente avec cet usage. S’il ne le fait pas, suspendez l’import et faites analyser votre cas. Pour vos données de première partie sans cookies, partez des buts, pas du nombre de contacts disponibles.
Données sensibles : trois règles distinctes
L’article 9 du RGPD interdit en principe l’usage des données sensibles suivantes :
- l’origine raciale ou ethnique, les opinions politiques et l’appartenance syndicale ;
- les convictions religieuses ou philosophiques ;
- les données génétiques, et les données biométriques qui identifient une personne de manière unique ;
- les données de santé, de vie sexuelle ou d’orientation sexuelle.
L’article 9 prévoit des exceptions précises, dont le consentement explicite dans certains cas, sauf si un droit national ou européen l’empêche. Le DSA interdit en plus aux plateformes la publicité fondée sur un profilage qui utilise ces données. Enfin, la politique de Google sur la publicité personnalisée a ses propres catégories et peut être plus stricte que la loi. Une audience permise par un texte n’est donc pas forcément admise dans Google Ads : contrôlez les trois règles séparément.
Contrôler votre installation en huit étapes
Le contrôle confronte ce qui est écrit à ce que font vraiment vos balises. Suivez les étapes dans l’ordre.
- Commencez par l’inventaire des balises, kits de développement, identifiants, paramètres d’URL, conversions avancées et imports de fichiers clients.
- Pour chaque flux de données, précisez son but, les acteurs et leurs rôles, la base légale, la durée de conservation, les transferts et le contrat applicable.
- Testez le bandeau cookies en acceptant, en refusant, en personnalisant puis en retirant votre accord. Chaque parcours doit être aussi simple que les autres, et la preuve du choix conservée.
- Vérifiez ensuite les balises : leur état initial, la mise à jour de cet état et les envois avant et après chaque choix. Le seul paramétrage affiché ne suffit pas à savoir si le mode est basique ou avancé.
- Comparez les données envoyées depuis votre serveur à une liste autorisée, avec des données de test et des clés d’accès masquées. Les captures de ces envois sont à détruire après le contrôle.
- Les preuves sont archivées : bandeau, règles de déclenchement, tests et contrats, avec leurs dates, sans données personnelles inutiles.
- Organisez l’exercice des droits des personnes service par service, avec les canaux proposés et l’identification du demandeur.
- Les tests sont à refaire après tout nouveau but, balise, fournisseur, réglage, incident ou changement de contrat.
Une nouvelle fonction Google peut répondre à un objectif commercial autant qu’à la loi : analysez ses flux et son but, pas sa présentation. Les limites techniques s’ajoutent à la loi et aux règles de Google sans les remplacer. Sur le Web, ITP sur Safari et les autres protections anti-pistage des navigateurs limitent certains traceurs. Dans une application iOS, l’App Tracking Transparency (ATT) encadre l’autorisation de suivi entre applications et sites d’autres entreprises. Ce sont deux mécanismes différents.
Refus, bloqueurs et sanctions : ce qui est en jeu
Ce que change le refus d’un visiteur
Un refus peut réduire les conversions que Google voit et les fonctions disponibles, selon vos balises et les règles appliquées. En mode avancé, Google peut estimer une partie des conversions manquantes avec un modèle propre à votre compte, sous conditions d’éligibilité et de volume. Cette estimation se vérifie dans votre installation, elle ne se suppose pas. L’objectif est un choix clair, symétrique et facile à retirer, pas le taux d’acceptation le plus haut. Aucun mode, basique ou avancé, ne justifie un bandeau trompeur.
Les bloqueurs de publicité peuvent couper des mesures, indépendamment du consentement. Faire passer les mesures par votre propre domaine ne doit ni contourner un refus, ni neutraliser volontairement les outils du visiteur. Même quand elles passent par votre domaine, certains bloqueurs peuvent d’ailleurs encore les couper.
Les sanctions et les autres risques
L’article 83 du RGPD prévoit deux plafonds selon la catégorie de manquement. Le premier va jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Le second va jusqu’à 20 millions d’euros ou 4 %. Dans chaque catégorie, le plafond le plus élevé est retenu. Ces maxima ne sont pas automatiques, car l’autorité compétente apprécie chaque cas. Ce n’est pas forcément la CNIL : un traitement transfrontalier peut relever d’une autorité chef de file et de la coopération européenne.
Le DMA prévoit des amendes pour le contrôleur d’accès en infraction. Elles peuvent atteindre 10 % de son chiffre d’affaires mondial, et 20 % en cas de récidive sur une infraction identique ou similaire. Ce plafond ne vise pas l’annonceur, qui reste soumis à ses propres obligations sur les données et les traceurs.
Google peut aussi limiter des fonctions ou des listes, voire suspendre un compte qui enfreint ses règles. Vous risquez aussi un incident de sécurité, une plainte, une injonction, une atteinte à votre réputation ou une interruption du suivi. Conservez les preuves utiles et corrigez les manquements constatés.
Par où commencer, et avec qui
Faites d’abord établir l’état des lieux technique de votre installation, en suivant les huit étapes du contrôle. Votre avocat ou votre délégué à la protection des données qualifie ensuite cette installation réelle, pas une capture du bandeau. Cette page donne une méthode de contrôle, pas une consultation juridique. Prévoyez enfin des tests réguliers et une nouvelle validation à chaque but, fournisseur ou fonction ajouté. Ces contrôles documentés contribuent à démontrer votre conformité.
