Votre suivi Google Ads superpose droit, contrat et technique. Une bannière peut être bien dessinée alors que les balises partent trop tôt. À l’inverse, un signal correctement transmis à Google ne démontre ni la validité du consentement, ni la licéité de tous les traitements en aval.
Distinguez la loi, le contrat et l’outil
ad_user_data et ad_personalization portent respectivement sur l’envoi de données utilisateur à Google à des fins publicitaires et sur la publicité personnalisée. Le mécanisme ne recueille pas le consentement. Selon la documentation Google mise à jour le 17 avril 2026, le mode basique bloque les balises Google avant le choix et le mode avancé les charge avec des états initiaux, généralement refusés, puis peut envoyer des mesures sans cookies.Le mode Consentement v2, basique ou avancé, est une option technique Google. La loi ne vous impose ni ce nom de produit ni cette interface. Google l’utilise pour recevoir les signaux prévus par sa politique européenne de consentement et pour déterminer les fonctions de mesure, de listes ou de personnalisation disponibles.
Le hachage SHA-256 des conversions améliorées répond à un besoin de rapprochement et de sécurité. Une adresse électronique hachée de façon déterministe reste toutefois une donnée personnelle pseudonymisée : Google peut la rapprocher d’une valeur connue. Le hachage ne remplace donc ni finalité, ni base légale, ni minimisation, ni durée de conservation.
Chaque réglage de la chaîne de suivi publicitaire doit être rattaché à une finalité et à un rôle documentés. Google peut être sous-traitant pour certains services et responsable pour d’autres usages ; le statut de contrôleur d’accès au sens du DMA ne répond pas à cette question RGPD. Vérifiez le produit, la fonction, les paramètres activés et les conditions contractuelles applicables.
Cette page expose une méthode de contrôle, pas une consultation juridique. Votre conseil ou délégué à la protection des données qualifie les bases, rôles, transferts et analyses d’impact au regard de votre situation.
- Règlement général sur la protection des données (RGPD)
- Le règlement (UE) 2016/679 encadre les traitements de données personnelles. Son article 3 vise notamment un traitement réalisé dans le cadre d’un établissement dans l’Union, ou lié à une offre aux personnes dans l’Union ou au suivi de leur comportement dans l’Union.
- Règlement sur les marchés numériques (DMA)
- Le règlement (UE) 2022/1925 est entré en vigueur le 1er novembre 2022 et s’applique depuis le 2 mai 2023. Alphabet a été désigné contrôleur d’accès le 6 septembre 2023 pour plusieurs services, dont la publicité en ligne ; l’échéance initiale de conformité était le 6 mars 2024.
- Règlement sur les services numériques (DSA)
- Le règlement (UE) 2022/2065 encadre les services intermédiaires et impose notamment aux plateformes des règles de transparence publicitaire, de profilage et de protection des mineurs. Il s’applique pleinement depuis le 17 février 2024.
Quels cadres s’appliquent à Google Ads ?
RGPD et traceurs : deux contrôles successifs
En France, l’accès à une information dans le terminal d’un utilisateur ou son inscription relève d’abord de l’article 82 de la loi Informatique et Libertés, y compris lorsque cette information n’est pas une donnée personnelle. Les traceurs publicitaires et de reciblage nécessitent en principe un consentement préalable. Les exemptions pour certaines mesures d’audience supposent de respecter toutes les conditions fixées par la CNIL ; elles ne couvrent pas un suivi publicitaire déguisé.
Le traitement qui suit relève ensuite du RGPD. Il faut une finalité déterminée, une base légale appropriée, une information compréhensible, une collecte minimale, une durée de conservation et l’exercice effectif des droits. Lorsqu’il est requis, le consentement doit être libre, spécifique, éclairé, univoque et démontrable. Le refus et le retrait doivent être aussi simples que l’acceptation.
Ne figez pas non plus les rôles. Selon le produit, la finalité, les réglages et le contrat, Google peut agir comme sous-traitant ou responsable de traitement pour les opérations concernées. Le statut de contrôleur d’accès au sens du DMA ne remplace pas cette cartographie RGPD.
DMA : ce que le texte impose réellement
Le DMA est entré en vigueur le 1er novembre 2022 et s’applique depuis le 2 mai 2023. La Commission a désigné Alphabet comme contrôleur d’accès le 6 septembre 2023 ; l’échéance initiale de mise en conformité des services désignés était le 6 mars 2024. Ces obligations visent Alphabet dans ce rôle, pas l’annonceur comme s’il était lui-même contrôleur d’accès.
L’article 5, paragraphe 2, encadre notamment certaines combinaisons, utilisations croisées et connexions de données personnelles entre services d’un contrôleur d’accès, sauf choix précis et consentement au sens du RGPD. Le texte ne crée pas une catégorie de « consentement renforcé ». Il ne désigne pas non plus le mode Consentement comme l’outil légal obligatoire des annonceurs.
La politique Google relative au consentement des utilisateurs dans l’Union européenne demande des signaux pour certaines fonctions de mesure, de listes et de personnalisation dans l’Espace économique européen. Le mode Consentement est son mécanisme technique pour recevoir ces états. Il faut donc distinguer l’obligation légale du contrôleur d’accès, la politique contractuelle de Google et votre propre mise en œuvre.
| Cadre | Acteur principalement visé | Contrôle utile dans le compte |
|---|---|---|
| RGPD | Responsables de traitement et sous-traitants | Finalités, rôles, bases légales, minimisation, conservation, transferts et droits |
| Article 82 et règles ePrivacy | Acteur qui lit ou écrit dans le terminal | Consentement préalable ou exemption strictement vérifiée pour chaque traceur |
| DMA | Contrôleurs d’accès désignés | Effets des choix transmis sur les services et fonctions de Google |
| DSA | Plateformes, avec des devoirs supplémentaires pour les très grandes plateformes | Transparence de l’annonce et limites du profilage publicitaire |
| Politique Google | Annonceur et utilisateurs des produits | Signaux exigés, données autorisées et disponibilité des fonctions |
| Mode Consentement | Implémentation technique de l’annonceur | États par défaut, mise à jour du choix et comportement réel des balises |
DSA : transparence, données sensibles et mineurs
Le DSA ne produit pas une case supplémentaire dans Google Ads. Son article 26 impose aux plateformes d’identifier l’annonce, l’annonceur, le payeur éventuel et les principaux paramètres de ciblage. Son article 26, paragraphe 3, interdit aux plateformes de présenter des publicités fondées sur un profilage utilisant les catégories particulières de données de l’article 9 du RGPD.
L’article 28, paragraphe 2, interdit aux plateformes de présenter une publicité fondée sur le profilage à un mineur lorsqu’elles savent avec une certitude raisonnable que le destinataire est mineur. Il n’interdit pas toute publicité susceptible d’être vue par un mineur.
L’article 39 ajoute, pour les très grandes plateformes et les très grands moteurs de recherche, un registre public consultable, accessible par plusieurs critères et par interface de programmation, conservé pendant la diffusion puis un an après la dernière présentation. Le Centre de transparence publicitaire de Google est un outil de la plateforme ; sa seule existence ne permet pas de conclure que toutes les exigences du DSA sont remplies.
Consentement et base légale : quelle règle s’applique ?
La bonne réponse dépend de l’opération. Un dépôt de traceur, un import de liste de clients et une publicité contextuelle ne se qualifient pas de la même manière.
L’intérêt légitime remplace-t-il le consentement aux traceurs ?
Non. Une base légale invoquée au titre du RGPD ne permet pas de contourner le consentement préalable exigé par l’article 82 pour un traceur publicitaire non exempté. Le choix du fondement du traitement en aval reste une analyse distincte, menée pour chaque finalité.
| Opération | Contrôle du traceur en France | Contrôle du traitement et de la plateforme |
|---|---|---|
| Publicité contextuelle sans traceur | Pas de consentement article 82 du seul fait de l’affichage | Base à qualifier si des données personnelles sont néanmoins traitées |
| Traceur publicitaire ou reciblage comportemental | Consentement préalable en principe | Finalité, base, information, droits et politique Google à documenter |
| Mesure d’audience | Exemption possible uniquement si toutes les conditions CNIL sont remplies | Le RGPD continue de s’appliquer aux données personnelles traitées |
| Import d’une liste de clients | Ce n’est pas, par lui-même, un accès au terminal | Source, finalité, base, attentes, information, opposition et règles Google à contrôler |
Une audience réduite ou indisponible peut résulter du choix des personnes, d’un réglage, d’un seuil produit ou d’une règle de Google. Ce symptôme technique ne tranche jamais à lui seul la qualification juridique.
Listes de clients : quelle analyse avant l’import ?
Google n’impose pas une base légale unique pour les listes de clients (Customer Match). Sa politique sur le ciblage par liste de clients demande notamment des données de première partie collectées directement, une information appropriée, le consentement lorsqu’il est exigé par la loi ou par ses règles et l’utilisation des interfaces approuvées. Votre analyse doit couvrir la finalité initiale, les attentes des personnes, la source, l’information, l’opposition, la durée de conservation et le rapprochement publicitaire envisagé.
Un e-mail transformé de manière déterministe en SHA-256 reste généralement une donnée personnelle pseudonymisée : Google peut le rapprocher de la même valeur issue de ses comptes. Le hachage limite l’exposition de l’adresse en clair, mais ne fournit ni anonymat, ni base légale, ni autorisation d’usage. Sécurité, minimisation et durée de conservation restent à traiter.
Si le dossier ne permet pas d’établir une base adaptée et une information cohérente avec cet usage, suspendez l’import et faites qualifier le cas. Pour situer cette analyse dans votre stratégie de données de première partie dans un environnement sans cookies, partez des finalités, pas de la taille disponible dans le CRM.
Quels cadres limitent le ciblage des données sensibles ?
L’article 9 du RGPD interdit en principe le traitement révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement de données génétiques, de données biométriques aux fins d’identifier une personne de manière unique, de données concernant la santé, la vie sexuelle ou l’orientation sexuelle. Il prévoit toutefois des exceptions précises, dont le consentement explicite dans certains cas, sous réserve qu’un droit national ou européen n’empêche pas de lever l’interdiction.
Le DSA ajoute une règle propre aux plateformes : elles ne peuvent pas présenter des publicités fondées sur un profilage utilisant ces catégories particulières. Cette interdiction de présentation ne se confond ni avec toutes les règles de l’article 9, ni avec le régime applicable aux mineurs.
La politique Google sur la publicité personnalisée utilise ses propres catégories et peut être plus restrictive que le minimum légal. Une audience autorisée par un texte n’est donc pas automatiquement admise dans Google Ads. Contrôlez séparément le RGPD, le DSA et la politique en vigueur ; ne prenez pas le Centre de transparence publicitaire de Google pour une validation de votre ciblage.
Comment auditer le dispositif Google Ads ?
L’audit doit relier la documentation au comportement réellement observé. Huit contrôles évitent de réduire le sujet à la bannière.
- Inventaire : recensez balises, kits de développement, identifiants, paramètres d’URL, conversions améliorées, imports CRM et destinations.
- Qualification : associez à chaque flux une finalité, les données, les acteurs, les rôles, la base, la durée, les transferts et le contrat applicables.
- Choix utilisateur : en choisissant et configurant votre plateforme de gestion du consentement, testez accepter, refuser, personnaliser puis retirer. Vérifiez la symétrie des parcours et la preuve conservée.
- Comportement des balises : observez les états initiaux, leur mise à jour et les requêtes avant et après chaque choix. Ne déduisez pas le mode basique ou avancé du seul paramétrage affiché.
- Transmission : contrôlez les données utilisateur envoyées côté serveur contre une liste autorisée. Travaillez dans un environnement habilité avec des données de test, masquez les secrets, restreignez les captures et détruisez-les après le contrôle.
- Preuve : archivez versions de bannière, règles de déclenchement, tests, contrats, validations et dates de modification sans journaliser inutilement des données personnelles.
- Droits : documentez les canaux réellement proposés par chaque service, l’identification du demandeur, la coordination et les exceptions. Le délai RGPD est en principe d’un mois ; une suppression de liste dans Google Ads ne prouve pas, seule, l’effacement de toutes les données concernées.
- Changements : rejouez les tests après une nouvelle finalité, une balise, un fournisseur, un réglage, un incident ou une évolution contractuelle.
Une nouvelle fonction peut répondre à un objectif de produit, de mesure ou de marché autant qu’à une contrainte juridique. Analysez ses flux et sa finalité ; ne déduisez jamais la loi de sa fiche commerciale.
Les limites techniques suivent leur propre logique. Sur le Web, ITP et les protections des navigateurs limitent certains traceurs. Dans une application iOS, l’App Tracking Transparency (ATT) encadre la demande d’autorisation pour le suivi entre applications et sites d’autres entreprises. Ce ne sont pas deux noms pour le même mécanisme.
Cette page décrit un cadre général vérifié au 23 juillet 2026. Les rôles, bases, transferts, analyses d’impact et cas d’espèce doivent être validés par votre conseil ou votre délégué à la protection des données.
Consentement, mesure et risques de non-conformité
Un indicateur publicitaire ne mesure pas la conformité. Il montre une partie du fonctionnement du dispositif, à interpréter avec les tests et les preuves.
Que mesure réellement le taux de consentement ?
Le taux de consentement décrit les choix enregistrés dans un périmètre donné. Il dépend notamment de l’audience, du contexte, du texte, du parcours, de la période et du mode de calcul. Il ne dit pas si le choix était libre et éclairé. Il ne prouve pas non plus, à lui seul, une baisse des conversions réelles ou une dégradation causale des enchères intelligentes.
Un refus peut réduire les conversions observables et les fonctions disponibles, selon les balises, les signaux et les règles appliquées. Dans l’implémentation avancée actuellement documentée, les balises Google peuvent charger avec des états refusés et envoyer des mesures sans cookies ; une modélisation propre à l’annonceur reste soumise à des conditions d’éligibilité et de volume. Dans l’implémentation basique, les balises Google sont bloquées avant le choix et aucune donnée ne leur est envoyée à ce stade. Vérifiez ce comportement dans votre configuration au lieu de le supposer.
Le bon objectif d’une plateforme de gestion du consentement est un choix compréhensible, symétrique, accessible et révocable, pas la maximisation du taux. Les différences entre mode Consentement basique et avancé servent à choisir une architecture mesurable ; elles ne justifient aucune interface trompeuse.
Les bloqueurs peuvent interrompre des requêtes de mesure indépendamment du consentement. Un routage propriétaire reste une architecture de transport : il ne doit ni contourner un refus ni neutraliser volontairement les outils de l’utilisateur, et le blocage peut persister.
Quels risques pour l’annonceur et la plateforme ?
Pour un manquement au RGPD, l’article 83 prévoit selon la catégorie jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, et jusqu’à 20 millions d’euros ou 4 %, le montant le plus élevé étant retenu. Ces maxima ne sont pas automatiques : l’autorité compétente apprécie chaque cas. La CNIL intervient lorsqu’elle est compétente ; les traitements transfrontaliers peuvent mobiliser l’autorité chef de file et la coopération européenne.
Le DMA prévoit, pour le contrôleur d’accès en infraction, des amendes pouvant atteindre 10 % de son chiffre d’affaires mondial et 20 % en cas de répétition de la même infraction ou d’une infraction similaire. Ce plafond ne devient pas une sanction DMA contre l’annonceur. L’annonceur reste toutefois exposé à ses propres obligations de protection des données et de traceurs.
Ajoutez les risques contractuels et opérationnels : limitation de fonctions ou de listes par Google, suspension pour non-respect des politiques, incident de sécurité, plainte, injonction, atteinte à la réputation et rupture de la mesure. Aucun de ces risques ne permet de minimiser les autres ; chacun appelle des preuves et un plan de correction.
- RGPD, article 82, DMA, DSA, politique Google et mode Consentement répondent à des questions différentes.
- Le consentement juridique ne doit pas être dilué en simple « accord » ou en signal technique.
- Le hachage déterministe pseudonymise une donnée ; il ne l’anonymise pas.
- L’audit couvre les flux, les rôles, les preuves, les droits et les changements, pas seulement la bannière.
- Un score de mesure ou d’acceptation ne vaut jamais preuve de conformité.
La décision
Faites d’abord établir la carte technique : finalités, flux, acteurs, contrats, réglages, preuves, durées et droits. Votre conseil ou votre délégué à la protection des données peut alors qualifier le système réel, au lieu de commenter une capture de bannière.
La revue n’est pas une séance unique. Prévoyez un contrôle initial, des tests périodiques, une gestion des changements et des incidents, puis une nouvelle validation à chaque finalité, fournisseur ou fonction ajoutés. C’est cette continuité qui rend la conformité démontrable.
