L’idée reçue : une bannière cookies conforme met votre suivi Google Ads en règle. Elle affiche un choix ; des balises qui partent avant ce choix, ça existe derrière une interface impeccable. À l’inverse, un signal bien transmis à Google ne prouve ni la validité du consentement, ni la licéité des traitements en aval. Droit, contrat, technique : trois contrôles.
Distinguez la loi, le contrat et l’outil
ad_user_data dit si Google reçoit des données utilisateur à des fins publicitaires ; ad_personalization dit si la publicité personnalisée est autorisée. Le mécanisme ne recueille pas le consentement, il le reçoit. D’après la documentation Google mise à jour le 17 avril 2026, le mode basique bloque les balises Google avant le choix ; le mode avancé les charge avec des états initiaux, en général refusés, puis envoie des mesures sans cookies dans les cas prévus par Google.Le mode Consentement v2, basique ou avancé, est une option technique de Google. Aucune loi ne vous impose ce nom de produit ni cette interface. Google s’en sert pour recevoir les signaux que réclame sa politique européenne de consentement et pour décider quelles fonctions de mesure, de listes ou de personnalisation restent ouvertes.
Le hachage SHA-256 des conversions améliorées (l’e-mail haché envoyé à Google avec la conversion) sert au rapprochement et à la sécurité. Une adresse hachée de façon déterministe reste pourtant une donnée personnelle pseudonymisée : Google sait la rapprocher d’une valeur qu’il connaît déjà. Le hachage ne vous dispense de rien : il vous faut toujours un objectif de traitement, une base légale, une collecte minimale et une durée de conservation.
Chaque réglage de votre chaîne de suivi se rattache à un objectif déclaré et à un rôle documenté. D’un produit à l’autre, Google peut être sous-traitant ou responsable de traitement ; son statut DMA de contrôleur d’accès ne dit rien de son rôle RGPD. Je regarde d’abord le produit, la fonction, les paramètres activés et le contrat.
Cette page vous donne une méthode de contrôle, pas une consultation juridique. Votre conseil ou votre délégué à la protection des données (le DPO) qualifie les bases, les rôles, les transferts et les analyses d’impact dans votre situation.
- Règlement général sur la protection des données (RGPD)
- Le règlement (UE) 2016/679 encadre les traitements de données personnelles. Son article 3 vous concerne entre autres si vous êtes établi dans l’Union, si vous proposez une offre à des personnes dans l’Union ou si vous suivez leur comportement dans l’Union.
- Règlement sur les marchés numériques (DMA)
- Le règlement (UE) 2022/1925 est entré en vigueur le 1er novembre 2022 et s’applique depuis le 2 mai 2023. Alphabet est contrôleur d’accès depuis sa désignation du 6 septembre 2023, pour plusieurs services dont la publicité en ligne. L’échéance initiale de conformité tombait le 6 mars 2024.
- Règlement sur les services numériques (DSA)
- Le règlement (UE) 2022/2065 encadre les services intermédiaires. Il impose entre autres aux plateformes des règles de transparence publicitaire, de profilage et de protection des mineurs, et s’applique en totalité depuis le 17 février 2024.
Quels cadres s’appliquent à Google Ads ?
RGPD et traceurs : deux contrôles successifs
En France, lire ou écrire une information dans le terminal d’un visiteur relève d’abord de l’article 82 de la loi Informatique et Libertés, même quand cette information n’est pas une donnée personnelle. Les traceurs publicitaires et de reciblage nécessitent en principe un consentement préalable. Les exemptions pour certaines mesures d’audience supposent toutes les conditions de la CNIL, et ne couvrent pas un suivi publicitaire déguisé.
Le traitement qui suit relève ensuite du RGPD. Il vous faut un objectif précis et une base légale qui tient. Puis une information lisible, une collecte minimale, une durée de conservation et des droits que le visiteur exerce vraiment. Un consentement requis doit être libre, spécifique, éclairé, univoque et démontrable. Refuser ou retirer son accord doit rester aussi simple qu’accepter.
Ne figez pas les rôles non plus. Le rôle de Google change avec le produit, l’objectif, les réglages et le contrat : sous-traitant sur telle opération, responsable de traitement sur telle autre. Son statut de contrôleur d’accès au sens du DMA ne remplace pas cette cartographie RGPD.
DMA : ce que le texte impose réellement
Le DMA est entré en vigueur le 1er novembre 2022 et s’applique depuis le 2 mai 2023. La Commission a désigné Alphabet comme contrôleur d’accès le 6 septembre 2023, avec une échéance initiale de mise en conformité des services désignés au 6 mars 2024. Ces obligations pèsent sur Alphabet dans ce rôle, pas sur vous comme si vous étiez vous-même contrôleur d’accès.
L’article 5 paragraphe 2 vise entre autres les combinaisons, croisements et connexions de données personnelles entre services d’un même contrôleur d’accès. Sauf choix précis du visiteur et consentement au sens du RGPD. Le texte ne crée aucune catégorie de « consentement renforcé ». Il ne fait pas non plus du mode Consentement votre outil légal obligatoire.
La politique Google relative au consentement des utilisateurs dans l’Union européenne réclame des signaux pour certaines fonctions de mesure, de listes et de personnalisation dans l’Espace économique européen. Le mode Consentement est son mécanisme technique pour recevoir ces états. Trois couches à ne pas confondre : l’obligation légale du contrôleur d’accès, la politique contractuelle de Google et votre mise en œuvre.
| Cadre | Acteur principalement visé | Contrôle utile dans le compte |
|---|---|---|
| RGPD | Responsables de traitement et sous-traitants | Objectifs, rôles, base légale. Minimisation, conservation, transferts, droits. |
| Article 82 et règles ePrivacy | Celui qui lit ou écrit dans le terminal du visiteur | Consentement préalable par traceur, ou exemption vérifiée point par point |
| DMA | Contrôleurs d’accès désignés, dont Alphabet | Ce que vos choix transmis changent dans les services et fonctions de Google |
| DSA | Plateformes, avec des devoirs en plus pour les très grandes | Transparence de l’annonce et limites au profilage publicitaire |
| Politique Google | Vous et les utilisateurs des produits | Signaux exigés, données autorisées, fonctions ouvertes ou fermées |
| Mode Consentement | Votre implémentation technique | États par défaut, mise à jour du choix et comportement réel des balises |
DSA : transparence, données sensibles et mineurs
Le DSA n’ajoute aucune case à cocher dans Google Ads. Son article 26 impose aux plateformes d’identifier l’annonce, l’annonceur, le payeur éventuel et les principaux paramètres de ciblage. Son paragraphe 3 leur interdit de présenter des publicités fondées sur un profilage qui utilise les catégories particulières de données de l’article 9 du RGPD.
L’article 28, paragraphe 2, interdit aux plateformes de présenter une publicité fondée sur le profilage à un mineur quand elles savent avec une certitude raisonnable que le destinataire est mineur. Il n’interdit pas toute publicité susceptible d’être vue par un mineur.
L’article 39 impose aux très grandes plateformes et aux très grands moteurs de recherche un registre public des publicités. Consultable par plusieurs critères et par interface de programmation, conservé pendant la diffusion puis un an après la dernière présentation. Le Centre de transparence publicitaire de Google est un outil de la plateforme ; son existence ne prouve pas que toutes les exigences du DSA sont remplies.
Consentement et base légale : quelle règle s’applique ?
Ça dépend de l’opération. Déposer un traceur, importer une liste de clients et diffuser une publicité contextuelle ne se qualifient pas de la même façon.
L’intérêt légitime remplace-t-il le consentement aux traceurs ?
Non. Une base légale invoquée au titre du RGPD ne contourne pas le consentement préalable que l’article 82 exige pour un traceur publicitaire non exempté. Le fondement du traitement en aval est une analyse à part, menée objectif par objectif.
| Opération | Contrôle du traceur en France | Contrôle du traitement et de la plateforme |
|---|---|---|
| Publicité contextuelle sans traceur | Pas de consentement article 82 pour le seul affichage | Base à qualifier si des données personnelles sont quand même traitées |
| Traceur publicitaire ou reciblage comportemental | Consentement préalable en principe | Objectif, base, information et droits à documenter, plus la politique Google |
| Mesure d’audience | Exemption possible seulement si toutes les conditions CNIL sont remplies | Le RGPD s’applique toujours aux données personnelles traitées |
| Import d’une liste de clients | Pas un accès au terminal en soi | Source, objectif et base. Attentes, information et opposition des clients. Règles Google. |
Une audience qui rétrécit ou disparaît a plusieurs causes possibles : les refus des visiteurs, un réglage, un seuil produit ou une règle de Google. Ce symptôme technique, à lui seul, ne tranche pas la question juridique.
Listes de clients : quelle analyse avant l’import ?
Google n’impose pas une base légale unique pour les listes de clients (Customer Match, l’import de vos e-mails clients). Sa politique sur le ciblage par liste de clients exige entre autres des données de première partie collectées directement, une information appropriée, le consentement quand la loi ou ses règles l’exigent, et le passage par ses interfaces approuvées. Votre analyse remonte à la collecte initiale : dans quel but, avec quelles attentes, quelle information et quel droit d’opposition. Puis la durée de conservation et le rapprochement publicitaire prévu.
Un e-mail passé en SHA-256 de façon déterministe reste en général une donnée personnelle pseudonymisée : Customer Match retrouve justement la même valeur dans les comptes Google. Le hachage limite l’exposition de l’adresse en clair. Il ne vous donne ni anonymat, ni base légale, ni droit d’usage. Sécurité, collecte minimale et durée de conservation restent à traiter.
Sans base adaptée ni information cohérente avec cet usage, l’import attend et le cas part chez votre conseil. Pour situer cette analyse dans votre stratégie de données de première partie dans un environnement sans cookies, partez de l’usage prévu, et non de la taille de votre base CRM.
Quels cadres limitent le ciblage des données sensibles ?
L’article 9 du RGPD interdit en principe de traiter ce qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale. Même interdiction pour les données génétiques, les données biométriques servant à identifier quelqu’un de façon unique, les données de santé et celles de vie sexuelle ou d’orientation sexuelle. Il prévoit des exceptions précises, dont le consentement explicite dans certains cas, sauf si un droit national ou européen interdit de lever l’interdiction.
Le DSA ajoute une règle propre aux plateformes : interdiction de présenter des publicités fondées sur un profilage qui utilise ces catégories particulières. Cette interdiction de présentation ne recouvre pas toutes les règles de l’article 9, et elle est distincte du régime des mineurs.
La politique Google sur la publicité personnalisée a ses propres catégories et, dans certains cas, va plus loin que le minimum légal. Une audience que la loi autorise n’est pas pour autant admise dans Google Ads. Je contrôle séparément le RGPD, le DSA et la politique en vigueur, sans prendre le Centre de transparence publicitaire de Google pour une validation de votre ciblage.
Comment auditer le dispositif Google Ads ?
L’audit relie votre documentation à ce que les balises font en vrai. Huit contrôles, pour ne pas réduire le sujet à la bannière.
- Inventaire : balises, kits de développement, identifiants et paramètres d’URL. Conversions améliorées, imports CRM et destinations.
- Qualification : pour chaque flux, à quoi il sert, quelles données, qui y touche. Puis rôles et base légale, durée et transferts, contrat applicable.
- Choix utilisateur : accepter, refuser, personnaliser et retirer. Ces quatre parcours se testent en choisissant et configurant votre plateforme de gestion du consentement (la CMP qui affiche votre bannière). Refus aussi simple que l’acceptation, preuve du choix archivée.
- Comportement des balises : états initiaux, mises à jour et requêtes avant et après chaque choix, observés dans le navigateur. Le paramétrage affiché ne suffit pas à dire dans quel mode vous êtes ; les requêtes, si.
- Transmission : les données utilisateur envoyées côté serveur sont comparées à une liste autorisée. Dans un environnement habilité, avec des données de test, secrets masqués, captures limitées et détruites après coup.
- Preuve : versions de bannière et règles de déclenchement, puis tests, contrats et validations, chacun daté. Sans journaliser au passage des données personnelles inutiles.
- Droits : les canaux que chaque service propose pour de bon, l’identification du demandeur, la coordination entre services et les exceptions. Délai RGPD : un mois en principe. Supprimer une liste dans Google Ads ne prouve pas, à lui seul, que toutes les données concernées sont effacées.
- Changements : les tests se rejouent à chaque changement. Nouvel objectif ou nouvelle balise. Nouveau fournisseur ou nouveau réglage. Incident ou évolution du contrat.
Une nouvelle fonction Google peut servir un objectif produit, de mesure ou de marché autant qu’une contrainte juridique. Regardez ses flux et son usage ; la fiche commerciale ne fait pas le droit.
Les limites techniques ont leur propre logique. Sur le Web, ITP et les protections des navigateurs limitent certains traceurs ; ITP, c’est la protection anti-pistage de Safari. Dans une application iOS, l’App Tracking Transparency (ATT) encadre la demande d’autorisation de suivi entre applications et sites d’autres entreprises. Deux mécanismes distincts, et non deux noms pour le même.
Cette page décrit un cadre général vérifié au 23 juillet 2026. Les rôles, les bases, les transferts, les analyses d’impact et votre cas d’espèce passent par votre conseil ou votre délégué à la protection des données.
Consentement, mesure et risques de non-conformité
Un indicateur publicitaire ne mesure pas la conformité. Il montre une partie du fonctionnement de votre suivi, à lire avec les tests et les preuves à côté.
Que mesure réellement le taux de consentement ?
Le taux de consentement décrit les choix enregistrés sur une zone donnée. Il bouge avec l’audience et le contexte, avec le texte et le parcours de la bannière, avec la période et le mode de calcul. Il ne dit pas si le choix était libre et éclairé, ni si vos conversions réelles ont baissé, ni si vos enchères intelligentes ont souffert.
Après un refus, vous risquez de perdre des conversions visibles et des fonctions. L’ampleur dépend des balises, des signaux et des règles appliquées. Dans l’implémentation avancée documentée aujourd’hui, les balises Google se chargent avec des états refusés et envoient des mesures sans cookies dans les cas prévus. Une modélisation propre à votre compte (l’estimation des conversions manquantes) reste soumise à des conditions d’éligibilité et de volume. Dans l’implémentation basique, les balises Google sont bloquées avant le choix et ne reçoivent aucune donnée à ce stade. Vérifiez-le dans votre configuration au lieu de le supposer.
Le bon objectif d’une CMP est un choix compréhensible, symétrique, accessible et révocable, et non un taux d’acceptation maximal. Les différences entre mode Consentement basique et avancé servent à choisir une architecture que vous pouvez mesurer ; elles ne justifient aucune interface trompeuse.
Les bloqueurs peuvent interrompre des requêtes de mesure, consentement ou pas. Un routage sur votre domaine reste un moyen de transport : il ne doit ni contourner un refus, ni neutraliser volontairement les outils du visiteur, et il n’empêche pas toujours le blocage.
Quels risques pour l’annonceur et la plateforme ?
Pour un manquement au RGPD, l’article 83 prévoit deux plafonds par catégorie de manquement : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, et jusqu’à 20 millions d’euros ou 4 %, le montant le plus élevé étant retenu. Ce sont des plafonds : l’autorité compétente apprécie chaque cas. La CNIL intervient quand elle est compétente ; si le traitement est transfrontalier, l’autorité chef de file et la coopération européenne entrent en jeu.
Le DMA prévoit, pour le contrôleur d’accès en infraction, des amendes jusqu’à 10 % de son chiffre d’affaires mondial et 20 % en cas de répétition de la même infraction ou d’une infraction similaire. Ce plafond ne devient pas une sanction DMA contre vous. Vous restez exposé à vos propres obligations sur les données personnelles et les traceurs.
Ajoutez les risques contractuels et opérationnels : Google qui limite des fonctions ou des listes, ou suspend le compte pour non-respect de ses règles. Incident de sécurité, plainte, injonction, coup à la réputation ou mesure cassée. Aucun de ces risques n’efface les autres ; chacun demande des preuves et un plan de correction.
- RGPD, article 82, DMA, DSA, politique Google et mode Consentement : six questions différentes.
- Le consentement juridique ne se dilue pas en simple « accord » ni en signal technique.
- Le hachage déterministe pseudonymise une donnée ; il ne l’anonymise pas.
- L’audit couvre les flux et les rôles, les preuves et les droits, puis les changements. La bannière n’en est qu’une pièce.
- Un score de mesure ou d’acceptation ne vaut pas preuve de conformité.
Quelles données pouvez-vous utiliser pour cibler sans sortir du cadre RGPD et DMA ?
Faites d’abord établir la carte technique : flux et usages, acteurs et contrats, réglages et preuves, durées et droits. Votre conseil ou votre délégué à la protection des données qualifie alors le système réel, au lieu de commenter une capture de bannière.
La revue n’est pas une séance unique. Un contrôle initial, puis des tests périodiques et une gestion des changements et des incidents. Ensuite, une nouvelle validation à chaque objectif, fournisseur ou fonction ajouté. C’est cette continuité qui rend votre conformité démontrable.
