Ce cadre légal n’est pas à côté de votre tracking Google Ads, il en dessine la forme : chaque réglage de la chaîne traduit une contrainte, comme la suite le montre.
Relisez votre stack : c’est du droit compilé
ad_user_data et ad_personalization. Il conditionne certaines fonctions de mesure, d’audiences et de personnalisation publicitaire dans l’Espace économique européen. En mode basic, les balises Google sont bloquées tant que l’utilisateur n’a pas interagi avec la bannière ; en mode advanced, elles peuvent envoyer des pings sans cookie en cas de refus, ce qui aide la modélisation sous conditions.Prenez les pages de cette branche et retournez-les : pourquoi le Consent Mode existe-t-il ? Parce que Google doit composer avec un cadre plus strict sur les préférences des utilisateurs, le suivi et le croisement de données entre services.
Le Consent Mode v2, basic ou advanced, en est l’application technique côté Google.
Pourquoi les enhanced conversions hachent-elles en SHA-256 ? Parce que le hachage réduit l’exposition d’une donnée utilisateur, sans remplacer la base légale. Pourquoi la modélisation ? Parce que le refus doit être respecté, et modélisé plutôt que contourné.
Votre stack de mesure traduit ce cadre dans les faits. Chaque réglage de la chaîne de suivi publicitaire correspond à une décision de collecte, de stockage ou de transmission. Le voir change la posture : la bannière n’est pas posée par-dessus le dispositif, elle explique une partie de sa forme.
Cette page ne remplace pas un avis juridique : elle donne la carte, les textes et leurs effets observables sur votre compte. Les arbitrages de base légale, mentions, registres et choix de CMP relèvent de votre conseil.
- Digital Markets Act
- Règlement européen entré en application en 2023-2024, qui désigne les grandes plateformes numériques comme gatekeepers et prévoit des obligations spécifiques, dont la gestion de l’accord utilisateur pour le croisement d'informations entre services.
- Règlement général sur la protection des données
- Cadre légal européen applicable depuis 2018, imposant une base légale pour tout traitement de donnée personnelle. Les traceurs publicitaires relèvent aussi des règles ePrivacy et de la doctrine CNIL sur les cookies.
- Gatekeeper
- Statut attribué par la Commission européenne, autorité européenne de référence, à une plateforme numérique dominante (Google, Meta, Amazon...) au titre du même règlement. Avec ePrivacy, le cadre de protection des données et les règles Google relatives aux utilisateurs, il explique les signaux exigés par Consent Mode v2.
Quels sont les effets du RGPD et du DMA sur votre compte Google Ads ?
RGPD : le consentement comme base légale dominante pour le ciblage
Le règlement pose le socle : traiter une donnée personnelle exige une base légale. Pour les traceurs publicitaires et le ciblage comportemental, le consentement préalable, libre, éclairé, aussi simple à refuser qu’à donner, est la règle opérationnelle dominante. S'y ajoutent les droits des personnes, accès et effacement, qui s'appliquent aussi à ce que votre dispositif accumule.
Effets observables sur Ads : pas de remarketing sans consentement valide, pas de user data transmise sans base. Toute la doctrine du poste de douane de cette branche en découle.
DMA : pourquoi Google demande le Consent Mode
Le règlement sur les marchés numériques, appliqué depuis 2023-2024, joue à un autre étage : il ne régule pas les annonceurs, il régule les gatekeepers, dont Google. Pour croiser les données personnelles d'un même utilisateur entre ses services, Google doit disposer de l’accord renforcé requis.
Avec ePrivacy, le cadre général et les règles Google, il explique les signaux exigés par Consent Mode v2. Votre bannière devient l’un des points de collecte du choix utilisateur, et ce choix doit ensuite être transmis correctement à la plateforme pour le suivi, les listes et la personnalisation.
| Critère | Protection des données | Marchés numériques |
|---|---|---|
| Qui est visé | Vous (responsable de traitement) | Les gatekeepers (Google, Meta…) |
| Obligation principale | Base légale + accord préalable pour le ciblage | Consentement renforcé pour croiser les informations entre services |
| Effet direct sur votre compte | Pas de remarketing / user data sans accord valide | Consent Mode v2 et signaux requis pour suivi, audiences et personnalisation |
Le DSA change-t-il quelque chose pour les annonceurs Google Ads par rapport au DMA ?
Pour un annonceur Search/Display, le DSA a moins d’effets directs que les deux autres textes réunis, mais il n’est pas sans conséquences. La distinction utile : le règlement sur les marchés numériques encadre les gatekeepers, dont Google, d’où Consent Mode ; le DSA encadre les plateformes en tant qu’espaces d’annonces, avec de la transparence sur qui cible quoi et pour quoi.
Ce que le DSA crée concrètement pour vous : Google est tenu de rendre accessible un dépôt d’annonces (le centre de transparence) et d’améliorer la transparence sur les critères de ciblage utilisés. Il interdit aussi les annonces ciblées fondées sur le profilage des mineurs et celles fondées sur des données sensibles. Vous ne gérez pas directement ces obligations, c’est la plateforme qui les exécute, mais vous devez comprendre que le cadre dans lequel vous opérez est plus contraint qu’avant.
À retenir pour un annonceur : le DSA n’ajoute pas forcément une case cochable dans votre compte publicitaire. Il contraint surtout la plateforme. Votre surface de risque directe reste la protection des données et ePrivacy côté traitement, puis les politiques de diffusion.
Consentement et base légale : quelle règle s’applique à votre compte ?
Le règlement général structure la base légale de chaque traitement ; deux questions pratiques reviennent systématiquement sur un compte publicitaire actif.
Peut-on utiliser l’intérêt légitime à la place du consentement pour le remarketing Google Ads ?
Pour les traceurs publicitaires et le remarketing comportemental, le consentement préalable reste la règle. Pour les autres traitements marketing, la base légale doit être qualifiée avec votre conseil juridique ; l’intérêt légitime ne sert pas de raccourci pour exploiter ces technologies sans cet accord préalable.
La distinction se voit dans votre compte : sans consentement valide recueilli par votre CMP, les listes peuvent être réduites, inexploitables ou limitées selon l’implémentation et les règles Google. L’intérêt légitime n’est pas une alternative opérationnelle à cette exigence pour ce type de traitement.
| Critère | Consentement | Intérêt légitime |
|---|---|---|
| Applicable au remarketing (suivi comportemental) | Oui, base légale valide | À qualifier avec conseil juridique hors traceurs publicitaires |
| Applicable au ciblage par liste CRM (B2B, cas très encadrés) | Oui | Possible dans des conditions très strictes, arbitrage conseil |
| Position pratique | Exige un accord préalable pour la publicité comportementale | Pas un raccourci pour le ciblage personnalisé avec ces technologies |
| Risque en cas d’usage erroné | Sans objet | Risque juridique, listes réduites ou limitées |
Pour les cas limites (prospection B2B, contacts existants hors comportement de navigation), l’arbitrage appartient à votre conseil juridique. Cette page décrit la position réglementaire dominante, pas les cas d’espèce.
Customer Match et RGPD : quelle base légale pour importer vos listes CRM dans Google Ads ?
L’import de listes e-mails ou de numéros de téléphone depuis votre CRM vers Customer Match est un traitement de données personnelles à part entière, soumis à ce règlement. Ce point est souvent mal compris : le hachage SHA-256 peut être fait par vous ou par Google ; il sécurise le rapprochement, mais ne remplace pas la base légale ni le consentement requis.
En pratique, le consentement explicite de vos contacts pour cette utilisation spécifique, le ciblage publicitaire sur les plateformes Google, est le scénario le plus robuste. Des cas B2B très encadrés peuvent invoquer l’intérêt légitime, mais c’est un arbitrage qui appartient à votre conseil, pas à votre consultant publicitaire.
Ce que ça change dans l’opérationnel : si votre liste CRM ne contient pas de base documentée pour le ciblage publicitaire tiers, ne l’importez pas sans validation juridique. La taille de la liste ou son ancienneté ne changent rien à cette obligation. Pour aller plus loin sur l’exploitation du first-party dans un environnement sans cookies, voyez cookieless et first-party data.
Quelles catégories de données sont interdites au ciblage publicitaire même avec consentement ?
Certaines informations sont hors-jeu indépendamment du consentement ordinaire. L’article 9 du RGPD qualifie de données sensibles : l’état de santé, l’orientation sexuelle, l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques, les éléments biométriques et génétiques. Leur traitement à des fins publicitaires est interdit ou soumis à un niveau d’exigence radicalement plus élevé que le régime standard.
Google Ads répercute ces interdictions dans ses politiques de publicité : les catégories sensibles sont fortement restreintes ou interdites en ciblage. Vous ne devez pas construire une audience ciblant l’état de santé ou l’orientation sexuelle comme critère publicitaire, que vous ayez ou non un accord ordinaire. Les politiques de la plateforme sur la publicité personnalisée documentent ces restrictions ; le centre de transparence des annonces Google sert surtout de dépôt d’annonces.
Le DSA (Digital Services Act) renforce ces interdictions sur un point : il interdit les annonces ciblées fondées sur le profilage des mineurs et celles fondées sur des données sensibles, avec des obligations de transparence renforcées sur la plateforme. Il n’interdit pas toute publicité visible par des mineurs. Sur ces deux points, les cadres convergent, le DSA ajoutant une couche d’exigence sur la visibilité des pratiques.
Comment auditer la conformité de votre dispositif Google Ads ?
Le respect du cadre se joue dans toute la configuration : captation, recueil des accords, données envoyées, droits utilisateurs et limites techniques.
- Collecte, Que captez-vous, où ? Question de contrôle : listez exhaustivement les signaux que votre dispositif de suivi touche, du tag analytics à l'e-mail haché en passant par l'ID utilisateur et les paramètres d’URL.
- Consentement, Recueilli comment, transmis où ? Le double parcours (bannière et outils analytics) que vous réglez quand vous choisissez et configurez votre CMP. Question de contrôle : testez le refus, vérifiez que ces balises ne se chargent pas en basic ou n’envoient que des données limitées en advanced.
- Transmission, Quelles informations sortent, vers qui ? La liste blanche du poste de douane, là où vous décidez quelles variables user data partent en server-side. Question de contrôle : passez le trafic en proxy et vérifiez les payloads sortants contre votre liste blanche.
- Droits, Pouvez-vous retrouver et effacer ? Question de contrôle : si un utilisateur exerce son droit d’effacement, savez-vous ce que vous avez transmis à la plateforme et comment déclencher la suppression côté compte publicitaire ?
Quatre maillons, les mêmes que le suivi, parce que c’est le même objet vu de deux fenêtres.
Et un réflexe pour la suite : chaque nouvelle fonctionnalité de tracking publiée par la plateforme encode une obligation, comme pour toutes les fonctionnalités du compte. Demandez-vous d’abord laquelle : vous comprendrez la feature produit plus vite que par sa fiche marketing.
Le droit pousse d’un côté ; la technique érode de l’autre, en parallèle, quand les cookies tiers cèdent sur vos sites face à ITP et ATT, c’est la même chaîne qui se reconfigure.
Le point de vigilance : cette page décrit un cadre général ; les textes s’interprètent, la jurisprudence bouge, et les autorités nationales (la CNIL pour la France) publient des lignes directrices qui précisent l’application. La carte doit être relue avec votre conseil juridique.
Taux d’acceptation et risques de non-conformité
Le respect de ce cadre a des effets mesurables sur vos performances et sur votre exposition aux sanctions.
Quel est l’impact concret d’un faible taux d’acceptation sur les performances publicitaires ?
Un faible taux d’acceptation réduit les conversions observées et peut affaiblir les signaux utilisés par Smart Bidding. C’est à la fois un sujet juridique, d’attribution et de pilotage.
En mode advanced, Google peut modéliser une partie des conversions manquantes à partir de pings sans cookie, sous conditions de volume et de confidentialité. Cette modélisation ne récupère pas la totalité de ce qui est perdu, et sa fiabilité décroît quand le taux de refus est très élevé ou quand les volumes sont faibles.
Ce que ça change dans la pratique : un compte avec un faible taux d'acceptation et le mode basic activé donne à Smart Bidding une vision tronquée de ses résultats, sans que l’algorithme sache nécessairement ce qu’il manque. L'autre réglage, combiné à une CMP qui maximise ce taux légitimement, sans dark patterns, est la réponse technique, traitée en détail dans Consent Mode v2 basic ou advanced.
Les bloqueurs ajoutent une perte technique distincte : les adblockers peuvent bloquer vos balises de suivi avant même que la bannière s'affiche. Le routage en first-party réduit une partie du problème, sans tout récupérer. Les pertes liées aux refus et aux bloqueurs se cumulent sur le même compte.
Quelles sont les sanctions encourues en cas de non-conformité RGPD et DMA pour un annonceur ?
Les deux régimes ne vous exposent pas aux mêmes risques. Distinguer les niveaux évite de se faire peur inutilement, ou de sous-estimer le risque réel.
Votre risque direct : l’article 83 du texte prévoit deux niveaux d’amendes administratives. Le premier (violations procédurales, mesures techniques insuffisantes) : jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. Le second (violations des principes fondamentaux, droits des personnes, transferts illicites) : jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial annuel. C'est la CNIL qui prononce ces sanctions.
Règlement sur les marchés numériques, votre risque indirect : ce texte prévoit des amendes jusqu’à 10 % du CA mondial (20 % en cas de récidive), mais elles s’appliquent aux gatekeepers (Google, Meta…), pas à vous. En tant qu’annonceur, vous n’êtes pas directement exposé à ces sanctions-là.
Votre risque indirect est ailleurs : si la plateforme juge que votre implémentation du Consent Mode ne respecte pas ses politiques, certaines fonctions de suivi, d’audience ou de personnalisation peuvent être limitées. Ce risque opérationnel est souvent plus immédiat que celui d'une sanction CNIL pour une PME, même s’ils ne s’excluent pas.
La combinaison des deux : un manquement grave au premier texte peut déclencher une enquête de l'autorité française ET une suspension côté plateforme. Les deux canaux agissent indépendamment.
- Le règlement général exige une base légale pour tout traitement ; les balises de publicité nécessitent généralement un accord valide.
- Les obligations des gatekeepers et les règles de la plateforme expliquent une partie des exigences Consent Mode v2 côté compte.
- Votre stack technique traduit ces contraintes. Chaque réglage encode une décision de captation ou de transmission.
- Ça s’audite comme un système (captation, accord, transmission, droits), pas comme une bannière.
- Cette page donne la carte : les arbitrages de base légale, mentions et registres appartiennent à votre conseil juridique.
Le choix à faire
Une session avec votre conseil juridique, préparée avec votre documentation technique, la chaîne, les flux, la liste blanche et les parcours testés : c’est l’audit qui compte pour votre stratégie, celui où le juriste voit le système au lieu de la bannière.
De votre côté, la discipline est déjà en place si vous avez suivi la branche : données transmises, hachage, tri des sorties, droits et preuves. La conformité se joue dans cette architecture, au-delà du texte de la bannière.
