Emailing, pixels, retargeting : le RGPD que les marketeurs ignorent

C'est la croyance la plus répandue chez les freelances et agences marketing : le RGPD concernerait le client, propriétaire des données, pas le prestataire qui se contente d'exécuter. La réalité juridique est plus nuancée et bien plus exposante.

Le RGPD distingue le responsable de traitement (qui décide des finalités) et le sous-traitant (qui traite pour le compte d'un autre). Or un consultant marketing actif n'est presque jamais un pur exécutant passif : quand vous choisissez de cibler telle audience, de configurer un pixel, d'importer un fichier dans un outil d'emailing ou de décider quelles données collecter dans un formulaire, vous participez aux moyens du traitement. À ce titre, vous engagez votre propre responsabilité, et le contrat de sous-traitance impose des obligations précises que beaucoup de prestataires n'ont jamais formalisées.

Surtout, même si la CNIL sanctionne d'abord le responsable de traitement, rien n'empêche ce dernier de se retourner contre vous — c'est l'action récursoire — en invoquant votre faute professionnelle.

Trois pratiques courantes concentrent l'essentiel du risque réglementaire :

1. Les bases d'emails « toutes faites »

Acheter ou récupérer un fichier de prospects B2C pour une campagne d'emailing est, en l'état du droit, presque toujours illicite : la prospection commerciale par email vers des particuliers exige un consentement préalable et spécifique, qu'une base achetée ne fournit jamais. Le consultant qui importe et exploite ce fichier devient complice opérationnel de l'infraction.

2. Le pixel et les cookies déposés trop tôt

Le pixel Meta, le tag Google Ads ou les cookies de mesure ne peuvent être déclenchés qu'après le recueil du consentement de l'internaute. Un pixel qui se charge dès l'arrivée sur la page, avant tout clic sur la bannière cookies, est une infraction que la CNIL contrôle activement — et c'est souvent le consultant qui a posé le tag.

3. Le retargeting et les audiences personnalisées

Téléverser une liste d'emails clients dans une plateforme publicitaire pour créer une audience similaire est un traitement à part entière. Sans base légale et sans information des personnes, l'opération est irrégulière, quand bien même elle est techniquement triviale.

Trois textes encadrent votre activité au quotidien :

Les sanctions de la CNIL peuvent atteindre des montants considérables pour le responsable de traitement. Mais pour vous, prestataire, le risque tangible n'est pas tant l'amende directe que la mise en cause par votre client, qui vous reprochera de l'avoir exposé.

Imaginez une campagne d'emailing sur une base non consentie qui déclenche une vague de plaintes, puis un contrôle CNIL. Le client subit la sanction, l'atteinte à son image, et la perte de sa base devenue inexploitable. Sa réaction : se retourner contre le prestataire qui a conçu et lancé la campagne.

Le consultant marketing n'a pas besoin d'être visé directement par la CNIL pour payer. Il suffit que son client, lui, le soit — et qu'il estime que le prestataire l'a mal conseillé.

S'ajoute une dimension de sécurité : un consultant qui manipule des fichiers de prospects, des accès aux plateformes publicitaires et des comptes clients détient des données sensibles. Une fuite, un fichier mal stocké ou un compte publicitaire piraté ajoutent un risque de violation de données dont il peut être tenu pour partie responsable. Et depuis le RGPD, toute violation de données à caractère personnel susceptible d'engendrer un risque pour les personnes doit être notifiée à la CNIL sous 72 heures : un délai qui transforme une simple négligence technique en course contre la montre coûteuse.

La question de votre statut exact n'est pas un détail théorique : elle détermine l'étendue de vos obligations et, en cas de contrôle, le montant maximal de l'amende encourue. Trois configurations existent.

• Simple sous-traitant. Vous traitez strictement sur instruction documentée du client, sans décider des finalités. Un contrat de sous-traitance (article 28 du RGPD) est alors obligatoire ; sans lui, vous êtes déjà en infraction, indépendamment de la campagne elle-même.
• Responsable conjoint. Vous codécidez des finalités et des moyens — par exemple en proposant la stratégie de ciblage et en choisissant les données collectées. Vous partagez alors la responsabilité pleine et entière avec le client.
• Responsable autonome. Pour vos propres fichiers (vos prospects, votre newsletter), vous êtes seul responsable de bout en bout.

Dans la pratique, un consultant marketing actif glisse très souvent du statut de sous-traitant vers celui de responsable conjoint sans s'en rendre compte, simplement parce qu'il apporte son expertise sur le « quoi cibler » et pas seulement sur le « comment exécuter ». Cette requalification, c'est exactement ce que cherchera à démontrer la CNIL — ou le client en quête d'un coresponsable à mettre en cause.

Quelques réflexes réduisent fortement l'exposition :

• Refusez les bases d'emails douteuses et exigez la preuve du consentement avant toute campagne.
• Configurez le consentement avant les tags : aucun pixel ni cookie publicitaire ne doit se déclencher avant le clic d'acceptation.
• Formalisez un contrat de sous-traitance RGPD avec chaque client : il clarifie qui décide quoi et limite votre responsabilité.
• Documentez vos recommandations : si vous avez écrit au client que sa base était risquée et qu'il a passé outre, votre faute s'efface.

Côté assurance, le sujet est à cheval sur deux garanties. La RC Pro couvre la faute de conseil et le litige avec le client mécontent. Le volet cyber risque prend en charge les conséquences d'une violation de données : fuite de fichier prospects, piratage d'un compte client, frais de notification et de gestion de crise. Pour un consultant qui orchestre campagnes et données au quotidien, vérifiez sur la page métier web marketing que ces deux dimensions sont bien couvertes — l'une sans l'autre laisse un angle mort.