Poser un pixel sans risquer la CNIL : le guide du traffic manager

Beaucoup de traffic managers raisonnent encore comme si poser un pixel Meta ou un tag de remarketing Google relevait du même geste que créer une campagne : un paramétrage parmi d'autres. C'est l'erreur de cadrage la plus coûteuse du métier.

Un pixel publicitaire dépose ou lit des informations sur le terminal de l'internaute, à des fins qui ne sont pas strictement nécessaires au service demandé. À ce titre, il tombe sous le régime du consentement préalable issu de la directive ePrivacy et précisé par les lignes directrices de la CNIL. Traduction concrète : tant que l'internaute n'a pas dit « oui », le pixel ne doit pas se déclencher. Pas « se déclencher en attendant », pas « se déclencher puis s'effacer ». Ne pas se déclencher du tout.

Le consentement n'est pas une formalité d'affichage. C'est la condition juridique d'existence du tracking. Sans lui, chaque déclenchement est une collecte illicite.

Cette bascule de cadre change tout pour vous : le jour où vous posez le tag, vous n'exécutez pas seulement une tâche technique, vous mettez en œuvre un traitement de données personnelles pour le compte d'un responsable de traitement — votre client.

Une pose de pixel conforme n'est pas un événement, c'est une chaîne. Si un seul maillon cède, l'ensemble est non conforme, quelle que soit la perfection des autres. Voici les maillons que vous devez vérifier avant de considérer un tracking comme « propre » :

• Une CMP réellement bloquante. Le bandeau de consentement (Consent Management Platform) doit empêcher techniquement le déclenchement des tags non essentiels tant que le choix n'est pas fait. Un bandeau purement décoratif, qui informe mais ne bloque rien, n'a aucune valeur.
• Refuser aussi simple qu'accepter. Le bouton « Tout refuser » doit être accessible au même niveau que « Tout accepter ». Un parcours de refus plus long ou caché est une pratique sanctionnée.
• Le déclenchement conditionné dans le tag manager. Chaque tag publicitaire doit avoir une condition de déclenchement liée au statut de consentement, pas un déclenchement « toutes pages ».
• La durée de vie des traceurs. La CNIL recommande une durée de vie des cookies n'excédant pas 13 mois, et un consentement à renouveler dans des délais raisonnables.
• La traçabilité de la preuve. Le consentement (ou son refus) doit être horodaté et conservé pour pouvoir être prouvé en cas de contrôle.

Ce dernier point est souvent négligé : ce n'est pas votre rôle de stocker la preuve, mais c'est votre rôle d'alerter le client si la chaîne ne la produit pas.

Le Consent Mode v2 de Google est devenu une condition d'accès à certaines fonctionnalités d'audience et de mesure. Beaucoup de traffic managers l'activent en pensant cocher une case de conformité. C'est une lecture dangereuse.

Le Consent Mode est un mécanisme qui ajuste le comportement des tags Google en fonction des signaux de consentement que la CMP lui transmet. En mode « avancé », les tags se chargent dès le départ et adaptent ensuite leur collecte. En mode « basique », ils ne se chargent qu'après consentement. Le choix entre les deux a des implications juridiques directes, et le mode avancé suppose une configuration et une information de l'internaute particulièrement soignées.

Le piège : activer le Consent Mode v2 ne rend pas un site conforme à lui seul. Il faut toujours une CMP correctement reliée, des signaux transmis fidèlement, et une information loyale de l'internaute. Un traffic manager qui annonce au client « c'est bon, j'ai activé le Consent Mode, vous êtes en règle » s'expose à une réclamation directe le jour où la CNIL démontre que les signaux n'étaient pas correctement câblés.

Face à la perte de signal causée par les blocages de cookies, le tracking côté serveur (server-side, via l'API Conversions de Meta ou un conteneur GTM serveur) s'est généralisé. Il est techniquement plus robuste : la donnée transite par votre serveur avant d'atteindre la régie, ce qui résiste mieux aux bloqueurs.

Attention au contresens fréquent : passer en server-side ne dispense pas du consentement. Le fait que la collecte ne se fasse plus directement dans le navigateur ne change rien au principe : si l'internaute a refusé, vous ne devez pas transmettre ses données d'événement à Meta ou Google. Le serveur doit lui aussi respecter le statut de consentement.

Pire : le server-side, parce qu'il est moins visible dans les outils d'inspection grand public, donne un faux sentiment de discrétion. Or la CNIL contrôle aussi ces flux. Un traffic manager qui utilise le tracking serveur pour contourner le consentement ne réduit pas son risque, il l'aggrave, car l'intention de contournement est un facteur aggravant.

Formellement, la CNIL sanctionne le responsable de traitement, c'est-à-dire l'éditeur du site — votre client. Vous pourriez en conclure que le risque ne vous concerne pas. C'est une erreur d'optique.

Le client sanctionné a tout intérêt à se retourner contre le prestataire qui a conçu et posé un tracking non conforme. La séquence est implacable :

1. La CNIL met le client en demeure, puis le sanctionne (avertissement, mise en conformité, voire amende).
2. Le client invoque que la non-conformité résulte directement de votre prestation technique.
3. Il vous réclame le remboursement de la sanction, de ses frais de mise en conformité et de son préjudice d'image.

Vous voilà mis en cause sur un préjudice que vous n'auriez pas imaginé porter. C'est exactement le scénario que couvre la garantie atteinte RGPD : prise en charge de vos frais de défense et de l'indemnisation due au client lorsque la mise en cause découle de votre prestation. Pour les comptes publicitaires et les flux de données que vous administrez, la assurance cyber complète ce socle.

L'assurance intervient quand le risque se réalise. Le contrat, lui, le borne en amont. Trois clauses devraient figurer dans toute mission de traffic management impliquant du tracking :

• La répartition des rôles RGPD. Précisez noir sur blanc que le client reste responsable de traitement et que vous intervenez comme prestataire technique, avec un devoir de conseil mais pas la maîtrise des finalités.
• Le devoir d'alerte formalisé. Indiquez que vous signalez par écrit toute non-conformité constatée (CMP absente, bandeau non bloquant), et que la décision de corriger appartient au client. Une alerte écrite ignorée déplace la responsabilité.
• Le périmètre de la prestation tracking. Distinguez ce que vous configurez (les tags, les conditions de déclenchement) de ce que vous ne maîtrisez pas (le choix de la CMP, l'hébergement de la preuve).

Ce trépied — contrat clair, devoir d'alerte écrit, assurance RC Pro avec extension RGPD — est ce qui sépare un traffic manager exposé d'un traffic manager serein. Le détail des garanties adaptées à votre métier figure sur la page assurance traffic manager.