Affiliation : attribuer une vente après un refus

Un acheteur refuse les traceurs, puis commande un produit présenté par un partenaire. L’entreprise souhaite payer l’affilié sans perdre la vente dans ses statistiques. Le refus ne donne pas le droit de reconstruire discrètement le parcours par une autre technique. Il oblige à distinguer les preuves encore disponibles, leur licéité et les règles de rémunération prévues au contrat.

L’enjeu n’est pas seulement de remplacer un cookie. Il faut choisir ce que le programme mesure réellement : un parcours individuel, l’utilisation d’un code public, un résultat agrégé ou une prestation de publication rémunérée indépendamment des ventes. Ces mécanismes n’apportent pas la même information et ne présentent pas les mêmes contraintes.

Le besoin de facturer ne crée pas une exemption

L’article 82 de la loi Informatique et Libertés encadre les accès et inscriptions d’informations dans le terminal. Il prévoit un consentement préalable, sauf les exceptions relatives à la communication électronique ou à ce qui est strictement nécessaire au service demandé expressément par l’utilisateur.

La FAQ de la CNIL, question 13, précise que les traceurs servant à facturer l’affiliation ne bénéficient pas de ces exceptions du seul fait de cette finalité. La rémunération du partenaire répond au besoin des entreprises, sans constituer pour autant le service demandé par l’internaute.

Le Conseil d’État, 8 avril 2022, n° 452668, points 13 et 14, confirme cette distinction. Le financement du site ou la viabilité économique du partenariat ne suffisent pas à rendre ces traceurs nécessaires au service demandé. Leur finalité diffère aussi de celle d’une mesure d’audience susceptible de bénéficier d’une exemption.

Concrètement, renommer le cookie « facturation », « partenaire » ou « technique » ne change pas ce qu’il fait. Le responsable doit expliquer les informations écrites ou lues, les destinataires et les opérations permises par l’identifiant. L’analyse part de ce fonctionnement, puis du texte applicable.

Distinguer l’affiliation ordinaire du cashback demandé

Le point 14 de cette même décision traite une autre situation : l’internaute s’inscrit à un service de remboursement ou de récompense et utilise le parcours prévu pour bénéficier d’un avantage lié à son achat. Les traceurs strictement nécessaires à ce service expressément demandé peuvent relever de l’exemption, même s’ils servent également à rémunérer les éditeurs.

Cette différence ne permet pas de transformer toute affiliation en cashback par une phrase dans les CGV. Il faut un service réellement demandé et un dispositif nécessaire à sa fourniture. Ajouter une finalité de profilage publicitaire à ce parcours exige son propre examen ; l’avantage accordé ne couvre pas automatiquement tous les usages.

La question 14 de la FAQ CNIL reprend cette distinction. Pour le dossier de conformité, conservez la description du service, la demande de l’utilisateur et la justification des opérations nécessaires. Si le seul avantage du mécanisme revient à l’affilié, ce dossier n’est pas celui d’un service de cashback rendu à l’acheteur.

Examiner chaque mécanisme proposé après le refus

L’identifiant transmis dans une URL mérite un examen complet. Est-il identique pour tous les visiteurs du partenaire ou propre à une personne ? Est-il enregistré durablement dans le navigateur ? Un outil tiers reçoit-il la page, l’identifiant et d’autres informations permettant un rapprochement ? Le simple constat « pas de cookie visible » ne répond pas à ces questions.

Les paramètres UTM et données personnelles demandent la même discipline : évitez d’y placer une adresse électronique, un numéro de client ou une information sensible. Une donnée incluse dans l’URL peut se retrouver dans plusieurs journaux et outils, bien au-delà du calcul initialement prévu.

Concevoir un code partenaire sans promettre trop

Un code public commun, par exemple RIVE10, peut être saisi volontairement au moment de l’achat. Le commerçant peut décider contractuellement d’attribuer les commandes utilisant ce code au partenaire correspondant. Cela reste une règle de rémunération, pas la démonstration que tous ces acheteurs ont lu sa publication ou cliqué sur son lien.

Décrivez l’implémentation retenue. Le code est-il saisi par la personne ou injecté automatiquement par une redirection ? Est-il partagé publiquement ou individualisé ? Déclenche-t-il un appel à une plateforme de suivi ? Sert-il uniquement à appliquer l’offre et calculer la commission, ou aussi à alimenter des audiences ? Chaque réponse peut modifier l’analyse.

Un code public n’est donc pas une certification de conformité. Rattaché à une commande identifiable, son usage appartient au dossier d’une personne. Les principes et bases de licéité des Art. 5(1) et 6(1) du RGPD restent applicables. Limitez les usages, les destinataires et la durée à ce qui est justifié.

Une difficulté commerciale doit aussi être anticipée : le code peut circuler sur un site de bons plans sans intervention du partenaire initial. Le contrat choisit comment traiter ce cas. Ne corrigez pas cette incertitude en cherchant, après un refus, à réidentifier secrètement l’utilisateur entre plusieurs sites.

Lire correctement un relevé d’attribution incomplet

Voici un exemple fictif, destiné à expliquer les indicateurs. La boutique Rivage comptabilise 36 commandes pendant une campagne. Son programme distingue des codes partenaires saisis à la commande et des parcours mesurés avec un consentement valablement recueilli. La licéité de chaque mécanisme est supposée préalablement établie ; le tableau ne la démontre pas.

Les règles de priorité évitent qu’une commande avec code et traceur soit payée deux fois. Le tableau retient le code en priorité dans ce scénario ; c’est un choix contractuel, pas une règle légale universelle. Les 15 commandes restantes attribuées représentent environ 44,1 % des 34 commandes restantes.

Ce pourcentage mesure la couverture de l’attribution selon les règles choisies. Il ne mesure ni l’efficacité causale du partenaire ni le taux d’acceptation des cookies. Les 19 autres commandes peuvent provenir de sources variées ; il serait faux de les appeler « ventes perdues à cause du refus ». Elles ont été réalisées, mais leur rattachement n’est pas établi.

Supposons que les assiettes restantes soient de 1 400 € HT pour les commandes avec code et 600 € HT pour les autres commandes attribuées. Au taux convenu de 8 %, la commission totale est de 160 €, sous les hypothèses du dossier. Le relevé peut présenter ces deux assiettes, le taux, les corrections et le résultat, sans exposer les noms des acheteurs.

L’analyse du retail media et de la mesure des ventes aide à distinguer résultats observés et effets attribués à une campagne. Un tableau précis sur sa couverture est plus utile qu’une estimation présentée comme une certitude.

Préparer une preuve compatible avec les droits

Le partenaire doit pouvoir comprendre sa rémunération et contester une correction. Cela n’exige pas automatiquement le panier complet, l’adresse de livraison ou le courriel du client. Une référence d’opération, l’assiette, le taux et le motif de régularisation peuvent suffire au premier niveau d’examen.

Lorsque la référence permet de retrouver une personne, elle demeure une donnée personnelle. La limitation de la conservation prévue par l’Art. 5(1)(e) oblige à distinguer le rapprochement courant, les justificatifs de paiement et un éventuel litige identifié. « Pendant la durée du programme » ne justifie pas nécessairement toutes les traces détaillées du navigateur.

Documentez aussi les rôles des entreprises et prestataires. Un intermédiaire qui détermine ses propres finalités ne devient pas un simple exécutant parce que le contrat le désigne ainsi. L’information des personnes doit refléter les destinataires et usages réels ; la preuve commerciale ne constitue pas un motif de dissimulation.

Le contrat d’affiliation et les commissions doit prévoir les ventes non attribuées, les retours, les doublons et les contestations. Il peut combiner une part fixe et une part variable, lorsque ce choix est adapté et licite. Une rémunération forfaitaire ne prouve toutefois pas l’absence de suivi : il faut réellement retirer les opérations devenues inutiles.

Vérifier le refus dans toute la chaîne technique

Avant lancement, établissez une fiche de contrôle pour les différents états : aucun choix encore exprimé, refus, acceptation puis retrait, code saisi après refus et éventuel parcours de cashback distinct. Ce sont des scénarios à vérifier, pas des résultats annoncés pour un site particulier.

Pour chaque scénario, examinez les écritures et lectures du terminal, les requêtes envoyées, les redirections, les identifiants conservés et les événements reçus côté serveur. Contrôlez aussi le comportement après actualisation de la page et lors du retour ultérieur de l’utilisateur. Un bouton qui enregistre « refusé » dans l’interface ne démontre pas que tous les outils respectent ce choix.

La CNIL rappelle que le consentement requis précède le dépôt ou la lecture et doit pouvoir être retiré simplement. La conformité des cookies doit donc couvrir les dépendances du programme, y compris celles chargées par un gestionnaire de balises ou un partenaire.

Si un suivi soumis au consentement fonctionne malgré le refus, arrêtez ce flux et corrigez la configuration avant de le réactiver. Examinez séparément le sort des données déjà recueillies et les mesures nécessaires. Une anonymisation tardive du tableau final ne prouve pas que la collecte initiale était licite.

Ce qu’il faut retenir

• La facturation d’affiliation ne crée pas d’exemption générale aux traceurs.
• Le cashback expressément demandé relève d’une analyse distincte et limitée.
• Un code public mesure son utilisation ; il ne prouve pas tout le parcours.
• Documentez les ventes sans attribution sans les assimiler à des ventes perdues.
• Faites correspondre le contrat, les preuves et le comportement technique au choix de l’internaute.

FAQ

Un identifiant côté serveur peut-il remplacer le cookie refusé ?

Son emplacement ne constitue pas une autorisation. Il faut examiner la collecte, les rapprochements, les finalités et les règles applicables ; déplacer le suivi ne suffit pas à respecter le refus.

Un code promotionnel impose-t-il toujours un consentement publicitaire ?

Pas par son seul nom. La saisie d’un code public, un identifiant individualisé et un code déclenchant des traceurs correspondent à des fonctionnements différents, à qualifier précisément.

Peut-on payer un partenaire lorsqu’une vente n’est pas attribuable ?

Une rémunération peut être organisée autrement si le contrat et le régime applicable le permettent. Il faut alors décrire la prestation ou la règle retenue, sans inventer une preuve de parcours pour justifier le paiement.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.