Google Ads : encadrer les conversions avancées

Activer les conversions avancées ne consiste pas seulement à améliorer un compteur. L’entreprise transmet des informations clients afin de rapprocher une conversion d’une interaction publicitaire. Le DPO doit comprendre quelles données quittent le parcours et quelles conditions commandent cet envoi.

Décrire le flux de rapprochement

La documentation Google sur les conversions avancées décrit l’utilisation d’informations fournies par les clients, notamment des coordonnées hachées, pour compléter la mesure. Le hachage ne rend pas anonymes des données destinées à être rapprochées de comptes ; voir pseudonymisation et anonymisation.

Distinguez la donnée nécessaire à la commande de sa transmission pour la mesure publicitaire. L’adresse utile à la livraison ne devient pas automatiquement disponible pour tous les traitements publicitaires.

Le présent guide traite principalement du parcours de conversion sur le site. Le rapprochement d’une vente conclue plus tard dans le CRM exige un contrôle complémentaire au moment de l’import. Google annonce désormais un réglage unifié pour les conversions avancées web et prospects ; cette unification du produit ne supprime pas la différence entre vos circuits de collecte. Source : documentation des conversions web.

Séparer les trois niveaux d’autorisation

Le premier concerne le terminal. En France, l’Art. 82 de la loi Informatique et Libertés encadre les lectures et écritures d’informations sur l’équipement. La mesure publicitaire ne bénéficie pas automatiquement des exemptions prévues pour la communication ou le service expressément demandé. Décrivez les opérations réalisées et recueillez le consentement requis avant leur exécution. Le guide des cookies et traceurs détaille cette décision préalable.

Le deuxième concerne les données personnelles. Le rapprochement publicitaire doit avoir sa finalité, sa base légale et une information compréhensible. Le contrat de vente ne rend pas cette transmission nécessaire à la livraison de l’achat. Si vous retenez le consentement, sa portée doit couvrir le traitement envisagé, sa preuve être disponible et son retrait fonctionner. L’accord à une newsletter ne démontre pas nécessairement cet accord distinct. Sources : Art. 5(1)(b), 6(1) et 7.

Le troisième concerne les conditions du fournisseur. Accepter les conditions dans le compte publicitaire est un engagement de l’annonceur. Ce geste ne constitue pas le consentement du visiteur. Inversement, un accord valable du visiteur n’autorise pas une transmission interdite par le produit, notamment pour les catégories de conversions que Google exclut.

Établir une fiche d’autorisation d’envoi

Les règles Google sur les données clients prévoient notamment information et consentement lorsque requis. Elles complètent les obligations légales ; elles ne remplacent pas votre analyse de licéité.

La politique du produit prévoit aussi des restrictions concernant l’origine des données, les catégories sensibles et les interfaces d’envoi autorisées. Son périmètre de catégories sensibles ne se confond pas exactement avec l’Art. 9 du RGPD. Ne choisissez donc pas une conversion interdite par cette politique en supposant que le hachage ou une case supplémentaire résoudra le problème.

Exemple renseigné pour une papeterie en ligne

Dans cet exemple fictif, la papeterie mesure une commande confirmée, après paiement. Elle propose aussi une livraison à un tiers. Le projet prévoit l’usage de l’email fourni par l’acheteur pour le rapprochement ; il n’inclut ni la coordonnée du destinataire du cadeau ni le message personnel ajouté à la commande.

L’équipe retient ici le consentement pour ce traitement de mesure avec rapprochement. Cette hypothèse doit devenir une information et un choix valables dans le parcours réel ; le tableau ne les remplace pas.

La distinction entre acheteur et destinataire est déterminante. La présence de deux emails sur une page ne permet pas au connecteur de prendre arbitrairement le premier. L’équipe doit désigner le champ source et vérifier ce qui est effectivement extrait après personnalisation de la page. Une refonte du formulaire ou un nouveau module de livraison peut modifier cette correspondance.

Cette fiche est un exemple de décision métier, pas une configuration déjà éprouvée sur Google Ads. Elle ne promet aucun taux de rapprochement. Si les coordonnées ne sont pas disponibles dans le périmètre autorisé, on ne complète pas le dossier avec des données provenant d’un autre usage simplement pour augmenter le nombre d’événements mesurables.

Contrôler la propagation des choix

Examinez les règles relatives aux traceurs ainsi que le fondement RGPD du traitement. La politique européenne de consentement Google ajoute des engagements contractuels à respecter selon les usages, notamment pour la personnalisation publicitaire. Ne réduisez pas tous les choix à un unique champ « cookies acceptés » sans vérifier les finalités couvertes.

Le guide Google Ads et RGPD donne le cadre général. Ici, le contrôle porte sur la requête effectivement envoyée : un refus dans le navigateur doit être pris en compte par le connecteur lorsque l’envoi dépend du consentement concerné.

Dans la documentation technique de Consent Mode, Google distingue notamment ad_storage, ad_user_data et ad_personalization. Le premier concerne le stockage publicitaire, le deuxième l’envoi de données utilisateur pour la publicité, le troisième la personnalisation. Google indique qu’un état ad_user_data refusé désactive la collecte concernée, dont les données hachées des conversions avancées. Ces signaux techniques doivent traduire des choix effectivement recueillis ; leurs noms ne définissent pas à eux seuls une information juridique suffisante.

Ne confondez pas « conversions avancées » et mode de consentement « avancé ». Ce dernier peut, selon la documentation, transmettre des mesures sans cookies lorsque le choix est refusé. L’absence de cookies n’est donc pas synonyme d’absence d’envoi. Le présent contrôle des coordonnées hachées ne vaut pas validation des autres requêtes : celles-ci doivent être examinées dans leur propre périmètre.

Le responsable marketing définit les usages recherchés ; la personne qui configure le site traduit les conditions de déclenchement ; le DPO conseille sur le cadre et la preuve. N’attribuez pas au seul intégrateur la décision de savoir quels usages commerciaux sont autorisés. Un paramètre forcé à « accordé » pour supprimer une alerte technique ne démontre aucun choix du visiteur.

Vérifier le parcours avant activation

Avec des données fictives, observez les cas acceptation, refus, retrait et choix absent. Contrôlez les formulaires multiples, les changements de page et les reprises d’événements en attente. Une réussite technique ne prouve pas que les bons champs ont été transmis dans le bon contexte.

Pour les ventes importées après la collecte initiale, appliquez aussi le guide des conversions hors ligne, qui impose de réexaminer l’éligibilité à la date de l’export.

La réception attendue du parcours

Pour la papeterie, préparez des identités de démonstration distinctes pour l’acheteur et le destinataire. Le contrôle doit permettre d’établir quel champ est sélectionné, à quel moment et avec quel état de choix. Évitez d’utiliser une vraie commande d’un salarié comme raccourci de recette.

Sans choix exprimé, les coordonnées destinées au rapprochement ne doivent pas partir dans le scénario proposé. Après un accord valable, seul le champ retenu doit être utilisé pour l’événement défini. Après refus ou retrait, aucune reprise en attente ne doit transmettre ces coordonnées sur la base d’un ancien état. Vérifiez également le retour depuis la page de paiement et l’ouverture d’un second onglet : ils peuvent suivre des chemins techniques différents sans constituer de nouveaux consentements.

Documentez les observations attendues puis les résultats réellement obtenus : version du parcours, configuration examinée, requête pertinente et anomalie éventuelle. Un indicateur de bon fonctionnement affiché par le fournisseur ne prouve pas que votre choix de données était licite. À l’inverse, une absence de conversion attribuée ne démontre pas à elle seule qu’aucune donnée n’a été envoyée.

Traiter un écart avant de relancer

Si l’email du destinataire est sélectionné ou si les coordonnées partent malgré le refus, désactivez le flux concerné. Corrigez la source ou la condition, puis reprenez les parcours de contrôle avant sa réactivation. Ne vous limitez pas à masquer l’alerte ou à retirer une colonne du rapport : l’objectif est d’empêcher la transmission incorrecte.

Si des données réelles ont déjà été transmises, déterminez lesquelles, à qui et pendant quelle période. Examinez les mesures de suppression ou de restriction nécessaires avec le prestataire et qualifiez l’incident ; une atteinte à la sécurité peut appeler l’analyse prévue aux Art. 33 et 34, sans notification automatique de toute erreur de mesure. Source : violations de données.

Le retrait ne rend pas rétroactivement illicites les opérations valablement réalisées avant lui. Il oblige cependant à arrêter les traitements concernés pour l’avenir et à examiner le sort des données conservées, notamment selon l’Art. 17(1)(b), lorsqu’il n’existe pas d’autre fondement. Un changement de paramètre ne doit pas être présenté comme une suppression prouvée de toutes les copies déjà détenues par les acteurs. Source : droit à l’effacement.

Ce qu’il faut retenir

• Cartographiez événement, identifiants et destinataire.
• Le hachage ne dispense pas du RGPD.
• Vérifiez les choix jusque dans la transmission réelle.

FAQ

Une case d’acceptation des conditions Google suffit-elle ?

Non. Elle engage l’annonceur envers le fournisseur ; elle ne recueille pas à sa place les choix requis auprès des personnes.

Peut-on envoyer tous les champs disponibles ?

Non. Sélectionnez ceux nécessaires au traitement licite et autorisés par les règles applicables au produit.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.