Pages sensibles : exclure le reciblage publicitaire

Une exclusion de reciblage doit empêcher la transmission publicitaire du parcours sensible, pas seulement empêcher l’affichage d’une annonce. Si une régie reçoit déjà l’identifiant du visiteur, l’adresse de la page et le motif d’une demande, placer ensuite ce visiteur dans une audience « à exclure » ne fait pas disparaître cette collecte.

Pour un responsable marketing ou un DPO, la décision comporte donc trois niveaux : bloquer les événements concernés avant leur envoi, empêcher leur utilisation dans les audiences, puis traiter les données antérieurement transmises. Le contrôle porte sur le navigateur, les échanges serveur et les exports CRM. Voici comment rédiger une consigne applicable par l’agence et l’équipe technique.

Reconnaître une information sensible dans un parcours

L’Art. 9(1) du RGPD couvre notamment les données révélant les opinions politiques, les convictions religieuses, l’appartenance syndicale, la santé ou l’orientation sexuelle. Il ne se limite pas aux champs intitulés « données sensibles ». Un événement associant un identifiant publicitaire à une demande mentionnant une maladie peut relever de cet article, même si le prénom a été retiré. La qualification dépend de l’information révélée sur la personne, et non du nom donné à la variable. RGPD, Art. 9(1).

Une consultation isolée d’un article médical ne permet cependant pas de conclure mécaniquement que le lecteur est malade. Il peut préparer un exposé ou aider un proche. Examinez ce que le flux révèle réellement : contenu consulté, répétition, réponses au formulaire, connexion à un compte et rapprochements réalisés. L’incertitude sur l’inférence n’autorise pas à transmettre d’abord pour discuter ensuite de la qualification.

Les difficultés financières ne sont pas toutes des données relevant de l’Art. 9. Elles peuvent néanmoins exposer une personne et faire l’objet de restrictions contractuelles. La politique de publicité personnalisée de Google vise notamment la santé et les difficultés financières. Pour les produits ou services entrant dans ses catégories sensibles, elle restreint les audiences sélectionnées par l’annonceur, dont les listes de clients. Ce périmètre contractuel doit être examiné séparément de celui du RGPD.

Pourquoi le consentement aux cookies ne suffit pas

Deux questions juridiques se succèdent. L’accès aux informations du terminal ou leur inscription relève de l’Art. 82 de la loi Informatique et Libertés. Le reciblage publicitaire ne devient pas strictement nécessaire au service demandé parce qu’il finance le site. Le consentement requis doit intervenir avant les opérations concernées. Les exceptions prévues par le texte portent sur la communication électronique et le service expressément demandé. Article 82.

Le traitement des données personnelles doit ensuite disposer d’une base légale au titre de l’Art. 6(1). Lorsqu’il porte sur des catégories de l’Art. 9(1), il faut également satisfaire une exception de l’Art. 9(2). L’intérêt légitime ne lève pas, à lui seul, cette interdiction. Le consentement explicite constitue une exception possible, avec ses conditions et limites ; une acceptation générale « publicité personnalisée » ne démontre pas automatiquement un consentement explicite à exploiter une information de santé.

Surtout, la justification d’une collecte pour répondre à une demande n’autorise pas son utilisation publicitaire. Les conditions permettant éventuellement un traitement de santé pour des soins ne constituent pas une permission générale de reciblage. Pour un parcours mêlant informations intimes et acquisition commerciale, renoncer au flux publicitaire peut être la décision la plus simple à exécuter et à démontrer. Le guide des cookies et traceurs détaille le contrôle préalable du consentement ; il ne remplace pas cette analyse supplémentaire.

Une spécification remplie pour un site à plusieurs parcours

Prenons un exemple fictif : Éditions Clairjour vend des ouvrages généralistes et organise des ateliers. Son site comprend une rubrique d’accompagnement du diabète, un formulaire où le visiteur peut expliquer son besoin et une page générale de contact. L’entreprise décide de n’envoyer aucun événement publicitaire issu du parcours santé. Cette règle interne prudente évite de faire dépendre chaque envoi d’une interprétation instantanée du texte saisi.

La décision ne signifie pas que toute visite révèle nécessairement une pathologie. Elle définit une frontière technique contrôlable. L’agence reçoit la spécification suivante, à adapter aux routes et outils réels :

Le responsable éditorial attribue la catégorie du parcours. Le développeur applique la règle dans les composants et échanges concernés. L’agence confirme les destinations publicitaires et les règles d’audience. Le responsable du traitement approuve la décision documentée, avec l’appui du DPO lorsqu’il est désigné.

La fiche doit aussi indiquer ce qui reste nécessaire : recevoir une demande, la transmettre à l’équipe compétente et y répondre. Ces opérations ont leur propre justification, leurs habilitations et leur durée de conservation. Supprimer une balise ne dispense pas d’organiser correctement le formulaire lui-même.

Bloquer avant l’envoi, dans chaque circuit

Une règle fondée uniquement sur l’adresse visible est fragile. La confirmation peut être commune à plusieurs formulaires ; une application peut changer de contenu sans recharger la page ; un événement peut être préparé sur une page puis envoyé plus tard. Transmettez aux composants internes une décision d’éligibilité publicitaire adaptée au parcours, sans exporter son motif sensible à la régie.

N’utilisez pas une nouvelle audience « personnes à protéger » comme substitut au blocage. Pour constituer cette audience chez un tiers, il faudrait encore lui communiquer des éléments. L’exclusion de diffusion et l’absence de collecte répondent à deux besoins différents. Google précise d’ailleurs que ses exclusions de remarketing ne garantissent pas à elles seules l’affichage ou le non-affichage auprès de chaque utilisateur ; cette fonctionnalité n’est pas une preuve d’absence de transmission.

Les échanges serveur demandent un contrôle distinct. Un connecteur peut envoyer un événement de conversion depuis le CRM alors que la balise du navigateur est bloquée. La décision doit donc accompagner l’opération jusqu’aux files d’envoi, reprises automatiques et exports concernés. Le guide des journaux du suivi serveur aide à déterminer quelles traces conserver pour comprendre ces échanges sans enregistrer inutilement les contenus sensibles.

Remplacer « diabète » par « catégorie A » ne résout rien si le destinataire dispose de la correspondance ou déduit le sens du contexte. Hacher l’adresse électronique ne rend pas davantage anonyme un flux destiné à reconnaître une personne. La minimisation prévue par l’Art. 5(1)(c) doit se traduire dans les données réellement communiquées, pas seulement dans leur présentation.

Recevoir la configuration avec des preuves exploitables

La réception consiste à comparer la spécification aux sorties effectives, avec des données fictives. L’équipe technique examine les requêtes du navigateur, les événements sortants du serveur et les opérations des connecteurs. Une capture de l’écran des audiences ne couvre pas ces trois niveaux.

Pour Clairjour, le dossier de réception doit montrer le parcours santé après refus des traceurs, puis après acceptation : l’exclusion choisie reste applicable dans les deux situations. Il doit couvrir l’envoi du formulaire, la confirmation et le retour sur la page générale. Il faut également examiner une transmission différée et une nouvelle rubrique non classée. Il s’agit de résultats attendus dans cet exemple, pas d’essais que nous aurions réalisés.

Consignez la version de configuration, le parcours, la destination observée et la conclusion. « Aucune requête publicitaire observée sur le navigateur » laisse encore le serveur à contrôler. « Connecteur non examiné » constitue une réserve, pas un résultat favorable. Les événements TikTok illustrent l’importance des propriétés et adresses transmises ; les mêmes questions doivent être posées à chaque destinataire effectivement utilisé.

Si un événement interdit part encore, maintenez désactivé le circuit publicitaire concerné. Corrigez la règle et les éléments déjà placés dans une file, puis reprenez les parcours affectés. Ne compensez pas ce défaut par une promesse de l’agence de ne pas exploiter le segment. Si le prestataire ne permet pas de vérifier ou d’appliquer l’exclusion, changez le périmètre de l’intégration avant toute réactivation.

Traiter les audiences existantes et les changements futurs

L’arrêt des nouveaux envois ne retire pas les anciens membres d’une audience. Identifiez la période concernée, les destinataires, les segments et les copies dans les exports. Déterminez les effacements ou restrictions nécessaires et faites confirmer leur exécution. L’Art. 17(1)(d) prévoit notamment l’effacement des données traitées illicitement, sous réserve des exceptions applicables ; l’Art. 19 organise l’information des destinataires en cas d’effacement, rectification ou limitation. RGPD, Art. 17 et 19.

La procédure de retrait des audiences publicitaires peut servir de circuit d’exécution, en l’adaptant ici au segment concerné. N’effacez pas aveuglément tout le dossier client : les données nécessaires à une demande en cours peuvent relever d’un traitement distinct. Conservez seulement les preuves utiles de la correction, avec un accès et une durée définis.

Une transmission non autorisée peut aussi constituer une violation de données. Examinez alors les risques et les obligations de documentation et de notification des Art. 33 et 34 ; toute erreur de paramétrage ne déclenche pas automatiquement une notification aux personnes. RGPD, Art. 33 et 34.

Enfin, soumettez les nouveaux formulaires et les quiz marketing à la même classification avant activation publicitaire. Une revue annuelle seule ne protège pas contre un parcours ajouté le lendemain. La règle doit faire partie de la publication et des changements d’intégration.

Ce qu’il faut retenir

• Bloquez les transmissions concernées avant de raisonner sur la diffusion des annonces.
• Traitez séparément consentement aux traceurs, base légale, données sensibles et restrictions de la régie.
• Une exclusion doit couvrir confirmation, serveur, exports et contexte propagé.
• Les réserves techniques empêchent l’activation ; les audiences anciennes nécessitent leur propre traitement.

FAQ

Peut-on conserver une mesure globale des demandes ?

Une statistique agrégée peut répondre au besoin sans créer une audience nominative. Il faut cependant examiner les données utilisées pour la produire et les risques de réidentification, notamment pour de petits effectifs. Renommer une conversion individuelle « statistique » ne transforme pas son régime juridique.

Faut-il supprimer la page sensible du site ?

Non. L’exclusion porte sur les traitements publicitaires concernés. Le contenu peut rester accessible et le service fonctionner. Son propre traitement de données, par exemple une demande d’accompagnement, doit être organisé et justifié séparément.

Une agence peut-elle décider seule que le parcours est sans risque ?

Elle peut fournir son analyse et les preuves techniques. Le responsable du traitement doit néanmoins pouvoir expliquer la finalité, la qualification et les mesures retenues. Une conclusion non documentée ou limitée aux paramètres d’une campagne ne couvre pas l’ensemble des flux.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.