Paramètres UTM : éviter les données personnelles

Un lien de newsletter peut transmettre davantage que le nom de la campagne. Si l’équipe ajoute l’email ou l’identifiant CRM du destinataire dans ses paramètres, cette information entre dans l’URL et peut circuler vers plusieurs outils techniques. Le problème doit être corrigé à la création du lien, puis contrôlé tout au long de son parcours.

Les paramètres UTM servent à décrire l’origine d’une visite. Pour comparer des campagnes, des noms de source, de support et d’opération suffisent généralement : l’identité du destinataire n’a pas à devenir une dimension de campagne.

Une convention de nommage sans identifiants individuels

Adoptez une convention courte que les équipes et les agences peuvent appliquer sans accès au fichier clients. Exemple fictif :

https://exemple.test/guide?utm_source=newsletter&utm_medium=email&utm_campaign=guide-pme-automne&utm_content=bouton-haut

Ici, les valeurs décrivent une campagne et un emplacement. Elles n’individualisent pas le destinataire. À l’inverse, une valeur comme utm_content=contact-8471, si elle renvoie à une personne dans votre CRM, ne devient pas anonyme parce qu’elle ne contient pas son nom.

Google demande expressément de ne pas envoyer de données directement identifiantes dans les URL, titres de page et dimensions de campagne Analytics. Sa documentation sur les données identifiantes vise notamment les paramètres UTM. Cette règle contractuelle du produit complète le RGPD ; elle ne définit pas à elle seule ce qu’est une donnée personnelle en droit européen.

Arbitrer une demande de suivi individuel

Une équipe peut demander : « Comment saurons-nous quel prospect a cliqué si nous retirons son numéro ? » La convention UTM répond à une autre question : quelle campagne ou quel emplacement a apporté une visite ? Il faut séparer ces deux objectifs dans le cahier des charges. La nécessité éventuelle d’un suivi nominatif se justifie dans un traitement distinct, avec son information, son fondement et ses garanties ; elle ne s’introduit pas discrètement dans une dimension censée décrire la campagne.

Voici une convention renseignée pour une opération fictive diffusant un guide sur les devis. Elle permet de distinguer deux boutons sans identifier le lecteur :

Deux lecteurs recevant la même version ont ainsi les mêmes valeurs UTM. Les distinguer n’est pas nécessaire pour comparer les emplacements. Cela ne démontre cependant pas l’anonymat de toutes les visites : les autres informations collectées et les rapprochements possibles doivent encore être examinés.

Une variante intitulée guide-devis-client-8471 recréerait le problème dans utm_campaign. Remplacer un email par un numéro, puis déplacer ce numéro vers un autre champ, ne corrige donc pas le choix initial. La règle doit porter sur le sens des valeurs, pas seulement sur la présence du caractère @.

Identifier tous les endroits où l’URL passe

Le parcours suivant est une grille d’investigation : son contenu exact dépend de votre configuration.

1. Le générateur de lien ou l’outil emailing construit l’URL.
2. Un service de redirection peut recevoir le clic et journaliser l’adresse de destination.
3. Le serveur de votre site reçoit la requête, éventuellement via un intermédiaire technique.
4. Des scripts de mesure ou de publicité peuvent lire l’URL de la page.
5. Des exports et tableaux de bord peuvent conserver les dimensions collectées.

Demandez au développeur de vérifier ces étapes avec une adresse fictive reconnaissable. L’objectif est de repérer où la valeur apparaît réellement, et non de présumer qu’elle se transmet à tous les domaines. La présence de l’URL dans les en-têtes de navigation dépend notamment des politiques de référent et du contexte de navigation.

Le passage par un serveur interne ne supprime pas ce besoin d’inventaire. Le guide sur le tracking côté serveur aide à examiner les flux que le navigateur ne montre pas directement.

Corriger la source avant d’ajouter un filtre GA4

Commencez par les modèles de campagne. Retirez les variables de personnalisation des champs UTM, des URL de boutons et des liens ajoutés par les commerciaux. Remplacez les champs libres par une liste de valeurs approuvées lorsque c’est possible.

Pour les liens d’accès privés ou de désinscription, n’improvisez pas la suppression d’un jeton indispensable au fonctionnement. Faites analyser son rôle, sa durée et son exposition par l’équipe technique. Un jeton utile à une opération ne doit pas être réutilisé automatiquement comme identifiant publicitaire.

GA4 propose une fonction de masquage des adresses email et de paramètres d’URL déterminés. La documentation du masquage GA4 indique ses limites : traitement côté client pour les flux web, détection des emails au mieux des possibilités, absence de protection des envois par Measurement Protocol et des imports de données. Ce filtre peut réduire certaines transmissions ; il ne nettoie pas les journaux de votre serveur ni les autres destinataires du lien.

Utilisez sa prévisualisation avec des valeurs fictives et vérifiez les requêtes réellement envoyées. Le guide de configuration GA4 et RGPD replace ce contrôle dans l’ensemble du paramétrage.

Une fiche de réception pour la prochaine campagne

Préparez les liens dans un environnement d’essai avec des valeurs fictives, puis conservez les observations utiles. La fiche peut comporter les entrées suivantes ; la colonne de résultat décrit ce qui est attendu, pas un contrôle réalisé sur un site réel.

Le message final compte davantage que le modèle avant personnalisation. Une variable vide lors de la préparation peut être remplie au moment de l’envoi. De même, vérifier seulement l’adresse visible dans la barre du navigateur peut manquer une valeur reçue avant une redirection ou conservée dans un événement.

Si le contrôle retrouve une valeur personnelle fictive dans un flux non prévu, la campagne reste bloquée dans cette configuration. L’équipe corrige le modèle ou l’intégration responsable, puis reprend le parcours complet. Le retrait d’un champ dans le tableau de bord ne prouve pas qu’il n’est plus transmis ; l’observation doit porter sur le point de collecte concerné. Cette méthode est une proposition de réception à adapter aux outils, sans promettre qu’un contrôle unique détectera toutes les fuites.

Consentement et minimisation restent deux questions

L’Art. 5(1)(c) et l’Art. 25(2) imposent de limiter les données aux besoins du traitement et de protéger les personnes par défaut. Les principes du RGPD et les obligations de conception conduisent à demander pourquoi un identifiant individuel serait nécessaire à une statistique de campagne.

Un accord aux cookies ne rend pas utile chaque donnée que votre outil est techniquement capable de recevoir. Inversement, des UTM décrivant seulement une campagne ne prouvent pas que l’ensemble du dispositif de suivi est exempté de consentement. Examinez les lectures et écritures sur le terminal, les identifiants ajoutés ailleurs et les finalités de mesure ; les ressources CNIL sur les traceurs précisent le cadre applicable. Consultez aussi notre guide des cookies RGPD.

Une fuite déjà constatée : corriger tout le parcours

Arrêtez d’abord la génération des liens fautifs. Inventoriez les campagnes concernées, les champs transmis et les destinataires techniques effectivement identifiés. Déterminez ensuite les possibilités de suppression dans chaque outil et la conservation des journaux concernés.

Associez le DPO à la qualification de l’incident : toutes les erreurs de marquage n’ont pas les mêmes conséquences. Il faut apprécier les faits, les personnes concernées, les accès et le risque ; une correction dans le générateur de liens ne suffit pas à conclure que toutes les copies ont disparu. Si une violation de données personnelles est caractérisée, elle doit être documentée ; l’examen des risques détermine les obligations de notification à l’autorité et, lorsque le risque est élevé, d’information des personnes selon les Art. 33 et 34. Source : RGPD, violations de données.

Conservez une preuve de la correction avec une URL fictive, une capture des paramètres autorisés et le résultat des contrôles. Réexaminez le parcours lorsqu’une agence, un raccourcisseur ou une nouvelle balise est ajouté. Le paramétrage de Google Tag Manager fait partie de cette revue lorsqu’il distribue les données aux outils de mesure.

Le contrôle doit aussi couvrir les termes de recherche envoyés à GA4, qui peuvent réintroduire des données dans les URL.

Ce qu’il faut retenir

• Les UTM décrivent la campagne ; ils ne doivent pas servir de carnet d’adresses.
• Un identifiant CRM pseudonyme reste susceptible d’identifier une personne.
• Corrigez les modèles de liens et contrôlez les redirections, journaux et scripts.
• Le masquage GA4 couvre un périmètre limité et ne remplace pas ces contrôles.

FAQ

Peut-on mettre une adresse email hachée dans un UTM ?

Le hachage ne rend pas automatiquement la donnée anonyme. Si l’empreinte sert à reconnaître une personne ou à la rapprocher d’un fichier, elle reste une information à examiner comme donnée personnelle ; évitez cet usage pour de simples statistiques de campagne.

Supprimer les UTM supprime-t-il tout suivi ?

Non. D’autres identifiants, cookies, liens individualisés et envois serveur peuvent subsister. Il faut vérifier le parcours technique complet.

Le filtre GA4 corrige-t-il les données déjà collectées ?

La fonction décrite ici filtre les événements avant leur envoi dans son périmètre. Le traitement de données historiques demande une démarche séparée dans les outils qui les ont reçues.

Pour recevoir nos analyses sur le marketing et les données personnelles, inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.