Publicité contextuelle : quels contrôles RGPD ?

Une publicité choisie selon le thème de la page peut être affichée sans profil individuel. Cela ne garantit pas que son dispositif de diffusion fonctionne sans traceurs ni données personnelles. La sélection de l’annonce, sa mesure, la limitation des répétitions et la lutte contre la fraude sont des opérations distinctes. Il faut les examiner avant de proposer cette publicité aux visiteurs qui ont refusé le suivi.

Pour un DPO ou un responsable marketing, la bonne question d’achat est donc : « Quel fonctionnement précis reste actif après un refus ? » Une réponse commerciale comme « notre offre est contextuelle » ne décrit pas suffisamment ce fonctionnement.

Ce que signifie réellement « contextuelle »

La définition de la CNIL vise une sélection selon le contexte d’insertion du message, sans besoin de connaître la personne qui le consulte. Par exemple, un article sur la rénovation peut accueillir une annonce pour de la peinture parce que son sujet correspond à cette offre.

Le choix reste contextuel si tous les lecteurs de cet emplacement reçoivent une annonce sélectionnée selon cette rubrique, sans consultation de leur historique individuel. Une annonce choisie parce que la même personne a visité hier plusieurs pages de peinture repose sur une autre logique, même si elle apparaît aujourd’hui dans une rubrique pertinente.

Un dispositif peut aussi combiner les deux : sélection par rubrique pour tout le monde, puis fonctions individualisées pour certains visiteurs. Il faut alors décrire ces configurations séparément. Le mot « contextuel » appliqué à la sélection n’efface pas les autres opérations.

Le consentement dépend des opérations, pas de l’étiquette

L’article 82 de la loi Informatique et Libertés encadre la lecture et l’écriture d’informations dans le terminal. Hors ses exceptions, ces opérations exigent une information et un consentement préalables. Changer le nom d’un cookie, utiliser un autre stockage ou présenter un identifiant comme « technique » ne modifie pas sa finalité.

La FAQ CNIL, question 34, souligne que l’affichage contextuel ne nécessite pas en principe de traceurs, mais que sa gestion peut en utiliser, notamment pour mesurer les performances, limiter les répétitions ou lutter contre la fraude au clic. Il n’existe donc pas d’exemption générale attachée à la publicité non personnalisée.

Un identifiant qui reconnaît le même navigateur pour limiter l’annonce à trois affichages poursuit une fonction différente du simple choix selon la rubrique. Le plafond de trois, dans cet exemple, est un paramètre commercial ; il ne dispense pas d’analyser la lecture ou l’écriture utilisée pour le faire respecter.

La base légale du traitement de données personnelles doit, elle aussi, être déterminée. L’intérêt légitime de l’Art. 6(1)(f) ne permet pas de contourner un consentement requis par l’article 82. Réciproquement, l’absence d’une opération soumise à cet article ne signifie pas que tous les traitements échappent au RGPD. Le guide de conformité des cookies développe cette articulation.

Comparer trois offres sans leur attribuer des garanties imaginaires

Les trois propositions suivantes sont fictives. Elles servent à comparer des architectures, sans noter de fournisseur réel ni annoncer des résultats de tests.

Proposition A : des emplacements vendus par rubrique. Le site reçoit les créations de l’annonceur, les héberge avec ses contenus et choisit une création selon la rubrique. Il ne charge pas de composant publicitaire tiers et ne suit pas le parcours individuel pour attribuer une vente. Cette architecture réduit le besoin de transmettre des informations au prestataire publicitaire. Il reste à examiner les journaux du site et les liens de destination : leur existence ne doit pas être ignorée.

Proposition B : sélection contextuelle et identifiant de répétition. Le fournisseur choisit également selon la rubrique, mais demande au navigateur de conserver un identifiant utilisé à chaque nouvelle visite. Son annonce peut être contextuelle ; son mécanisme de répétition doit être qualifié séparément. L’entreprise ne peut pas activer l’ensemble après refus au seul motif que la sélection ne consulte pas un profil.

Proposition C : affichage contextuel avec attribution des achats. La sélection ne dépend pas du visiteur, mais un identifiant commun relie l’affichage, le clic et une commande ultérieure. Cette attribution réintroduit une observation individuelle. Il faut examiner ses accès au terminal, ses données, ses destinataires et sa base juridique. Un rapport final constitué de totaux ne rend pas anonymes les traitements individuels qui l’ont produit.

Une offre qui ne documente pas ces points n’est pas nécessairement identique à B ou C. Elle reste simplement non évaluée sur ces éléments. Le dossier doit conserver cette différence entre fonctionnement démontré, fonctionnalité annoncée et réponse inconnue.

Une décision d’achat expliquée, avec ses limites

Imaginons un éditeur de guides de bricolage qui veut financer une rubrique tout en proposant une publicité après refus des traceurs publicitaires. Son besoin minimal est de vendre un emplacement pendant une semaine et de remettre un bilan de diffusion, sans promettre un nombre de personnes uniques ni des ventes attribuées.

Il retient pour étude la proposition A. Il écarte du premier périmètre la répétition individuelle et l’attribution des commandes, car ces fonctions ne sont pas nécessaires au service commercial qu’il a décidé de vendre. Ce choix n’est pas une conclusion générale sur la légalité des autres offres ; il réduit le périmètre à examiner.

La réception attendue comporte trois résultats : la création publicitaire est servie depuis les ressources prévues ; aucune requête publicitaire tierce ni identifiant publicitaire n’est ajouté dans cette configuration ; le rapport annoncé n’exige pas de reconstituer des visiteurs uniques. L’équipe doit encore contrôler ces résultats avant lancement. Aucun essai n’est présenté ici comme réalisé.

Le prix et la performance de cette formule restent inconnus dans cet exemple. Il serait trompeur de conclure qu’elle rapporte autant qu’une campagne suivie. La décision porte sur un besoin et une architecture documentables, pas sur un gain de conversion supposé.

Lire les données qui circulent réellement

Demandez une description d’un événement de diffusion, champ par champ. Pour chacun, le prestataire doit expliquer sa provenance, son destinataire, sa finalité et sa durée. Une « requête anonyme » contenant un identifiant stable ou une adresse IP ne peut pas être considérée comme anonyme sur ce seul intitulé.

L’Art. 4(1) du RGPD inclut l’identification indirecte, notamment au moyen d’un identifiant en ligne. Une suppression de nom n’est donc pas une démonstration suffisante. Vérifiez également si le destinataire peut rapprocher la requête d’autres informations dont il dispose.

Dans le dossier de l’éditeur, une catégorie large comme « bricolage » répond au besoin de sélection. L’URL complète d’un espace privé, un terme saisi dans un formulaire ou un identifiant de commande n’y répondent pas. L’Art. 5(1)(c) impose de limiter les données nécessaires ; l’Art. 25(1) et (2) demande de traduire cette protection dès la conception et par défaut.

Pour des contenus de santé ou d’autres sujets sensibles, l’examen doit porter sur ce que l’association entre la page et une personne révèle réellement. Toute consultation n’établit pas automatiquement une caractéristique sensible, mais un rapprochement peut en révéler une et relever de l’Art. 9 du RGPD. La revue des pages sensibles aide à définir les exclusions adaptées avant transmission.

Une annexe d’achat utilisable

Pour l’architecture retenue par l’éditeur, l’annexe peut fixer les exigences suivantes. Ce sont des propositions à adapter au contrat et aux responsabilités effectives, pas des clauses suffisantes pour tout dispositif.

Périmètre. « La sélection dépend de la catégorie éditoriale de l’emplacement. Le périmètre commandé ne comprend ni reconnaissance du visiteur entre sessions ni rapprochement avec ses commandes. » Cette phrase définit le service acheté ; elle doit correspondre aux fonctions effectivement désactivées.

Flux. « Le prestataire fournit l’inventaire des données et destinataires utilisés pour la diffusion et sa mesure, ainsi que les opérations éventuelles sur le terminal. Toute dépendance nécessaire au fonctionnement annoncé est identifiée. » L’objectif est d’éviter qu’un composant tiers soit découvert seulement au lancement.

Évolution. « L’ajout d’une attribution individuelle, d’un identifiant publicitaire ou d’une réutilisation pour une autre finalité fait l’objet d’un examen préalable au déploiement sur ce périmètre. » Une mise à jour technique ne doit pas élargir silencieusement le service accepté.

Complétez ces exigences par les rôles, la sécurité, les durées et les engagements pertinents. Si le prestataire traite pour votre compte, l’Art. 28 s’applique à ces opérations. S’il détermine des finalités propres, cette qualification doit être examinée plutôt que masquée dans une annexe de sous-traitance.

Contrôler avant et après le refus

La vérification doit couvrir une arrivée sans choix, un refus explicite et le retrait d’un accord antérieur. Une configuration qui paraît sobre sur un navigateur neuf peut réutiliser un identifiant présent après une ancienne acceptation.

Comparez les ressources chargées, les lectures et écritures et les requêtes sortantes avec l’inventaire. Si la variante annoncée sans suivi appelle un composant non documenté, suspendez cette variante publicitaire jusqu’à clarification. L’équipe peut conserver un emplacement sans publicité pendant l’examen ; elle ne doit pas transformer une réponse inconnue en exemption.

Si des opérations non couvertes sont confirmées, déterminez aussi les données déjà collectées et les suites nécessaires. Une correction pour les prochaines visites ne règle pas, seule, les traitements passés. Un identifiant connecté ajouté ultérieurement impose de rouvrir la décision, même si le thème continue à sélectionner l’annonce.

Ce qu’il faut retenir

Le caractère contextuel décrit la sélection, pas tout le dispositif. Découpez l’offre en opérations et retenez les fonctions correspondant au besoin réel. Exigez une description des flux et une réception vérifiable ; distinguez toujours une absence démontrée d’une absence de réponse.

FAQ

« Sans cookies tiers » signifie-t-il « sans consentement » ?

Non. Des traceurs internes ou d’autres accès au terminal peuvent poursuivre les mêmes finalités. Il faut examiner les opérations et les exceptions applicables, sans limiter l’analyse à l’origine ou au nom du cookie.

Peut-on compter les personnes uniques sans identifiant ?

Il faut demander comment ce résultat est calculé. Un total d’affichages n’est pas un nombre de personnes. N’annoncez pas une mesure individuelle précise si la méthode ne permet pas de la produire, et ne créez pas un rapprochement non prévu uniquement pour remplir cette colonne.

Un bilan agrégé suffit-il à sortir du RGPD ?

Il faut analyser toute la chaîne. Un résultat peut être réellement anonyme tandis que sa production a utilisé des données personnelles. L’agrégation finale ne dispense pas d’examiner les traitements précédents, leur fondement et leur durée.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.