Retargeting et RGPD : auditer les audiences

Le retargeting, ou reciblage publicitaire, consiste à retrouver une personne à partir d’une visite ou d’une relation connue pour lui présenter une publicité. Pour recibler les visiteurs avec des traceurs, recueillez l’accord avant la collecte publicitaire et faites cesser ce traitement lors du retrait. Pour un fichier client, établissez séparément que sa transmission et son rapprochement avec les utilisateurs de la plateforme sont licites. L’existence d’une commande ou d’un abonnement à la newsletter ne donne pas, à elle seule, cette autorisation.

Le dossier utile décrit donc une entrée, un usage et une sortie d’audience. Il doit permettre à la responsable marketing de décider quelles personnes inclure et au prestataire de démontrer lesquelles restent exclues.

Partir de l’origine de l’audience

Une balise qui lit ou dépose un identifiant publicitaire sur le terminal relève de l’article 82 de la loi Informatique et Libertés. Ce suivi commercial n’est pas strictement nécessaire à la consultation d’une fiche produit ou à la commande demandée. Il faut donc le bloquer avant l’accord. La règle reste applicable lorsque le visiteur est un professionnel ; la CNIL explique le périmètre des traceurs.

Un export CRM constitue un autre chemin. La plateforme reçoit des coordonnées ou leurs empreintes pour rechercher des correspondances. Le hachage ne rend pas ces données anonymes lorsque le but est précisément de retrouver des personnes. Avant l’import, le dossier Google Customer Match et les preuves aide à distinguer les contacts admissibles des fichiers dont la provenance ou les permissions restent inconnues.

Un événement transmis par serveur n’efface pas les conditions de sa collecte. Documentez le point de départ : visite suivie, achat nécessaire à la livraison, accord publicitaire ou événement provenant d’un tiers. La disponibilité technique d’un champ ne justifie pas son réemploi.

Séparer la publicité de la relation client

Les Art. 5(1)(b), 6(1) et 7(1) du RGPD, chapitre II, imposent une finalité définie, un fondement valable et la preuve du consentement lorsqu’il est utilisé. L’adresse nécessaire pour livrer un colis et l’adresse transmise pour retrouver l’acheteur sur un réseau répondent à deux usages différents.

Ne remplacez pas cette analyse par « le client nous connaît ». Une acceptation de newsletter peut décrire uniquement l’envoi de courriels. Elle ne démontre pas l’information et le choix relatifs à une régie publicitaire. Si le dossier ne permet pas d’établir les conditions de la réutilisation, l’import reste écarté du lancement.

Les contrats peuvent également exiger un consentement. La politique européenne de Google l’impose notamment pour la collecte, le partage et l’utilisation de données personnelles destinés à personnaliser les annonces dans son périmètre. Elle demande aussi de conserver la preuve et d’expliquer le retrait. Une analyse d’intérêt légitime ne remplace pas cette condition du service.

Cas pratique : une boutique de bagages prépare sa campagne

Prenons une PME française fictive vendant des bagages. Elle veut rappeler sa gamme de valises aux visiteurs qui l’ont consultée. Son agence propose de réunir les visiteurs, tous les acheteurs et les abonnés à la newsletter dans une audience unique.

La responsable marketing refuse ce regroupement initial. La notice de newsletter ne couvre que les courriels ; le fichier des commandes sert à exécuter les ventes. Elle retient un projet limité aux consultations de la gamme après un accord publicitaire documenté. Elle demande à l’agence de montrer les réglages, les champs envoyés et les effets du retrait avant toute activation.

Voici sa fiche de décision remplie. Les résultats attendus sont un protocole proposé, pas le compte rendu d’une campagne réellement exécutée :

La fenêtre de sept jours est une hypothèse de campagne courte choisie pour cet exemple, pas une durée légale ni une performance constatée. La responsable doit pouvoir expliquer pourquoi elle répond à son besoin. Si la plateforme ne permet pas de mettre en œuvre les conditions retenues, l’agence propose une autre configuration ; elle ne remplace pas discrètement cette durée par le maximum disponible.

Écarter les informations sensibles avant l’envoi

L’Art. 9(1) et (2) du RGPD protège notamment les données révélant la santé, les convictions religieuses ou les opinions politiques. Une audience peut révéler une telle information par les critères utilisés, même si son nom reste neutre. Il faut examiner ce que la sélection cherche à déduire, et pas seulement l’étiquette affichée à l’annonceur. Un consentement général aux publicités ne règle pas automatiquement les conditions de l’Art. 9.

Dans notre boutique, les messages après-vente sont exclus parce qu’ils ne sont pas nécessaires à la campagne et peuvent contenir des informations personnelles imprévisibles. La responsable n’attend pas qu’un champ sensible apparaisse pour retirer ces espaces du dispositif. L’agence vérifie aussi les titres, paramètres d’URL et variables transmis avec les événements.

Pour un site publiant des contenus de santé ou d’opinion, la qualification doit être examinée avant la constitution de segments. Toute visite isolée n’établit pas mécaniquement une caractéristique personnelle ; construire un ciblage qui prétend l’inférer change toutefois l’analyse. Les pages sensibles à exclure du reciblage constituent un travail préalable, pas une correction à effectuer après transmission.

Donner une information qui correspond au flux

Le lecteur doit comprendre que son comportement sert à lui présenter des annonces, quelles données sont concernées, quels destinataires interviennent et comment exercer ses droits. Les Art. 12 et 13 du RGPD, chapitre III, encadrent cette information. L’Art. 14 traite les données obtenues autrement qu’auprès de la personne.

La boutique prépare une première formulation à adapter : « Avec votre accord, les consultations de cette gamme servent à constituer une audience pour vous présenter nos annonces sur les services publicitaires indiqués dans nos paramètres. Vous pouvez retirer cet accord depuis “Gérer mes choix”. » Cette phrase n’est pas une notice complète. Elle doit renvoyer aux destinataires effectivement choisis, aux durées et au fonctionnement des droits. Elle ne convient pas à un projet comprenant aussi des imports de contacts non décrits.

L’entreprise identifie également le rôle de chaque intervenant. L’agence qui exécute ses instructions et la plateforme qui détermine certains usages ne sont pas automatiquement dans la même situation. Les obligations contractuelles suivent les rôles réels, notamment les Art. 26 et 28 du RGPD, chapitre IV. Les transferts éventuels demandent leur propre encadrement ; un accord aux traceurs ne les régularise pas à lui seul.

Faire suivre le retrait jusque dans l’audience

L’Art. 7(3) exige un retrait aussi simple que le recueil. Les Art. 21(2) et (3) imposent aussi l’arrêt des traitements concernés lorsqu’une personne s’oppose à la prospection. Pour la boutique, cela signifie davantage que cacher le bandeau ou arrêter la balise sur le navigateur courant.

L’agence documente les opérations disponibles pour retirer ou exclure la personne du ciblage, les identifiants nécessaires et les limites de rapprochement. Elle contrôle les imports programmés et les événements en attente. Notre procédure de retrait d’une audience publicitaire détaille cette chaîne. Il ne faut pas exiger systématiquement la création d’un compte simplement pour se retirer.

Si un identifiant ne permet pas de retrouver directement un membre, l’entreprise cherche une solution effective avec la plateforme avant de promettre une suppression individuelle. Elle réduit ou suspend l’usage concerné si elle ne peut garantir le respect du choix. Les éléments conservés pour empêcher une réinscription restent limités à cette fonction ; ils ne deviennent pas une audience de secours.

Traiter le cas où la synchronisation annule le retrait

Dans le scénario, la recette emploie une identité fictive contrôlée. Après accord, la personne retire son choix. Le flux du navigateur s’arrête, mais un export préparé avant le retrait part ensuite vers la régie. Le projet échoue au contrôle : le simple arrêt de la balise ne protège pas la sortie d’audience.

La responsable suspend la synchronisation publicitaire concernée. L’agence vide ou corrige les files obsolètes, traite l’exclusion dans la destination et recherche les autres tâches susceptibles de réintroduire les mêmes identifiants. La reprise exige de contrôler le choix au moment de l’envoi, puis de refaire les parcours sans accord, avec accord et après retrait. Un export préparé n’est pas une autorisation permanente.

Si des données réelles ont déjà circulé, le dossier précise la période, les destinations et les mesures prises sur les données reçues. Corriger le prochain envoi ne résout pas les transmissions passées. La direction décide de la reprise sur des éléments observables ; elle peut maintenir une campagne contextuelle distincte si ses propres traitements sont maîtrisés.

Ce qu’il faut retenir

• Définissez séparément les sources de chaque audience.
• Un accord newsletter ne démontre pas une permission de rapprochement publicitaire.
• Fixez une durée motivée et excluez les informations inutiles ou sensibles avant envoi.
• Le retrait doit résister aux imports, files et synchronisations suivantes.

FAQ

L’absence de publicité affichée prouve-t-elle une sortie d’audience ?

Non. Une annonce peut ne pas être diffusée pour de nombreuses raisons. Le contrôle doit porter sur les traitements et les opérations de retrait, pas uniquement sur l’affichage observé.

Peut-on conserver l’audience pour une future campagne ?

Pas sans apprécier à nouveau la nécessité, la durée annoncée et les choix applicables. Une campagne hypothétique ne justifie pas une conservation indéfinie.

Une publicité contextuelle dispense-t-elle de toute analyse ?

Elle peut éviter le ciblage fondé sur un profil. Ses fonctions annexes de mesure ou de traçage restent à examiner, comme l’explique la FAQ CNIL sur les traceurs.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.