RGPD (Règlement Général sur la Protection des Données)

Le RGPD (Règlement Général sur la Protection des Données, ou GDPR en anglais) est le règlement européen entré en application le 25 mai 2018 qui encadre la collecte, le traitement et le stockage des données personnelles des résidents de l’Espace Économique Européen. En marketing digital, le RGPD impacte directement le tracking de conversions, le remarketing, l’utilisation des cookies, la collecte de leads, l’emailing et toute forme de personnalisation publicitaire. C’est le cadre juridique qui a rendu obligatoire le déploiement des bandeaux de consentement cookies, des CMP (Consent Management Platforms) et du Consent Mode de Google. Pour les annonceurs et les référenceurs, le RGPD n’est pas un simple sujet juridique : c’est une contrainte technique structurante qui conditionne la qualité des données de mesure et donc la performance des campagnes SEO et SEA.

Principes fondamentaux

Le RGPD repose sur six principes directeurs qui encadrent tout traitement de données personnelles.

La licéité, loyauté et transparence imposent que tout traitement de données repose sur une base légale identifiée et que la personne concernée soit informée de manière claire et compréhensible de la finalité du traitement. En marketing digital, la base légale la plus courante pour les cookies publicitaires et analytiques est le consentement de l’utilisateur.

La limitation des finalités signifie que les données ne peuvent être collectées que pour des objectifs spécifiques, explicites et légitimes. Une adresse email collectée pour l’envoi d’un devis ne peut pas être réutilisée pour de la prospection commerciale sans consentement séparé.

La minimisation des données impose de ne collecter que les données strictement nécessaires à la finalité déclarée. Un formulaire de demande de devis n’a pas besoin de demander la date de naissance ou la situation familiale du prospect.

L’exactitude des données impose que les données soient mises à jour et corrigées lorsqu’elles sont inexactes.

La limitation de conservation interdit de conserver les données au-delà de la durée nécessaire à la finalité du traitement. La CNIL recommande une durée maximale de 13 mois pour les cookies analytiques et publicitaires.

L’intégrité et la confidentialité imposent des mesures techniques et organisationnelles pour protéger les données contre les accès non autorisés, les pertes et les fuites. Le protocole HTTPS participe à cette exigence en chiffrant les données en transit.

Bases légales du traitement

Le RGPD définit six bases légales qui autorisent le traitement de données personnelles. En marketing digital, trois sont principalement utilisées.

Le consentement est la base légale requise pour le dépôt de cookies publicitaires et analytiques, le remarketing, la personnalisation publicitaire et l’envoi d’emails commerciaux (en B2C). Le consentement doit être libre, spécifique, éclairé et univoque. Un bandeau de consentement avec seulement un bouton « Accepter » sans possibilité équivalente de refuser ne constitue pas un consentement valide. Les cases pré-cochées sont interdites.

L’intérêt légitime peut être invoqué pour certains traitements marketing lorsque l’impact sur la vie privée de la personne est limité et proportionné à l’intérêt commercial poursuivi. En B2B, la prospection par email peut s’appuyer sur l’intérêt légitime sous certaines conditions, mais cette base légale ne dispense pas de l’obligation d’information et du droit d’opposition.

L’exécution d’un contrat autorise le traitement des données nécessaires à la fourniture d’un service que la personne a demandé. Le traitement des données de paiement lors d’un achat en ligne relève de cette base légale.

Impact sur le tracking et la mesure

Le RGPD a profondément transformé la capacité des annonceurs à mesurer la performance de leurs campagnes digitales. L’obligation de consentement avant le dépôt de cookies signifie qu’une proportion significative des utilisateurs (30 à 60% en Europe selon les secteurs) refuse le tracking ou ne répond pas au bandeau de consentement. Cette perte de données impacte directement la fiabilité du tracking de conversions, du calcul du CPA et du ROAS, et l’alimentation du Smart Bidding en données de conversion.

Les réponses technologiques à cette perte de données incluent le Consent Mode de Google (qui permet une mesure restreinte même en cas de refus), les Enhanced Conversions (qui utilisent des données first-party hashées pour récupérer des conversions perdues), le tracking server-side (qui réduit la dépendance aux cookies navigateur) et la modélisation des conversions (qui estime statistiquement les conversions non mesurées).

Impact sur le SEO

Le RGPD impacte le SEO de manière moins directe mais néanmoins significative. Les bandeaux de consentement mal implémentés peuvent dégrader les Core Web Vitals, notamment le CLS si le bandeau provoque un décalage de contenu et le LCP si un script de CMP bloque le chargement de la page. Les interstitiels de consentement qui masquent le contenu principal sur mobile peuvent être considérés comme intrusifs par Google. La politique de confidentialité et les mentions légales contribuent aux signaux E-E-A-T (Experience, Expertise, Authoritativeness, Trustworthiness) que Google évalue pour le classement des pages.

Le RGPD impacte également les données disponibles dans Google Analytics 4 et Google Search Console pour l’analyse SEO, puisque les sessions non consenties sont exclues ou modélisées. Les données de GA4 utilisées pour identifier les pages performantes, les parcours utilisateur et les opportunités de contenu sont donc partielles dans les marchés européens à fort taux de refus.

Droits des personnes concernées

Le RGPD accorde huit droits aux personnes dont les données sont traitées, et tout site web doit être en mesure de répondre à l’exercice de ces droits.

Le droit d’accès permet à toute personne de demander quelles données sont détenues sur elle et comment elles sont utilisées. Le droit de rectification permet de corriger des données inexactes. Le droit à l’effacement (droit à l’oubli) permet de demander la suppression de ses données. Le droit à la portabilité permet de récupérer ses données dans un format structuré et réutilisable. Le droit d’opposition permet de refuser un traitement basé sur l’intérêt légitime. Le droit à la limitation permet de geler temporairement un traitement. Le droit lié à la prise de décision automatisée protège contre les décisions ayant un impact significatif prises uniquement par un algorithme. Le droit de retrait du consentement permet à tout moment de revenir sur un consentement précédemment donné.

Obligations pour les sites web

Tout site web collectant des données personnelles de résidents européens doit respecter un ensemble d’obligations concrètes. La politique de confidentialité doit être accessible, rédigée en langage clair et lister l’identité du responsable de traitement, les données collectées, les finalités, les bases légales, les durées de conservation, les droits des personnes et les coordonnées du DPO (Data Protection Officer) le cas échéant.

Le bandeau de consentement cookies doit permettre d’accepter, de refuser et de paramétrer les cookies de manière granulaire (analytiques, publicitaires, fonctionnels). Le refus doit être aussi simple que l’acceptation. Le consentement doit être renouvelé périodiquement (la CNIL recommande tous les 6 mois maximum).

Le registre des traitements documente l’ensemble des traitements de données personnelles effectués par l’organisation. Il est obligatoire pour les entreprises de plus de 250 salariés et recommandé pour toutes.

Les contrats de sous-traitance (DPA, Data Processing Agreement) doivent encadrer les relations avec les prestataires qui traitent des données personnelles pour le compte de l’organisation (hébergeur, agence marketing, plateforme emailing, CRM).

Sanctions

La CNIL dispose d’un pouvoir de sanction significatif en cas de non-conformité. Les amendes administratives peuvent atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial (le montant le plus élevé des deux). En pratique, les sanctions varient de quelques milliers d’euros pour les manquements mineurs à plusieurs centaines de millions d’euros pour les violations massives par les grandes entreprises technologiques. La CNIL a également le pouvoir de mettre en demeure, d’ordonner la cessation d’un traitement et de rendre ses décisions publiques, ce qui représente un risque réputationnel parfois plus dissuasif que l’amende elle-même.

Erreurs fréquentes sur le RGPD

• Considérer le RGPD comme un simple sujet juridique déconnecté du marketing digital ignore l’impact direct sur la qualité des données de mesure, la performance du Smart Bidding et la capacité de remarketing.
• Utiliser un bandeau de consentement qui ne propose qu’un bouton « Accepter » ou qui utilise des dark patterns (couleur du bouton refuser moins visible, parcours de refus plus long) expose à des sanctions de la CNIL et ne constitue pas un consentement valide.
• Ne pas implémenter le Consent Mode après le déploiement du bandeau de consentement prive le compte Google Ads de la modélisation des conversions et dégrade les performances du Smart Bidding.
• Conserver les données personnelles indéfiniment sans politique de purge contrevient au principe de limitation de conservation.
• Utiliser Google Analytics sans paramétrage conforme (anonymisation IP, durée de conservation limitée, Consent Mode) a fait l’objet de mises en demeure de la CNIL.
• Transférer des données personnelles vers des serveurs hors EEE sans garanties appropriées (clauses contractuelles types, décision d’adéquation) constitue une infraction distincte au RGPD.

Outils de mise en conformité

• Cookiebot / Axeptio / Didomi / OneTrust / Usercentrics → Plateformes de gestion du consentement (CMP) conformes au RGPD avec intégration native du Consent Mode v2 de Google
• Google Tag Manager → Mode consentement → Configuration des balises pour qu’elles respectent automatiquement le statut de consentement transmis par la CMP
• CNIL → Guide cookies et traceurs → Référentiel officiel de la CNIL sur les règles de consentement applicables aux cookies en France
• CNIL → Registre des traitements (modèle) → Template officiel pour documenter les traitements de données personnelles
• Google Analytics 4 → Paramètres de conservation des données → Configuration de la durée de rétention des données utilisateur (2 ou 14 mois)
• Privacy Sandbox (Chrome) → Initiative Google de remplacement des cookies tiers par des mécanismes de ciblage respectueux de la vie privée, en cours de déploiement

Entités liées (→ définitions dédiées)

→ Consent Mode · Tracking de conversions · Enhanced Conversions · Google Analytics 4 · Google Tag Manager · HTTPS · Core Web Vitals · CLS · Smart Bidding · Remarketing · CMP · Cookies · E-E-A-T