Ouvrir l'espace

Guide · Réglementation européenne

GDPR pour les sites avec annonces, expliqué sans jargon juridique

Si votre site reçoit des visites d'Europe et affiche des annonces, le GDPR et les règles sur les cookies s'appliquent à ces visites, même si l'entreprise est brésilienne. Ce guide montre à qui la loi s'applique, ce qu'est un consentement valable, combien coûte une erreur et ce que Google exige de ceux qui utilisent AdSense et Ad Manager.

Auditer mon site maintenantLire le guide
  • ✓Basé sur le texte officiel du règlement et sur les orientations de l'EDPB
  • ✓Exemples pratiques de ce qui est permis et de ce qui ne l'est pas
  • ✓Lecture du site sans rien modifier
6bases légales pour traiter des données personnelles
4%du chiffre d'affaires mondial annuel, le plafond des amendes les plus élevées
2018année où le GDPR a commencé à s'appliquer
3régions dans la politique de consentement de Google : EEE, Royaume-Uni et Suisse

Définition

La loi européenne qui décide comment les données des personnes peuvent être utilisées

Le GDPR, appelé en français RGPD (Règlement général sur la protection des données), est le règlement (UE) 2016/679. Il a été adopté en avril 2016 et s'applique depuis le 25 mai 2018 dans tous les pays de l'Union européenne, et vaut aussi dans le reste de l'Espace économique européen (Islande, Liechtenstein et Norvège).

La loi protège les données personnelles, c'est-à-dire toute information liée à une personne qui peut être identifiée. Pour un site, cela comprend des choses qui semblent techniques : adresse IP, identifiants de cookies, ID d'appareil et historique de navigation utilisé pour choisir les annonces.

Celui qui décide pourquoi et comment les données sont utilisées est le responsable du traitement. C'est presque toujours le propriétaire du site. Celui qui traite les données en son nom, comme un outil d'e-mail ou d'hébergement, est le sous-traitant. Les réseaux publicitaires agissent souvent comme responsables du traitement indépendants pour une partie de l'usage.

Le GDPR va de pair avec la directive ePrivacy (2002/58/CE), qui traite spécifiquement des cookies. En pratique, la règle est la suivante : enregistrer ou lire des cookies qui ne sont pas strictement nécessaires, comme ceux des annonces et de l'analyse, exige un consentement préalable. Et ce consentement doit respecter la norme du GDPR.

Checklist

Ce que vous devez respecter

Voici les points que la loi, les autorités européennes et Google exigent d'un site avec publicités qui reçoit des visiteurs de l'EEE.

  1. Utilisez une CMP certifiée par Google

    Depuis le 16 janvier 2024, AdSense et Ad Manager exigent une CMP certifiée par Google et intégrée à l'IAB TCF pour afficher des annonces personnalisées dans l'EEE. Sans elle, ce trafic ne peut recevoir que des annonces non personnalisées ou limitées.

    Exemple

    Dans AdSense, cliquez sur Confidentialité et messages dans la barre latérale et créez le message sur les réglementations européennes, ou choisissez une autre CMP dans la liste de Google.

  2. Demandez le consentement avant les cookies publicitaires

    Les cookies non essentiels ne peuvent être enregistrés qu'après une action claire du visiteur. Selon l'EDPB, les cases précochées, le défilement de la page ou la poursuite de la navigation ne valent pas consentement.

    Exemple

    Laissez toutes les finalités décochées jusqu'à ce que la personne clique sur une option.

  3. Permettez de refuser et de retirer son choix aussi facilement

    La plupart des autorités européennes considèrent comme une infraction un bandeau sans option de refus au même niveau que le bouton d'acceptation. Retirer son consentement plus tard doit aussi être aussi simple que de le donner.

    Exemple

    Utilisez le message à 3 boutons de Google, qui affiche Consentir, Ne pas consentir et Gérer les options dès le premier écran, et un lien fixe dans le pied de page pour rouvrir les choix.

  4. Envoyez Consent Mode v2 aux balises Google

    Si le site utilise Google Analytics ou Google Ads, Google exige de recueillir le consentement des visiteurs de l'EEE et d'envoyer les signaux ad_user_data et ad_personalization. La commande par défaut doit s'exécuter avant toute balise qui envoie des données.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});

  5. Dites qui reçoit les données

    La politique de consentement de Google demande que le site identifie chaque entreprise susceptible de collecter ou d'utiliser des données à cause des produits Google. Elle demande aussi des informations faciles à trouver sur la façon dont chacune utilise ces données.

    Exemple

    Dans la politique de confidentialité, ayez une section Partenaires publicitaires avec Google et chaque régie publicitaire présente sur le site.

  6. Conservez la preuve du consentement

    Selon le GDPR, c'est au site de prouver que le consentement a été donné. La politique de Google exige aussi de conserver un registre des consentements recueillis.

    Exemple

    Vérifiez dans le tableau de bord de la CMP que le registre des consentements est activé et combien de temps il est conservé.

  7. Ne bloquez pas le contenu pour ceux qui refusent

    Les lignes directrices de l'EDPB indiquent que l'accès au service ne doit pas dépendre de l'acceptation des cookies. Un site qui cache tout jusqu'au clic sur accepter n'obtient pas un consentement libre.

    Exemple

    Celui qui refuse peut continuer à lire l'article et voir des annonces non personnalisées ou limitées.

  8. Répondez aux demandes dans un délai d'un mois

    Quand un visiteur demande l'accès, la rectification ou la suppression de ses données, la réponse doit en principe partir dans un délai d'un mois, sans frais. En cas de doute sur des cas précis, vérifiez avec votre service juridique.

    Exemple

    Indiquez dans la politique de confidentialité une adresse e-mail dédiée aux demandes de confidentialité.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Pour des annonces personnalisées Google dans l'EEE, la CMP doit figurer dans la liste de Google, et voici les pages officielles pour choisir et configurer.

À qui il s'applique

Votre site au Brésil peut aussi relever du GDPR

La loi ne regarde pas seulement où se trouve l'entreprise. Elle regarde où se trouvent les personnes dont les données sont utilisées.

Entreprises dans l'Union européenne

Toute entreprise établie dans l'UE suit le GDPR, peu importe où les données sont traitées ou où se trouvent les serveurs.

Entreprises hors d'Europe

L'article 3 vise ceux qui sont hors de l'UE et proposent des produits ou services à des personnes dans l'UE ou surveillent leur comportement. Les annonces personnalisées et les cookies de suivi sont un exemple clair de surveillance.

Site brésilien avec un public européen

Un blog en portugais avec des visites du Portugal, ou un site en anglais avec du trafic d'Allemagne, doit traiter ces visites selon les règles européennes, même avec un numéro d'entreprise et un serveur au Brésil.

Royaume-Uni et Suisse

Ils ont leurs propres lois, proches du GDPR (UK GDPR et la loi suisse sur la protection des données). Pour Google, les trois territoires suivent la même politique de consentement.

Bases légales

Les 6 bases légales de l'article 6

Toute utilisation de données personnelles a besoin d'une base légale choisie avant de commencer. Pour les cookies publicitaires, en pratique, la base est le consentement.

Consentement

La personne donne son accord de façon libre et claire. C'est la base exigée pour les cookies non essentiels et pour les annonces personnalisées.

Contrat

La donnée est nécessaire pour exécuter un contrat avec la personne, comme livrer une commande ou maintenir un abonnement.

Obligation légale

Une loi oblige à conserver ou à utiliser la donnée, comme les factures et les écritures comptables.

Intérêts vitaux

Protéger la vie de la personne ou d'une autre personne. S'applique rarement aux sites de contenu.

Intérêt public

Missions d'intérêt public ou d'autorité officielle. Utilisée par les organismes publics, presque jamais par les éditeurs.

Intérêt légitime

Un intérêt réel de l'entreprise qui ne passe pas outre les droits de la personne, comme la sécurité du site. Ne remplace pas le consentement exigé pour les cookies publicitaires.

Consentement valable

Libre, spécifique, éclairé et univoque

Le GDPR définit le consentement comme une manifestation de volonté libre, spécifique, éclairée et univoque de la personne, donnée par une déclaration ou par un acte positif clair. Chacun de ces mots a un effet pratique sur la bannière de cookies.

Libre veut dire qu'il existe un vrai choix. Le bouton de refus doit être aussi visible que celui d'acceptation, et refuser ne doit pas entraîner de préjudice. Les orientations du Comité européen de la protection des données (EDPB) disent que bloquer le contenu tant que la personne n'a pas accepté les cookies, ce qu'on appelle un cookie wall, ne produit pas un consentement libre.

Spécifique et éclairé veut dire que la personne sait à quoi sert chaque usage et qui sont les partenaires qui reçoivent les données. Univoque veut dire qu'il y a eu une action claire : cases déjà cochées, silence, poursuite de la navigation ou défilement de la page ne comptent pas comme consentement.

Enfin, l'article 7 exige que retirer son consentement soit aussi facile que le donner. En pratique, le site a besoin d'un lien ou d'un bouton permanent, comme Préférences de cookies en pied de page, qui rouvre les options à tout moment. Et le responsable du traitement doit pouvoir prouver que la personne a consenti, c'est pourquoi la CMP conserve un enregistrement de chaque choix.

Obligations du site

Ce dont un site avec annonces a besoin pour les visiteurs européens

  1. Cartographiez ce que le site collecteListez les cookies, balises et partenaires publicitaires qui se chargent sur chaque page. Sans cette carte, la bannière et la politique de confidentialité sont incomplètes.
  2. Affichez une bannière de consentement avant les cookiesUtilisez une CMP qui bloque les cookies publicitaires et d'analyse jusqu'au choix de la personne, avec des boutons accepter et refuser au même niveau.
  3. Publiez une politique de confidentialité claireExpliquez qui est le responsable du traitement, quelles données sont utilisées, pourquoi, sur quelle base légale, pendant combien de temps, avec quels partenaires et comment la personne exerce ses droits.
  4. Répondez aux droits des personnesAyez un canal pour les demandes d'accès, de rectification, d'effacement, de portabilité, d'opposition et de retrait du consentement. La réponse doit arriver sans délai, en règle générale dans un délai d'un mois.
  5. Documentez et évaluez les risquesTenez un registre des activités de traitement. Lorsque l'utilisation des données présente un risque élevé, comme une surveillance à grande échelle, réalisez une analyse d'impact (DPIA).
  6. Préparez la réponse aux incidentsUne fuite de données présentant un risque pour les personnes doit être notifiée à l'autorité dans les 72 heures suivant le moment où l'entreprise en prend connaissance.
  7. Vérifiez si vous avez besoin d'un représentant dans l'UELes entreprises hors de l'UE qui relèvent du GDPR par l'article 3 peuvent devoir nommer un représentant dans l'Union. Confirmez avec le service juridique si votre cas relève des exceptions.

Contrôle et amendes

Qui contrôle et combien coûte une erreur

Chaque pays a son autorité de protection des données, comme la CNIL en France et la CNPD au Portugal. Elles reçoivent les plaintes, enquêtent et appliquent des sanctions.

Amendes jusqu'à 20 millions d'euros ou 4 %

Pour les infractions les plus graves, comme utiliser des données sans base légale ou ne pas respecter le consentement, le plafond est de 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu.

Amendes jusqu'à 10 millions d'euros ou 2 %

Pour les défaillances d'organisation, comme ne pas tenir de registres ou ne pas faire l'analyse d'impact lorsqu'elle est exigée, le plafond est de 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

Autres mesures

L'autorité peut donner un avertissement, ordonner de corriger la bannière, limiter ou interdire un traitement de données. Pour une infraction seulement probable, elle peut émettre un simple avertissement.

Critères du montant

L'amende tient compte de la gravité, de la durée, de l'intention ou de la négligence, de ce qui a été fait pour réduire le dommage et du niveau de coopération avec l'autorité.

Chronologie

Les dates qui touchent le plus un site avec annonces

De la règle sur les cookies à l'exigence de CMP certifiée par Google.

  1. 2002

    Directive ePrivacy

    Crée les règles européennes pour les cookies et les communications électroniques, renforcées plus tard pour exiger le consentement avant d'enregistrer des cookies non essentiels.

  2. 27 avril 2016

    Le GDPR est adopté

    Le règlement (UE) 2016/679 est approuvé, avec un délai de deux ans pour que les entreprises s'adaptent.

  3. 25 mai 2018

    Le GDPR s'applique

    Les règles sur le consentement, les droits et les amendes s'appliquent. Le même mois, Google publie des mises à jour pour les éditeurs et les annonceurs.

  4. 2020

    Lignes directrices 05/2020 de l'EDPB

    Le comité européen détaille le consentement valable : cookie walls, défilement de la page et cases précochées ne conviennent pas.

  5. 16 janvier 2024

    CMP certifiée chez Google

    Pour les annonces personnalisées dans l'EEE et au Royaume-Uni, AdSense, Ad Manager et AdMob se mettent à exiger une CMP certifiée par Google et intégrée au TCF.

  6. 31 juillet 2024

    La Suisse entre dans la règle

    L'exigence de CMP certifiée avec TCF s'applique aussi aux visiteurs de la Suisse.

AdSense et Ad Manager

Ce que Google exige de ceux qui ont des visiteurs européens

La Politique de consentement des utilisateurs de l'UE de Google s'applique à l'EEE, au Royaume-Uni et à la Suisse. Elle demande un consentement juridiquement valable pour les cookies là où la loi l'exige, le consentement pour utiliser des données dans les annonces personnalisées, l'identification de tous les partenaires qui reçoivent des données, l'enregistrement des choix et des instructions claires pour retirer le consentement.

Depuis le 16 janvier 2024, pour recevoir des annonces personnalisées dans ces régions, le site doit avoir une CMP certifiée par Google et intégrée au TCF de l'IAB Europe. Le message de confidentialité d'AdSense et d'Ad Manager est l'une des options certifiées.

Sans CMP certifiée, le trafic européen peut se retrouver uniquement avec des annonces non personnalisées ou limitées, qui rapportent moins. Dans le tableau de bord AdSense, cela apparaît comme personnalisation des annonces restreinte dans l'EEE, au Royaume-Uni et en Suisse. Si le site utilise aussi Google Analytics ou Google Ads, le Consent Mode transmet le choix de la bannière à ces balises.

Google peut limiter ou suspendre l'utilisation de ses produits pour ceux qui ne respectent pas la règle. C'est pourquoi la bonne bannière est à la fois une question juridique et une question de revenus.

En pratique

Ce qui est permis et ce qui ne l'est pas dans la bannière et les cookies

Exemples réels de configurations qui apparaissent sur des sites avec annonces.

Autorisé

  • Boutons Tout accepter et Tout refuser côte à côte, de même taille et de même mise en avant
  • Charger les cookies essentiels, comme le panier ou la connexion, sans demander de consentement
  • Afficher le message du TCF uniquement aux visiteurs de l'EEE, du Royaume-Uni et de la Suisse
  • Un lien Préférences de cookies en pied de page qui rouvre les options à tout moment
  • Lister les partenaires publicitaires sur la deuxième couche de la bannière, avec la finalité de chacun
  • Proposer des annonces non personnalisées à ceux qui refusent

Interdit

  • Enregistrer des cookies publicitaires avant que la personne ne réponde à la bannière
  • Cacher Refuser sur un autre écran alors qu'Accepter est mis en avant
  • Laisser les cases de finalités déjà cochées
  • Considérer le défilement de la page ou la poursuite de la navigation comme un consentement
  • Bloquer tout le contenu tant que la personne n'a pas accepté les cookies
  • Utiliser un plugin de cookies ordinaire sans certification Google pour les annonces personnalisées

Erreurs courantes

Défaillances les plus fréquentes sur les sites brésiliens avec du trafic européen

Presque toutes passent inaperçues, car le site continue de fonctionner et les annonces continuent de s'afficher.

Croire que la loi ne s'applique pas au Brésil

L'entreprise est brésilienne, mais le visiteur est au Portugal. Pour ce visiteur, les règles européennes et la politique de Google s'appliquent.

Bannière qui ne fait qu'informer

Une barre avec le texte Ce site utilise des cookies et un bouton OK ne demande pas de consentement. Les cookies ont déjà été enregistrés avant le clic.

Balises qui se chargent avant le choix

Le code d'annonces ou Analytics se trouve en haut de la page, au-dessus de la CMP. Les cookies sont enregistrés dans les premières secondes, sans consentement.

Politique de confidentialité générique

Texte copié d'un autre site, sans citer Google, les partenaires publicitaires, les bases légales ni la façon de retirer le consentement.

Aucun chemin pour changer d'avis

Après le premier clic, le visiteur ne retrouve plus la bannière. Retirer le consentement devient plus difficile que de le donner.

Message européen pour le monde entier

Afficher le TCF aux visiteurs du Brésil ou des États-Unis n'est pas exigé et fait baisser les revenus de ces visiteurs sans nécessité.

Dans ConsentMode

Ce que l'audit vérifie sur le GDPR sur votre site

  • Ouvre le site comme un visiteur d'Europe et comme un visiteur d'ailleurs, et montre sur une capture où la bannière apparaît et où elle n'apparaît pas.
  • Vérifie s'il y a des cookies publicitaires ou d'analyse enregistrés avant tout clic sur la bannière.
  • Identifie la CMP, lit la chaîne du TCF et vérifie si elle figure dans la liste des CMP certifiées de Google.
  • Vérifie si le bouton de refus est sur la première couche et s'il existe un lien pour rouvrir les préférences.
  • Lit la politique de confidentialité et signale ce qui manque : Google, partenaires publicitaires, cookies et façon de retirer le consentement.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes sur le GDPR

Mon site est brésilien et rédigé en portugais. Le GDPR s'applique-t-il à moi ?

Il s'applique aux visites qui viennent d'Europe lorsque vous utilisez des cookies publicitaires ou de suivi sur ces visiteurs. Pour le public du Brésil, c'est la LGPD qui s'applique. C'est pourquoi la bonne configuration utilise des régions : règles européennes pour les Européens, règles locales pour le reste.

Ai-je besoin d'un consentement pour Google Analytics ?

En Europe, les cookies d'analyse ne sont pas considérés comme strictement nécessaires, ils exigent donc en règle générale un consentement préalable. Le Consent Mode aide à respecter ce choix sans perdre toute la mesure.

Puis-je utiliser l'intérêt légitime pour les annonces personnalisées ?

Pour enregistrer et lire des cookies publicitaires, la règle européenne sur les cookies exige le consentement. De plus, Google demande le consentement pour les annonces personnalisées dans l'EEE, au Royaume-Uni et en Suisse. En pratique, la voie sûre est le consentement.

Le cookie wall est-il interdit ?

Les lignes directrices de l'EDPB disent que conditionner l'accès au contenu à l'acceptation des cookies ne produit pas un consentement libre. Certains pays discutent de modèles alternatifs, comme payer pour naviguer sans annonces, mais cela exige une analyse juridique au cas par cas.

Combien de temps un consentement est-il valable ?

Le GDPR ne fixe pas de durée unique. De nombreuses autorités recommandent de redemander après quelques mois, et le TCF de l'IAB Europe a aussi ses propres règles. Consultez les orientations du pays de votre public et celles de votre CMP.

ConsentMode remplace-t-il un avocat ou une CMP ?

Non. ConsentMode est un audit en lecture seule. Il montre ce que le site fait pour chaque type de visiteur, avec des captures et un plan de correction. La décision juridique et la bannière restent du ressort de votre équipe et de votre CMP.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Découvrez ce que les visiteurs européens voient sur votre site

L'audit ouvre le site comme un visiteur d'Europe, vérifie la bannière, les cookies et le TCF, et montre exactement ce qu'il faut corriger.

Lancer l'audit