Audit des pixels de tracking : conformité RGPD & ePrivacy pour PME
Les pixels partagent les données visiteurs avec les régies au déclenchement. Ce qu’un audit vérifie, pourquoi les pixels sont l’élément le plus sanctionné sur PME, et comment les conserver conformément.
Sur la plupart des sites PME, ce n’est pas la bannière qui est le plus risqué, ce sont les pixels derrière. Les pixels se déclenchent au pageload par défaut. En UE/UK c’est une infraction à chaque visite.
Cet article décrit ce qu’un audit des pixels contrôle, le comportement plateforme par plateforme, et les deux schémas d’installation qui marchent.
Ce que fait un pixel
- Le navigateur envoie une requête HTTP à la plateforme.
- La requête contient URL, référent, IP, user agent, taille d’écran et paramètres custom.
- Des cookies sont posés. Les plus importants sont des cookies first-party sur votre domaine (
_fbp,_fbc), écrits par le JavaScript du pixel lui-même, ce qui explique qu’ils survivent au blocage des cookies tiers dans Safari et Firefox. Si l’utilisateur est connecté à la plateforme, la visite est de toute façon associée à son identité. - Le pixel charge son JS et peut déclencher d’autres événements.
Pour les visiteurs UE/UK, tout au-delà de l’étape 1 est un traitement de données personnelles. Seule base légale réaliste : le consentement, avant déclenchement.
Plateforme par plateforme
Meta Pixel
Le snippet par défaut charge fbevents.js immédiatement et déclenche PageView. Défaillance la plus fréquente sur PME UE.
TikTok Pixel
Se déclenche aussi au pageload. Veracly observe l’état avant consentement : si analytics.tiktok.com reçoit un hit avant que le visiteur ait consenti à quoi que ce soit. Que votre CMP appelle ensuite correctement ttq.consent('granted') relève d’une vérification manuelle : nous ne cliquons pas votre bannière, donc nous ne voyons jamais l’appel qui suit l’acceptation.
LinkedIn Insight Tag
Sur chaque page, pose des cookies first et third party. Très souvent non gardé sur sites B2B.
Google Ads Conversion Tracking
Intégré à Consent Mode v2. Veracly enregistre si une requête de conversion ou de remarketing part vers googleadservices.com ou doubleclick.net avant consentement. L’état de consentement à l’intérieur de gtag n’est pas lu, et le contenu des requêtes n’est pas inspecté : le constat porte sur la requête, pas sur sa charge utile.
Pourquoi c’est le risque #1
Le déclenchement avant consentement est le manquement qu’une autorité peut prouver sans quitter son bureau : ouvrir le site, ouvrir l’onglet réseau, voir la requête partir avant que la bannière ait été touchée. L’exemple européen le mieux documenté est suédois : en 2024, l’IMY a sanctionné Apoteket d’environ 3,2 M€ pour un partage de données via le pixel Meta.
Les versions précédentes de cet article citaient ici une priorité d’action CNIL 2024 sur les pixels et une série de sanctions italiennes de 5 000 à 50 000 € contre de petits e-commerces. Ni l’une ni l’autre n’a résisté à la vérification des sources : les deux ont été supprimées, pas remplacées. La version défendable est plus étroite et reste inconfortable : le manquement technique se démontre en quelques secondes, il est présent sur une grande part des sites PME, et être petit ne fait pas sortir du champ d’application.
Les deux schémas qui marchent
Schéma 1 : chargement gardé par la CMP
Approche la plus propre. La CMP émet un événement quand l’utilisateur accepte une catégorie ; vous chargez le snippet du pixel à ce moment.
Schéma 2 : consent mode
Supporté par Google, Meta, TikTok : le script charge mais reste anonymisé tant qu’il n’y a pas de consentement. Pragmatique, la Hambourg DPA a soulevé des doutes sur les signaux « modélisés ».
Veracly compare les requêtes sortantes à un registre de 69 trackers curé à la main, en s’appuyant sur leurs endpoints de déclenchement plutôt que sur leurs scripts de chargement, afin qu’un tag correctement retenu par Consent Mode ne soit pas signalé comme s’il s’était déclenché. Pour chaque correspondance : l’URL de la requête, son moment par rapport à la bannière, les cookies et clés de stockage observés, et un correctif copier-coller pour la CMP/GTM.
Trois limites, annoncées d’emblée. Le registre est tenu à la main entre les versions : un tracker non encore ajouté ne sera pas reconnu. Tout ce qui n’atteint jamais le navigateur échappe à un scan côté navigateur (Meta Conversions API, conteneur GTM côté serveur, endpoint de tagging sur votre propre domaine). Et les re-scans planifiés sont mensuels sur l’offre Starter ; l’hebdomadaire et le quotidien relèvent des offres supérieures. Lancer un scan.
Questions fréquentes
Les pixels de tracking nécessitent-ils un consentement RGPD ?
Oui. Meta Pixel, TikTok Pixel, LinkedIn Insight Tag, Google Ads, Pinterest Tag et équivalents sont des trackers tiers qui stockent des données sur le terminal et les transmettent à la plateforme. Consentement requis avant déclenchement.
Différence entre pixel et cookie ?
Un cookie est un fichier sur le terminal. Un pixel est une image ou JS qui, en se chargeant, fait une requête HTTP, URL, référent, IP, user agent, paramètres custom. La plupart des pixels posent aussi des cookies.
Le tracking serveur évite-t-il le consentement ?
Non. Le tracking serveur (ex. Meta Conversions API) reste soumis au consentement RGPD si des données identifiantes sont traitées. Seul le canal change, pas la base légale.
Comment installer un pixel conformément ?
Deux schémas : (1) Pixel derrière le consent gate de la CMP, chargement uniquement après acceptation publicité. (2) Consent mode de la plateforme (Google Consent Mode v2, Meta data processing options, TikTok Consent API).
Voyez où en est votre site.
Lancez un scan Veracly gratuit et obtenez un rapport multi-juridictions, EAA, RGPD, ADA, UK Equality Act, AODA, avec des correctifs prêts à coller pour les développeurs.
Lancer un scan gratuit