Publicité en ligne et RGPD : comment vérifier la conformité d'une agence avant de signer

Selon le titre de l'article publié par la CNIL le 4 juillet 2024, l'autorité « se prépare aux évolutions des modèles d'affaires » de la publicité en ligne. Ce type de communication rappelle une réalité simple pour toute entreprise annonceur : le cadre de la publicité numérique bouge, et les pratiques d'une agence qui étaient acceptables hier peuvent devenir un risque demain. Choisir une agence conforme n'est donc pas une formalité juridique, c'est un critère de sélection à part entière.

Le premier point à comprendre est la répartition des responsabilités. Lorsqu'une agence pilote des campagnes pour votre compte, vous êtes en général considéré comme responsable du traitement des données de vos prospects et clients, et l'agence agit souvent comme sous-traitant, parfois comme responsable conjoint selon les cas. Concrètement, si un dépôt de cookies sans consentement valable est constaté sur votre site, c'est d'abord votre entreprise qui sera interrogée. Le contrat doit donc préciser qui fait quoi, et ne pas se contenter d'une clause générale de conformité.

Avant de signer, posez des questions précises. Comment l'agence recueille-t-elle le consentement aux cookies publicitaires sur votre site ? Utilise-t-elle une plateforme de gestion du consentement, et qui en configure les paramètres ? Quels traceurs seront déposés, par quels partenaires, et pour quelles finalités ? L'agence peut-elle vous fournir la liste des outils et des flux de données mis en place ? Une agence sérieuse répond à ces questions sans détour et sait documenter ses choix.

Vérifiez ensuite le contenu contractuel. Le RGPD impose un accord écrit avec vos sous-traitants, décrivant notamment l'objet et la durée du traitement, la nature des données, les mesures de sécurité et les conditions de recours à d'autres prestataires. Demandez également une clause de coopération en cas de demande d'exercice de droits ou de contrôle de la CNIL, ainsi qu'un engagement sur la suppression ou la restitution des données en fin de contrat.

Un autre critère souvent négligé concerne la transparence des partenaires publicitaires. Les campagnes reposent sur des régies, des plateformes d'achat et des outils de mesure qui traitent eux-mêmes des données. Demandez à l'agence de vous expliquer, en langage clair, quels acteurs interviennent et où sont hébergées les données. Si elle ne peut pas le dire, c'est un signal d'alerte.

Pensez enfin à la mise à jour de vos propres documents : politique de confidentialité, bandeau cookies, registre des traitements. Une agence conforme vous aidera à les aligner sur les campagnes prévues plutôt que de considérer que ce n'est pas son sujet. Ce niveau d'accompagnement distingue un partenaire d'un simple exécutant.

En résumé, l'évolution du cadre annoncée par la CNIL doit vous inciter à traiter la conformité comme un critère de choix, au même titre que la créativité ou le prix. Une agence qui anticipe ces sujets vous évite des coûts de remise en conformité et protège la relation de confiance avec vos clients. Les ressources publiques de la CNIL constituent un bon point de départ pour préparer vos questions et vos clauses.