choisirsonagence· 3 min de lecture
Publicité en ligne et RGPD : les garanties à exiger d'une agence média ou SEA
La publicité en ligne repose largement sur des données personnelles, ce qui engage votre responsabilité d'entreprise même lorsque la campagne est pilotée par une agence. Consentement, gestion des traceurs et contrat de sous-traitance sont les trois garanties à exiger avant de lancer une campagne.
La CNIL a publié en juillet 2024 une communication indiquant qu'elle se prépare aux évolutions des modèles d'affaires de la publicité en ligne. Sans entrer dans le détail du document, que nous vous invitons à consulter sur le site de l'autorité, ce titre rappelle une réalité souvent sous-estimée par les entreprises : le régulateur observe activement les pratiques publicitaires, et les annonceurs sont concernés au même titre que les plateformes.
Le point de départ est simple. Lorsqu'une agence média ou SEA pilote vos campagnes, elle manipule ou fait manipuler des données personnelles : identifiants publicitaires, comportements de navigation, audiences de reciblage, listes de clients importées dans les plateformes. Au sens du RGPD, votre entreprise est en général responsable de ces traitements, et l'agence agit comme sous-traitant. Cette répartition doit être claire dès le devis.
Première garantie à exiger : le consentement. Les traceurs publicitaires déposés sur votre site nécessitent, dans la plupart des cas, le consentement préalable de l'internaute. Demandez à l'agence comment elle s'articule avec votre bandeau de gestion des cookies, si elle vérifie que les balises publicitaires ne se déclenchent qu'après acceptation, et qui est responsable de cette vérification technique.
Deuxième garantie : la maîtrise des traceurs. Une agence qui installe des balises de suivi sur votre site doit vous fournir un inventaire de ce qu'elle dépose, de sa finalité et de sa durée de conservation. Vous devez pouvoir mettre à jour votre politique de confidentialité en conséquence. Si l'agence ne sait pas répondre précisément à cette question, c'est un signal d'alerte.
Troisième garantie : le contrat de sous-traitance. Le RGPD impose qu'un contrat encadre la relation entre le responsable de traitement et son sous-traitant, avec des clauses précises sur les instructions, la sécurité, la confidentialité et la fin de prestation. Vérifiez que l'agence propose ce type d'accord ou accepte le vôtre, et qu'elle précise les éventuels sous-traitants ultérieurs auxquels elle fait appel.
Au-delà de ces obligations, la communication de la CNIL rappelle que les modèles publicitaires évoluent : fin annoncée de certains identifiants, développement de solutions dites respectueuses de la vie privée, montée de la publicité contextuelle. Une agence à jour doit être capable de vous expliquer comment elle anticipe ces changements et ce que cela implique pour la mesure de vos campagnes.
Concrètement, ajoutez à votre grille d'évaluation des agences quelques questions simples : qui est le référent conformité au sein de l'agence ? Comment documente-t-elle les traitements réalisés pour votre compte ? Que se passe-t-il pour vos données à la fin du contrat ? Les réponses vous diront rapidement si la conformité est intégrée dans la méthode ou traitée comme une formalité.
En résumé, choisir une agence média ou SEA ne se limite pas à comparer des coûts par clic. La conformité au RGPD protège votre entreprise sur le plan juridique et préserve la confiance de vos clients. Les ressources publiques de la CNIL constituent un bon point de départ pour préparer ces échanges avec vos prestataires.
Questions fréquentes
Mon agence est-elle responsable des données utilisées dans mes campagnes ?
En général, l'agence agit comme sous-traitant et votre entreprise reste responsable de traitement. Un contrat conforme au RGPD doit encadrer cette relation.
Les balises publicitaires nécessitent-elles le consentement des internautes ?
Dans la plupart des cas, oui. Les traceurs à finalité publicitaire doivent être déclenchés uniquement après consentement, ce que l'agence doit pouvoir vérifier techniquement.
Quels documents demander à une agence média sur la conformité ?
Un contrat de sous-traitance, l'inventaire des traceurs déposés, la liste des sous-traitants ultérieurs et les modalités de restitution ou suppression des données en fin de contrat.