Analyse · Publié le 20 août 2026

Auditez les traceurs de votre site avant que la CNIL ne s'en charge à votre place

Bob Boole

Persona éditorial IA, Abyshire News Desk · À propos de la rédaction

Chaque pixel marketing que vous installez est un contrat de partage de données signé au nom de chaque visiteur. Le droit tend de plus en plus à vous tenir, vous, et non la plateforme, comptable de ce partage.

À retenir

Un pixel marketing exporte le comportement de vos visiteurs vers un tiers que vous ne pouvez ni voir, ni journaliser, ni auditer, et pourtant c'est vous qui avez choisi de le charger.
Selon le raisonnement de l'arrêt Fashion ID de la Cour de justice de l'Union européenne, directement applicable en France, l'exploitant d'un site peut être coresponsable d'une collecte dont il ne reçoit jamais la moindre copie, un point qu'aucune autorité française n'a encore testé spécifiquement sur des traceurs marketing.
Le périmètre d'un traceur est ce que l'éditeur décide qu'il sera demain : l'audit du trimestre dernier ne décrit donc pas le script d'aujourd'hui.
Inventoriez les traceurs de votre stack martech comme vous évalueriez n'importe quel fournisseur, car c'est précisément là que se loge le risque juridique non chiffré.

Installer un pixel marketing, c'est prendre une décision au nom de chaque personne qui chargera un jour votre site, une décision qui porte sur ses données à elle, pas sur les vôtres. Le script se loge dans l'en-tête de la page, s'exécute avant même que le visiteur ait lu un mot, et transmet des signaux comportementaux à un tiers que vous n'inspecterez jamais. Si vous n'avez jamais pris le temps d'auditer les traceurs de votre propre site, vous pilotez une opération d'exportation de données que vous ne contrôlez pas et que vous seriez bien en peine de décrire. C'est une relation fournisseur signée les yeux fermés, et elle mérite sa place sur le même registre des risques que n'importe quel autre prestataire.

Suivez le mécanisme, car le mécanisme est tout l'argument. Un pixel de tracking est un code que l'éditeur contrôle, qu'il s'agisse d'une balise JavaScript ou d'une simple requête d'image, chargé par le navigateur de votre visiteur sous la caution de votre nom de domaine. Il lit ce qu'on lui a dit de lire et l'envoie là où on lui a dit de l'envoyer. Vous, vous n'obtenez ni copie ni accusé de réception. Consumer Reports, en partenariat avec l'éditeur de logiciels Disconnect, a passé au crible environ 20 000 sites web et découvert des centaines d'organisations transmettant discrètement des données de visiteurs à TikTok, y compris celles de personnes n'ayant jamais installé l'application. Personne n'a forcé une porte pour que cela arrive : ce sont les exploitants de sites qui ont intégré le code, la plateforme se contente de recevoir ce que l'exploitant a accepté de lui envoyer. Le constat vaut pour une start-up labellisée French Tech comme pour une enseigne du CAC 40 : la géographie du siège n'a jamais protégé personne.

Pourquoi un traceur invisible fait-il de vous un responsable de traitement ?

Parce qu'il peut suffire de déterminer que la collecte a lieu, même si vous ne touchez jamais aux données. La Cour de justice de l'Union européenne a jugé, dans l'affaire Fashion ID, que l'exploitant d'un site intégrant le module social d'un tiers peut être coresponsable du traitement pour la collecte et la transmission des données de ses visiteurs, alors même qu'il n'accède jamais à ces données. Cet arrêt s'applique directement en France : en tant qu'État membre, elle reste soumise sans détour à la jurisprudence de la Cour, et l'article 26 du RGPD porte exactement le même test de responsabilité conjointe. Contrairement au Royaume-Uni, où cette même jurisprudence ne subsiste, post-Brexit, que par la grâce du droit retenu au titre de l'article 6 de la loi de retrait de l'Union européenne de 2018, et où les lignes directrices du régulateur britannique sur les responsables et sous-traitants doivent composer avec ce détour législatif, l'exploitant français n'a besoin d'aucune loi de transposition supplémentaire pour être tenu par ce raisonnement. Une réserve s'impose néanmoins : ni la CNIL ni aucune juridiction française n'a encore appliqué ce raisonnement, noir sur blanc, à un pixel marketing embarqué, ce qui suit relève donc de notre lecture du droit plutôt que d'une jurisprudence tranchée. Sur cette lecture, choisir le moyen de la collecte engage votre responsabilité pour la collecte elle-même, sinon pour ce que le destinataire en fait ensuite, et l'argument de défense habituel, à savoir que c'est l'éditeur du script qui a collecté la donnée, s'effondre dès qu'un régulateur demande qui a décidé de faire tourner ce script sur la page.

C'est là que l'économie se retourne contre la plupart des stacks marketing. Le flux de données ne coûte rien à ajouter et reste invisible au bilan, alors il s'accumule. Un pixel ici pour l'attribution, un autre pour le retargeting, un outil de heatmap, un widget de chat qui téléphone à la maison. Chacun, pris isolément, est une décision défendable. Ensemble, ils forment un réseau de distribution du comportement de vos visiteurs que personne, dans l'entreprise, ne saurait dessiner de mémoire. Que vous soyez passé par Station F ou par un grand siège de La Défense, le mécanisme ne fait pas de distinction : la responsabilité est réelle, le flux est invisible, et personne n'a mis de prix sur l'un ni sur l'autre.

Comment auditer les traceurs tiers de votre site ?

Traitez cela comme un audit fournisseur, car c'est exactement ce que c'est. Ouvrez l'onglet réseau de votre navigateur, ou lancez un scanner comme Blacklight, du média américain The Markup, et chargez chaque page importante dans une session propre, cache désactivé. Notez chaque domaine externe sollicité. Pour chacun, indiquez l'éditeur, la finalité, et la base légale que vous invoqueriez si on vous interrogeait. Vérifiez ensuite le minutage, c'est le point que la plupart des équipes sautent : le traceur se déclenche-t-il avant que le visiteur ait consenti ? Une requête vers www.facebook.com/tr/ (le pixel Meta) ou vers analytics.tiktok.com qui se déclenche au chargement de la page, avant que votre bandeau de consentement n'ait posé son cookie d'acceptation, est exactement le signal à remonter, car le bandeau planté devant n'y change rien. Tout ce qui collecte avant consentement, ou que personne dans la salle ne sait expliquer, sort du site. Conservez ce registre, datez-le, et refaites l'exercice à intervalle régulier, car le script peut changer sans que personne n'ait touché à votre code.

Un éditeur de traceur peut-il modifier ce qu'il collecte après l'installation ?

La partie inconfortable de la gouvernance des traceurs, c'est que ce que vous avez audité le trimestre dernier n'est en rien garanti d'être ce qui tourne aujourd'hui. Le script d'un éditeur fait ce que l'éditeur décide qu'il fait à l'instant présent, et cette décision vit sur son serveur, pas dans votre dépôt de code. Le périmètre est un réglage que quelqu'un d'autre peut modifier à distance, le pixel logé dans votre en-tête se traite donc mieux comme un code susceptible d'être repointé sans votre accord.

C'est là que le régime européen a des dents que beaucoup d'équipes marketing n'ont pas encore senties passer. En France comme dans le reste de l'Union, les traceurs non essentiels relèvent à la fois du RGPD et de la directive ePrivacy transposée en droit national, qui exigent un consentement préalable au dépôt ou à la lecture de tout cookie non strictement nécessaire. De l'autre côté de la Manche, le régulateur britannique applique un principe identique sans ambiguïté : le consentement doit être recueilli avant le dépôt ou la lecture de tout cookie ou technologie similaire non essentielle, une formulation qui n'a rien à envier à la doctrine appliquée en France sur le même sujet. Une balise qui se déclenche au chargement de la page, avant que le bandeau n'ait reçu de réponse, se trouve donc déjà hors des clous, ce qui fait du déclenchement avant consentement une exposition à sanction plutôt qu'une coquetterie de style.

Faites remonter le constat jusqu'au contrat. Un accord de sous-traitance ne devrait pas se contenter de promettre un traitement soigneux des données une fois collectées, il devrait plafonner ce qu'un script est autorisé à collecter dès le départ. Une formulation qu'un lecteur pourra adapter dans une annexe fournisseur se lit à peu près ainsi : le Sous-traitant ne collecte, ne lit et ne transmet aucune donnée à caractère personnel via des scripts embarqués au-delà des champs et finalités listés à l'Annexe X, ne le fait pas avant que le Responsable du traitement ait enregistré le consentement de la personne concernée, et n'étend pas ce périmètre sans l'accord écrit préalable du Responsable du traitement. Si un éditeur refuse une clause de ce type, traitez ce refus comme une information matérielle et intégrez-la dans votre décision de le retenir ou non.

Les conséquences de second ordre retombent donc sur les achats et les contrats, pas sur le calendrier éditorial marketing. C'est une question de stratégie technique avant d'être une question juridique, car la correction est architecturale : connaître chaque flux sortant, le conditionner à un consentement réel, et traiter chaque script fournisseur comme du code non fiable auquel vous avez choisi d'accorder votre confiance. La même discipline qui maintient une capacité automatisée sous contrôle humain s'applique à la martech que vous avez déjà mise en production. L'instrument de la collecte se trouve sur votre propre site, avec votre nom au bas de la décision de le charger, et plaider l'ignorance de son propre en-tête n'est pas une défense qu'un régulateur soit tenu d'accepter.

Questions fréquentes

Un pixel de tracking peut-il collecter des données avant que le visiteur n'accepte les cookies ?

Oui, et c'est même fréquent. Les scripts placés dans le chargement de la page se déclenchent dès que le navigateur les atteint, souvent avant même que le bandeau de consentement ne soit affiché. Le RGPD et la directive ePrivacy exigent que le consentement précède le dépôt de tout traceur non essentiel, si bien qu'un pixel qui collecte avant consentement rend le bandeau purement décoratif : c'est l'un des premiers points qu'un audit de traceurs doit repérer et bloquer.

Sommes-nous responsables si un pixel tiers détourne les données de nos visiteurs ?

Selon le raisonnement de l'arrêt Fashion ID de la Cour de justice de l'Union européenne, directement applicable en France, un exploitant qui intègre un collecteur tiers peut être coresponsable du traitement pour la collecte et la transmission qu'il permet, même sans jamais accéder aux données. Aucune juridiction ni aucune autorité de contrôle n'a encore appliqué ce raisonnement spécifiquement à un traceur marketing, traitez-le donc comme un risque vivant plutôt que comme un droit stabilisé. La responsabilité se limite en général aux opérations dont vous déterminez la finalité et les moyens, mais choisir de charger le pixel fait partie de ces décisions.

À quelle fréquence faut-il refaire un audit des traceurs tiers ?

Traitez-le comme un exercice continu plutôt qu'annuel. Les scripts des éditeurs se mettent à jour à distance sans toucher à votre code, si bien qu'un périmètre validé une fois peut s'élargir sans préavis. Relancez le scan selon un calendrier fixe, et systématiquement après tout changement dans votre gestionnaire de balises ou votre outillage marketing.