ConformiteFacile

Blog

Pixels publicitaires (Meta, LinkedIn, TikTok) : ce que le RGPD impose avant de les installer

Publie le 21/09/2026 · Temps de lecture : 10 min

Gros plan sur un smartphone affichant les icones de plusieurs applications de reseaux sociaux
Photo : Sanket Mishra sur Pexels

En janvier 2023, la Data Protection Commission irlandaise a sanctionne Meta a hauteur de 390 millions d'euros (210 millions pour Facebook, 180 millions pour Instagram) pour avoir fonde la publicite personnalisee sur la base legale du contrat plutot que sur le consentement des utilisateurs. Cette decision, confirmee par le Comite europeen de la protection des donnees, rappelle une regle simple mais souvent ignoree par les TPE et PME qui installent des outils de suivi publicitaire sur leur site : un pixel Meta, LinkedIn ou TikTok n'est pas un simple bout de code technique, c'est un traceur qui collecte des donnees personnelles pour un tiers, et qui exige a ce titre une base legale valide.

Ce guide explique ce que sont exactement ces pixels, pourquoi le RGPD et la loi Informatique et Libertes les traitent comme des cookies, et comment les integrer sans exposer votre site a une mise en demeure de la CNIL.

Sommaire

Qu'est-ce qu'un pixel publicitaire ?

Un pixel publicitaire est un fragment de code JavaScript (parfois associe historiquement a une image transparente de 1x1 pixel, d'ou son nom) que l'on insere sur les pages d'un site. A chaque visite, ce code envoie un signal au serveur du reseau social concerne : page consultee, produit ajoute au panier, formulaire rempli, achat finalise. Le Meta Pixel (Facebook et Instagram), le LinkedIn Insight Tag, le TikTok Pixel et le Pinterest Tag fonctionnent tous sur ce principe.

Leur interet pour un annonceur est double : mesurer le retour sur investissement d'une campagne publicitaire (combien de visiteurs venus d'une publicite Facebook ont finalement achete) et constituer des audiences pour le reciblage (re-afficher une publicite a un visiteur qui a consulte une fiche produit sans acheter, ou creer une audience « similaire » a partir des visiteurs du site). Pour realiser ces deux operations, le pixel depose generalement un identifiant sur le terminal du visiteur et transmet des donnees de navigation au reseau social, qui les rapproche du profil publicitaire de la personne si elle est connectee a son compte.

Le texte qui encadre precisement les traceurs deposes sur un terminal n'est pas le RGPD mais l'article 82 de la loi n° 78-17 du 6 janvier 1978 modifiee, dite loi Informatique et Libertes, qui transpose en droit francais l'article 5.3 de la directive europeenne « ePrivacy ». Cet article impose un consentement prealable avant toute lecture ou ecriture d'informations sur l'equipement terminal d'un utilisateur, sauf exception limitee (cookies techniques indispensables au service demande).

La CNIL a explicitement precise, dans ses lignes directrices de 2020, que cette regle ne se limite pas aux cookies au sens strict : elle couvre « tout objet et technique de traçage similaire », y compris les pixels invisibles, le stockage local (local storage) et les techniques de fingerprinting. Une fois le consentement recueilli au sens de la loi Informatique et Libertes, le traitement des donnees collectees (constitution d'un profil publicitaire, partage avec le reseau social) releve ensuite du RGPD, et notamment de son article 6, qui exige une base legale pour tout traitement de donnees a caractere personnel. Pour de la publicite ciblee, cette base legale est, dans l'immense majorite des cas, le consentement au sens de l'article 4.11 du RGPD : libre, specifique, eclaire et univoque.

Pourquoi un pixel exige un consentement specifique

Un consentement global et vague ne suffit pas. La CNIL exige un consentement « specifique » a chaque finalite : un visiteur qui accepte les cookies de mesure d'audience anonyme n'a pas pour autant accepte le partage de ses donnees de navigation avec Meta ou TikTok a des fins publicitaires. Concretement, votre bandeau de consentement (ou plateforme de gestion du consentement, CMP) doit presenter une categorie clairement identifiee comme « publicite ciblee » ou « reseaux sociaux et publicite », distincte de la categorie « mesure d'audience », et le code du pixel ne doit s'executer qu'apres acceptation de cette categorie precise.

Un test simple permet de vérifier la conformite de votre site : ouvrez-le en navigation privee, n'acceptez rien, et inspectez les requetes reseau dans les outils de developpeur du navigateur (onglet Reseau, filtre sur le domaine facebook.com, linkedin.com ou tiktok.com). Si une requete part vers l'un de ces domaines avant tout clic sur la banniere, le pixel se charge sans consentement et le site est en infraction.

Vue en plongee sur un ordinateur portable affichant des graphiques d'analyse de donnees marketing
Photo : Lukas Blazek sur Pexels

Les sanctions deja prononcees

Au-dela de la decision de janvier 2023 contre Meta sur la base legale de la publicite personnalisee, la CNIL a deja sanctionne des acteurs pour des manquements directement lies aux traceurs publicitaires. En janvier 2023, elle a inflige une amende de 5 millions d'euros a TikTok pour avoir rendu le refus des cookies plus complexe que leur acceptation, un defaut de design de banniere qui touche directement le pixel publicitaire integre par defaut sur de nombreux sites utilisant TikTok Ads. En 2023 toujours, Criteo, specialiste du reciblage publicitaire, a ete sanctionne a hauteur de 40 millions d'euros par la CNIL, notamment pour ne pas avoir verifie que les sites partenaires recueillaient bien un consentement valide avant de transmettre des donnees a des fins de reciblage.

Ce dernier point est essentiel pour un editeur de site : la responsabilite ne s'arrete pas au reseau social qui fournit le pixel. En tant que responsable de traitement pour votre propre site, vous devez pouvoir demontrer que le consentement a ete recueilli avant l'execution du code, meme si ce code est fourni et heberge par Meta, LinkedIn ou TikTok.

Les API de conversion server-side changent-elles la donne ?

Face au blocage croissant des cookies tiers par les navigateurs et aux bloqueurs de publicite, les reseaux sociaux proposent desormais des API de suivi cote serveur : Conversions API pour Meta, Events API pour TikTok, Conversions API pour LinkedIn. Plutot que de faire remonter l'information depuis le navigateur du visiteur via un script, le serveur du site transmet directement l'evenement (visite, ajout au panier, achat) au reseau social, en general enrichi de donnees comme l'email ou le numero de telephone du client, transmis sous forme hachee.

Cette architecture ameliore la fiabilite de la mesure, mais ne change rien au cadre juridique. Un email hache reste une donnee a caractere personnel au sens du RGPD des lors qu'il permet de reidentifier une personne par recoupement (le hachage est une pseudonymisation, pas une anonymisation au sens du considerant 26 du RGPD). Le transfert de cette donnee a un tiers pour du ciblage publicitaire necessite donc exactement la meme base legale que le pixel classique : le consentement prealable de la personne concernee. Presenter une solution server-side comme un moyen de s'affranchir de la banniere de consentement est une erreur qui expose au meme risque de mise en demeure.

Audiences personnalisees et listes de reciblage

Beaucoup de TPE et PME utilisent aussi la fonctionnalite « audiences personnalisees » : elles importent leur liste de clients (adresses email, numeros de telephone) directement dans Meta Ads Manager ou LinkedIn Campaign Manager pour cibler ces personnes avec des publicites, ou pour generer une audience « similaire » (lookalike) a partir de ce fichier. Cette operation constitue un traitement de donnees personnelles a part entiere, distinct du pixel : elle transfere une base client complete a un tiers.

Deux consequences pratiques. D'abord, cette finalite doit figurer dans votre politique de confidentialite et dans votre registre des traitements (article 30 du RGPD), avec le nom du reseau social destinataire. Ensuite, la base legale doit etre coherente avec celle utilisee lors de la collecte initiale de l'email : si vos clients ont fourni leur adresse uniquement pour recevoir leur facture, l'utiliser ensuite pour du ciblage publicitaire sans information ni consentement specifique constitue un detournement de finalite, interdit par l'article 5.1.b du RGPD.

Mettre un pixel en conformite en 6 etapes

  1. Inventorier tous les pixels installes sur le site (souvent ajoutes au fil du temps par differentes personnes, via un gestionnaire de balises comme Google Tag Manager).
  2. Categoriser chaque pixel dans une case « publicite ciblee » distincte de la mesure d'audience dans votre banniere ou CMP.
  3. Bloquer le chargement du code tant que la categorie correspondante n'a pas ete acceptee (verifiable en navigation privee, onglet Reseau).
  4. Mettre a jour la politique de confidentialite avec le nom de chaque reseau social destinataire et la finalite precise (mesure de conversion, reciblage, audience similaire).
  5. Verifier les audiences personnalisees deja importees dans les interfaces publicitaires : leur base legale doit etre documentee dans le registre des traitements.
  6. Archiver la preuve du consentement (horodatage, choix exact, version de la banniere) independamment du navigateur du visiteur, pour pouvoir la presenter en cas de controle.

Une solution de gestion du consentement comme ConformiteFacile automatise le blocage des scripts tant que la categorie correspondante n'est pas acceptee, et archive chaque preuve de consentement horodatee. Vous pouvez comparer les formules sur la page tarifs.

Vos pixels publicitaires sont-ils vraiment bloques avant consentement ?

ConformiteFacile categorise vos traceurs, bloque leur execution tant que le visiteur n'a pas donne son accord specifique et archive automatiquement chaque preuve de consentement.

Verifier mon site gratuitement

Pour les erreurs les plus frequentes sur les bandeaux de cookies en general, au-dela des seuls pixels publicitaires, consultez notre article sur les 5 erreurs qui exposent votre site a une sanction CNIL.

Questions frequentes

Un pixel publicitaire est-il vraiment un cookie ?

Techniquement non : un pixel est une image invisible ou un script qui declenche un appel serveur, alors qu'un cookie est un fichier stocke dans le navigateur. Mais juridiquement, cela ne change rien : l'article 82 de la loi Informatique et Libertes s'applique a toute operation de lecture ou d'ecriture d'informations sur le terminal d'un utilisateur, quelle que soit la technique employee. La CNIL classe donc les pixels dans la meme famille que les cookies : ce sont des « traceurs » soumis au meme regime de consentement prealable.

Le Meta Pixel peut-il tourner en continu sans consentement s'il sert juste a mesurer les ventes ?

Non, sauf exception tres etroite. La mesure d'audience n'est exemptee de consentement que si elle est strictement limitee a des statistiques anonymes, sans partage avec un tiers et sans recoupement avec d'autres traitements. Le Meta Pixel transmet par nature des donnees a Meta pour alimenter le ciblage publicitaire et la creation d'audiences similaires : il ne remplit aucune des conditions de l'exemption et exige donc un consentement specifique, prealable a son chargement.

L'API de conversion server-side (Conversions API, Events API) dispense-t-elle du consentement ?

Non. Ces API permettent d'envoyer les evenements de conversion directement depuis le serveur du site plutot que depuis le navigateur, ce qui ameliore la fiabilite de la mesure et resiste mieux au blocage des cookies tiers. Mais la donnee transmise reste une donnee personnelle (email hache, identifiant client, adresse IP) traitee pour un ciblage publicitaire chez un tiers : la base legale requise reste le consentement, exactement comme pour le pixel classique. Seul le canal technique change, pas le cadre juridique.

Que risque une TPE qui installe un pixel Facebook ou TikTok sans bandeau de consentement ?

Le risque juridique est identique a celui d'un cookie de mesure d'audience non consenti : mise en demeure de la CNIL en cas de plainte ou de controle, avec un delai pour se mettre en conformite, puis sanction financiere en cas de recidive. Les montants pour une petite structure restent proportionnes a son activite, mais l'obligation de corriger le probleme est immediate des la mise en demeure, sans delai de tolerance supplementaire.

A lire aussi

Gros plan sur des baies de serveurs dans un data center, illustrant l'hebergement de donnees
Transferts internationaux

Transferts de donnees hors UE : ce que le RGPD impose avant d'utiliser un outil americain

Lire
Piles de boites de rangement colorees empilees sur une etagere, symbolisant l'archivage de donnees
Conservation des donnees

Duree de conservation des donnees clients : combien de temps les garder selon le RGPD

Lire
Main tenant un smartphone affichant une boite de reception e-mail
E-mailing & prospection

E-mailing et RGPD : les regles d'opt-in a respecter en B2C et en B2B

Lire