Meta Ads et RGPD : rester conforme

Une campagne Meta Ads ne se joue pas seulement dans le Gestionnaire de publicités : dès qu'une balise de mesure ou de ciblage est installée sur votre site, ce sont votre bandeau, vos réglages et votre preuve de consentement qui sont en cause. Cet article s'appuie sur la page de la CNIL Cookies et traceurs : que dit la loi ? (publiée le 29 septembre 2020, lue en entier le 9 octobre 2026) sur les Conditions générales des Outils Meta Business (entrées en vigueur le 3 novembre 2025, lues en entier le 9 octobre 2026) et sur deux comptes rendus juridiques de la décision de la CNIL du 31 décembre 2021. Il ne remplace pas l'avis d'un juriste ou d'un délégué à la protection des données.

Deux limites sont à connaître. La Ressource sur le consentement aux cookies de Meta, vers laquelle renvoient ses conditions, n'a pas été lue : aucune affirmation n'est faite sur son contenu. Et la page de la CNIL consacrée à la sanction de 2021 n'est plus disponible : les faits qui la concernent sont rapportés par deux cabinets d'avocats.

Qui doit recueillir le consentement ?

La page de la CNIL précise que l'obligation s'impose aux responsables des traitements qui déposent des traceurs soumis au consentement. Elle cite les éditeurs de sites web et d'applications mobiles, les régies publicitaires et les réseaux sociaux qui fournissent des modules de partage. Lorsqu'un éditeur autorise le dépôt de cookies ensuite lus par une régie publicitaire, les deux sont réputés responsables conjoints des opérations de lecture et d'écriture sur le terminal de l'utilisateur. La CNIL ajoute que l'éditeur, en contact direct avec l'internaute, est bien placé pour l'informer et recueillir son consentement.

La page ne cite pas nommément le Pixel Meta. Pour une entreprise qui fait de la publicité, la conséquence pratique reste la même : le bandeau affiché sur son propre site est le point où le consentement se recueille, et c'est à elle de s'assurer que la balise respecte le choix fait.

Prouver le consentement

La CNIL indique que chaque acteur qui se prévaut du consentement doit pouvoir en apporter la preuve. Elle cite, de façon non exclusive, la mise sous séquestre auprès d'un tiers du code utilisé pour recueillir le consentement, ou la publication horodatée d'un condensat de ce code, ainsi que la conservation de captures d'écran horodatées du rendu affiché sur un terminal. Elle recommande aussi que le choix soit exprimé sur chacun des sites ou applications concernés, et que le consentement soit redemandé lorsqu'une nouvelle finalité nécessitant le consentement s'ajoute.

Ce que Meta impose à l'annonceur

Les Conditions générales des Outils Meta Business s'appliquent dès qu'un outil comme le Pixel Meta, l'API de conversions, le SDK Facebook pour App Events, les conversions hors ligne ou l'API App Events envoie des données à Meta. Elles ne se contentent pas de renvoyer à la loi : elles placent sur l'annonceur plusieurs engagements, résumés ci-dessous.

Ces conditions concordent avec la page de la CNIL sur un point : le recueil du consentement relève de l'éditeur du site, qui est en contact avec le visiteur. Elles précisent en plus que les audiences construites à partir d'un fichier clientèle importé relèvent de conditions distinctes, les Conditions générales des audiences personnalisées basées sur un fichier clientèle, qui n'ont pas été lues pour cet article.

Cette sanction visait Facebook Ireland pour le bandeau de son propre site, et non des annonceurs. Elle montre en revanche le critère appliqué par la CNIL : le nombre d'actions nécessaires pour refuser comparé au nombre d'actions pour accepter. Un bandeau de site d'annonceur qui propose un bouton « Tout accepter » sans bouton « Tout refuser » de même niveau se mesure à ce même critère.

Ce que le respect du consentement change dans les chiffres

Respecter le consentement a une conséquence directe sur les chiffres affichés dans le Gestionnaire de publicités : les visiteurs qui refusent ne sont pas mesurés par la balise. L'exemple ci-dessous est illustratif : toutes les valeurs sont fictives et le comportement des visiteurs qui acceptent est supposé identique à celui des visiteurs qui refusent, ce qui n'est pas garanti en pratique.

Hypothèses : 10 000 visites par mois, 2 % de conversions réelles, soit 200 conversions. Le tableau montre qu'un rapport de campagne peut sous-estimer le résultat réel dans des proportions qui dépendent du taux d'acceptation du bandeau. Ce taux se lit dans l'outil de gestion du consentement du site, et non dans Meta. Cette sous-mesure est la contrepartie d'un recueil conforme : elle ne justifie pas de déclencher la balise avant le choix.

Plan d'action en six étapes

1. Lister les balises qui se chargent

Ouvrez le site dans un navigateur sans avoir touché au bandeau, puis consultez l'onglet réseau des outils de développement : notez chaque requête vers un domaine publicitaire. Toute requête émise avant le choix mérite une vérification.

2. Contrôler le bandeau

Comptez les clics pour accepter et pour refuser. Selon la CNIL, le refus doit être aussi simple que l'acceptation ; la sanction de 2021 s'est appuyée sur un écart de clics.

3. Conserver la preuve

Archivez des captures d'écran horodatées du bandeau et la version du code qui le pilote, comme le suggère la CNIL.

4. Documenter les listes de contacts

Les Audiences personnalisées créées à partir de listes clients relèvent de conditions distinctes de Meta, non lues ici, et de la base légale de la collecte initiale, que la page de la CNIL ne traite pas. Elle se documente avec un juriste ou le délégué à la protection des données.

5. Lire la ressource de Meta sur le consentement

Relisez la Ressource sur le consentement aux cookies de Meta, vers laquelle renvoient ses conditions, ainsi que la documentation développeur du Pixel et de l'API de conversions, notamment ce qu'elles prévoient pour transmettre l'état du consentement. Ces documents n'ont pas été lus pour cet article.

6. Revoir à chaque nouvelle finalité

Ajouter un nouvel usage des données, par exemple une nouvelle balise ou une nouvelle plateforme publicitaire, impose de redemander le consentement selon la CNIL.

Lecture : le relevé couvre septembre 2025 à août 2026 en France. Une valeur de 10 correspond au plancher de la base. Août 2026 est le mois le plus bas de la série pour « pixel meta » ; la cause n'est pas établie. Dix expressions testées, dont « meta ads rgpd », « publicité facebook rgpd », « pixel meta cnil », « api conversions meta », « bandeau cookies facebook » et « publicité ciblée rgpd », n'apparaissent pas dans la base : elles sont non mesurées, et non nulles. Le fonctionnement de « consent mode v2 » n'est pas décrit dans cet article.