Comment faire du marketing en ligne en respectant le RGPD ?

Le marketing numérique repose sur les données : visites d'un site, adresses électroniques, historiques d'achats, comportements de navigation. C'est aussi le domaine où le RGPD et la réglementation des cookies sont les plus visibles pour le grand public, et où la CNIL a prononcé ses sanctions les plus lourdes. Cette rubrique aide les éditeurs de sites, les commerçants en ligne, les équipes marketing et les agences à utiliser leurs outils de manière conforme, sans renoncer à l'efficacité.

Ce que vous trouverez dans cette rubrique

Les articles abordent les principaux outils du marketing en ligne. Pour les sites : exemples de bandeaux cookies conformes, Google Analytics et ses alternatives, mesure d'audience exemptée de consentement, vidéos et polices intégrées, mentions légales, extensions des sites WordPress, formulaires de contact, assistants conversationnels. Pour la relation client : newsletters et double opt-in, liens de désinscription, jeux concours, avis clients, CRM. Pour la prospection : courriels entre professionnels, SMS marketing, prospection sur LinkedIn, location de fichiers à des partenaires, pixels de reciblage publicitaire. Chaque article explique la règle applicable, les erreurs à éviter et la configuration recommandée.

Deux corps de règles à combiner

Le marketing en ligne relève de deux ensembles de règles qu'il faut combiner. Les traceurs, comme les cookies, les pixels ou les identifiants publicitaires, sont régis par l'article 82 de la loi Informatique et Libertés, qui impose le consentement préalable de l'utilisateur, sauf exceptions limitées. La prospection électronique est régie par l'article L. 34-5 du Code des postes et des communications électroniques, qui impose le consentement préalable des particuliers pour les courriels et SMS, sauf pour les clients et des produits analogues. Le RGPD s'applique ensuite à tous les traitements de données réalisés : base légale, information, durée de conservation, droits et sécurité. Les articles de la rubrique indiquent pour chaque outil les règles applicables et leur articulation.

Les sanctions qui ont changé les pratiques

Les sanctions de la CNIL ont profondément transformé le marketing en ligne en France. En 2020, Google et Amazon ont été sanctionnés pour avoir déposé des cookies publicitaires sans consentement. En 2021, Google et Facebook l'ont été parce que refuser les cookies était plus compliqué que les accepter, ce qui a conduit la plupart des grands sites à ajouter un bouton « Tout refuser ». En 2025, la CNIL a de nouveau sanctionné Google, à hauteur de 325 millions d'euros, et Shein, à hauteur de 150 millions d'euros, notamment pour des manquements relatifs aux cookies. De nombreuses sociétés de prospection et courtiers en données ont aussi été sanctionnés pour des sollicitations sans consentement valable. Ces décisions servent de référence pour apprécier la conformité des pratiques.

Concilier performance et conformité

La conformité est souvent perçue comme un frein à la performance marketing. L'expérience montre pourtant que des pratiques respectueuses améliorent souvent les résultats. Une base de contacts constituée de personnes réellement consentantes génère de meilleurs taux d'ouverture et de clic, moins de désinscriptions et moins de signalements comme indésirables, ce qui protège la réputation de l'expéditeur auprès des fournisseurs de messagerie. Un bandeau cookies clair et honnête renforce la confiance des visiteurs. Une mesure d'audience exemptée de consentement fournit des statistiques plus complètes qu'un outil soumis au consentement, que de nombreux visiteurs refusent. Les articles de la rubrique proposent des approches qui concilient ces deux objectifs.

Les outils les plus utilisés, passés au crible

Les équipes marketing utilisent une multitude d'outils : solutions de mesure d'audience, plateformes d'emailing, CRM, outils d'automatisation, plateformes publicitaires, réseaux sociaux, outils de collecte d'avis, assistants conversationnels, solutions de gestion du consentement. Chacun soulève des questions spécifiques : où sont hébergées les données, le fournisseur les réutilise-t-il pour son propre compte, un transfert hors de l'Union est-il encadré, faut-il recueillir un consentement, quelle durée de conservation paramétrer ? Les articles de la rubrique examinent les outils les plus courants et indiquent les réglages recommandés, sans faire de publicité pour une solution particulière.

Le rôle des agences et des prestataires

Les agences web, les agences de communication et les prestataires marketing jouent un rôle important dans la conformité de leurs clients. Ils conçoivent les sites, paramètrent les outils de mesure, installent les bandeaux de consentement, gèrent les campagnes d'emailing. Ils agissent le plus souvent comme sous-traitants et doivent être liés par un contrat conforme à l'article 28. Leur responsabilité peut être engagée s'ils manquent à leurs propres obligations, notamment de sécurité ou de conseil. Les articles de la rubrique leur donnent des repères pour proposer à leurs clients des solutions conformes et pour documenter leurs choix techniques.

Les évolutions à suivre

Le marketing en ligne est un domaine en évolution rapide. La disparition progressive des cookies tiers dans les navigateurs conduit au développement de nouvelles techniques, comme la mesure côté serveur ou les identifiants fondés sur l'adresse électronique, qui restent soumises au consentement lorsqu'elles permettent un suivi individuel. La proposition d'« Omnibus numérique », en cours de négociation, envisage de réformer les règles sur les cookies, notamment en élargissant certaines exemptions et en permettant l'expression des choix par des signaux automatiques du navigateur. Le règlement sur les services numériques encadre déjà la publicité sur les plateformes. Les articles de la rubrique sont mis à jour au fil de ces évolutions, en distinguant toujours les règles applicables des projets en discussion.

Les erreurs les plus fréquentes

Certaines erreurs reviennent très souvent sur les sites et dans les campagnes. Un bandeau cookies sans bouton de refus au premier niveau, ou avec un refus caché derrière un lien discret. Des traceurs déposés avant tout choix de l'utilisateur. Une case de consentement à la newsletter pré-cochée ou fusionnée avec l'acceptation des conditions générales. Des courriels envoyés à des prospects sans consentement. Un lien de désinscription qui ne fonctionne pas ou exige de se connecter. Des fichiers achetés sans vérification des consentements. Des avis clients sollicités sans information. Des contenus tiers, comme des vidéos ou des polices, chargés automatiquement et transmettant l'adresse IP des visiteurs. Chacune de ces erreurs se corrige facilement, et les articles indiquent comment.

À qui s'adresse cette rubrique ?

Les articles s'adressent aux responsables marketing et communication, aux éditeurs de sites, aux commerçants en ligne, aux gestionnaires de réseaux sociaux, aux développeurs et intégrateurs web, ainsi qu'aux dirigeants de petites entreprises qui gèrent eux-mêmes leur site et leurs campagnes. Ils sont rédigés pour être compris sans formation juridique, avec des exemples de configuration, des formulations de consentement et des listes de vérification directement utilisables.

Les cookies en pratique

Le bandeau de consentement est la première chose que voit un visiteur. Pour être conforme, il présente dès le premier niveau une information claire sur les finalités des traceurs et trois choix au même niveau : accepter, refuser, personnaliser. Le bouton de refus a la même forme et la même visibilité que le bouton d'acceptation. Aucun traceur soumis à consentement n'est déposé avant le choix, et le refus est respecté. Le choix est conservé environ six mois, puis peut être redemandé. Un lien permanent permet de le modifier à tout moment. Les articles de la rubrique présentent des exemples de bandeaux conformes et non conformes, ainsi que les réglages des principales plateformes de gestion du consentement.

La mesure d'audience

Mesurer la fréquentation de son site est légitime, mais tous les outils ne se valent pas au regard du RGPD. Certains outils peuvent être configurés pour être exemptés de consentement, à condition de produire des statistiques anonymes pour le seul compte de l'éditeur, sans recoupement ni transmission à des tiers, avec des durées limitées. D'autres, qui réutilisent les données pour leurs propres finalités ou les transfèrent hors de l'Union sans garanties suffisantes, doivent être soumis au consentement. Plusieurs autorités européennes ont estimé en 2022 que l'usage de Google Analytics dans sa configuration de l'époque entraînait des transferts illicites vers les États-Unis ; l'adoption du Data Privacy Framework en 2023 a modifié la situation pour les fournisseurs adhérents, sans dispenser du consentement lorsque l'outil n'est pas configuré pour l'exemption. Les articles de la rubrique comparent les solutions et leurs réglages.

L'emailing et la newsletter

La newsletter reste l'un des outils marketing les plus efficaces, à condition de respecter quelques règles. Pour les particuliers qui ne sont pas clients, le consentement préalable est requis, recueilli par une case non pré-cochée. La confirmation de l'inscription par un courriel de validation, dite double opt-in, est recommandée. Chaque envoi comporte un lien de désinscription qui fonctionne en un clic. Les statistiques d'ouverture, obtenues par des pixels de suivi, appellent une information et, selon leur usage, un consentement. Les contacts inactifs depuis trois ans doivent être supprimés ou relancés pour confirmer leur intérêt. L'outil d'envoi est un sous-traitant, avec lequel un contrat conforme doit être signé. Les articles de la rubrique détaillent chacune de ces étapes.

La prospection entre professionnels

La prospection entre entreprises bénéficie de règles assouplies : un courriel peut être adressé à un professionnel sur son adresse professionnelle sans consentement préalable, si le message est en rapport avec sa fonction et qu'il peut s'y opposer facilement. Les plateformes professionnelles comme LinkedIn sont soumises à leurs propres conditions d'utilisation, qui interdisent généralement l'extraction automatisée des profils, et les messages adressés par ces plateformes relèvent aussi des règles de la prospection. L'utilisation d'outils d'extraction de données pour constituer des fichiers de prospects à partir de profils en ligne est risquée, car elle méconnaît souvent l'information des personnes et la loyauté de la collecte. Les articles de la rubrique proposent des pratiques de prospection B2B conformes et efficaces.

Les avis clients et les jeux concours

Les avis clients et les jeux concours sont des outils marketing populaires qui impliquent des données personnelles. La collecte d'avis suppose d'informer les clients de l'usage de leurs données, de respecter les règles du Code de la consommation sur la loyauté des avis, et de permettre aux auteurs de faire supprimer leurs avis. Les jeux concours ne doivent pas conditionner la participation à l'acceptation de la prospection par des partenaires, et les données collectées doivent se limiter à ce qui est nécessaire à l'organisation du jeu. Les articles de la rubrique précisent les règles et les bonnes pratiques pour ces deux outils.

Le CRM et la connaissance client

Les logiciels de gestion de la relation client centralisent les informations sur les prospects et les clients : coordonnées, historique des échanges, achats, préférences, notes des commerciaux. Ils sont au cœur du marketing moderne et doivent être utilisés avec méthode. Les données collectées doivent être pertinentes au regard des finalités, et les notes des commerciaux rester factuelles et professionnelles, car elles sont communicables à la personne en cas de demande d'accès. Les durées de conservation doivent être paramétrées, avec une suppression des prospects inactifs après trois ans. Les droits d'accès doivent être limités selon les fonctions. Le fournisseur du logiciel est un sous-traitant, qui doit présenter des garanties suffisantes et être lié par un contrat conforme. Les fonctions d'enrichissement automatique des fiches à partir de sources externes doivent être utilisées avec prudence, car elles peuvent constituer une collecte indirecte soumise à information.

Les assistants conversationnels et l'IA marketing

L'intelligence artificielle s'invite dans le marketing : assistants conversationnels sur les sites, génération de contenus, segmentation automatique des clients, personnalisation des offres. Ces usages impliquent des données personnelles et doivent respecter le RGPD : information des utilisateurs qu'ils échangent avec une IA, choix d'un fournisseur offrant des garanties sur la non-réutilisation des données, durée de conservation des conversations, base légale adaptée pour le profilage, et attention aux inférences qui pourraient révéler des données sensibles. Le règlement sur l'intelligence artificielle ajoute des obligations de transparence pour les systèmes qui interagissent avec des personnes et pour les contenus générés. Les articles de la rubrique proposent une approche prudente et documentée de ces nouveaux outils.

Les contenus intégrés et les ressources externes

Un site moderne intègre souvent des contenus et des ressources provenant de tiers : vidéos, cartes, polices de caractères, boutons de réseaux sociaux, outils de discussion. Chacun peut transmettre l'adresse IP du visiteur à un tiers et déposer des traceurs. Les solutions sont connues : héberger localement les polices et les scripts, utiliser les modes respectueux de la vie privée proposés par certains fournisseurs de vidéos, charger les contenus tiers seulement après un clic du visiteur, remplacer les boutons de partage par de simples liens. Ces ajustements techniques, souvent rapides à mettre en œuvre, améliorent à la fois la conformité, la vitesse de chargement et l'expérience des visiteurs.

Les mentions légales et la politique de confidentialité

Tout site doit comporter des mentions légales, qui identifient l'éditeur et l'hébergeur en application de la loi pour la confiance dans l'économie numérique, et une politique de confidentialité, qui informe les visiteurs des traitements de leurs données conformément au RGPD. Ces deux documents sont distincts et doivent être accessibles depuis toutes les pages. Les articles de la rubrique proposent des modèles adaptés aux sites vitrines, aux blogs et aux boutiques en ligne, ainsi qu'une méthode pour les tenir à jour lorsque de nouveaux outils sont ajoutés au site.

Le reciblage publicitaire

Le reciblage consiste à afficher des publicités à des internautes qui ont visité un site, grâce à des pixels ou des cookies déposés lors de la visite, ou à partir de fichiers clients transmis aux plateformes publicitaires. Ces techniques supposent le consentement préalable des visiteurs pour le dépôt des traceurs, et une information claire sur la transmission des données aux plateformes. L'éditeur du site et la plateforme peuvent être responsables conjoints de la collecte. Les articles de la rubrique expliquent comment paramétrer ces outils pour qu'ils ne s'activent qu'après consentement.

La désinscription, un droit à respecter

Chaque message commercial doit permettre de se désinscrire simplement et gratuitement, et la désinscription doit être prise en compte rapidement. Un lien qui ne fonctionne pas, qui exige de se connecter ou de justifier sa décision, ou qui renvoie vers une page de préférences complexe, est contraire aux règles. Tenir une liste d'opposition permet d'exclure durablement les personnes désinscrites de toutes les campagnes.

Des réglages concrets

Les articles indiquent, outil par outil, les réglages à activer ou à désactiver pour respecter les règles, avec les points de contrôle permettant de vérifier rapidement le résultat sur son propre site ou dans ses propres campagnes, sans compétence technique particulière.