Publicité en ligne et données : ce que l'étude de la CNIL implique quand tu choisis une agence média

Dans une publication du 4 juillet 2024, la CNIL présente les conclusions d'une étude confiée à deux chercheurs de Télécom Paris sur les modèles publicitaires numériques alternatifs aux solutions dominantes. Réalisée fin 2023 et début 2024 à partir de 25 entretiens avec des annonceurs, agences média, régulateurs et spécialistes, elle a été lancée dans le contexte de la fin annoncée des cookies tiers dans Chrome, du déploiement du système ATT d'Apple sur iOS et de l'essor des modèles « consentir ou payer ». Depuis, Google a revu ses plans concernant les cookies tiers dans Chrome, mais les enseignements de l'étude restent valables : le marché se réorganise autour d'autres sources de données.

L'étude identifie sept familles de solutions : la privacy sandbox de Google, les identifiants de substitution, le ciblage contextuel, le ciblage par cohortes, le retail media, les environnements identifiés par un compte utilisateur et les murs de traceurs payants. Sa conclusion principale : aucune ne suffira seule à remplir les fonctions des cookies tiers. Autre constat, les évolutions favorisent les acteurs qui disposent d'un gisement important de données propriétaires, comme les distributeurs ou les univers en mode identifié.

Pour une entreprise qui confie ses campagnes à une agence média ou SEA, la première conséquence est simple : la donnée first-party (celle que tu collectes toi-même, avec le consentement de tes clients) devient un actif central. Avant de signer, demande à l'agence comment elle compte l'exploiter, comment elle t'aide à la structurer (CRM, base e-mail, comptes clients) et surtout à qui elle appartient dans l'outil publicitaire. Une audience construite dans un compte détenu par l'agence ne t'appartient pas vraiment.

Deuxième vérification : la gestion du consentement. Si une agence pilote tes campagnes, elle dépend directement de la qualité de ton bandeau cookies et de la manière dont les traceurs sont déclenchés. Une agence sérieuse audite ce point au démarrage, t'indique ce qui n'est pas conforme et refuse de contourner le consentement pour améliorer les chiffres. La CNIL rappelle d'ailleurs dans son étude que le RGPD n'a pas, à lui seul, réduit le traçage publicitaire ; ce sont surtout les décisions des grandes plateformes qui ont bousculé le marché. Autrement dit, la conformité ne se règle pas toute seule.

Troisième point : la responsabilité RGPD. Selon les cas, l'agence est sous-traitante (elle agit pour ton compte) ou responsable conjointe (elle décide avec toi des finalités et des moyens). Cette qualification doit apparaître dans le contrat, avec les obligations qui en découlent : registre, sécurité, information des personnes, gestion des demandes d'exercice de droits. La CNIL publie des ressources sur le travail avec un sous-traitant ; elles constituent une bonne base pour relire un contrat d'agence.

Quatrième point, plus stratégique : le mix de leviers. Puisque, selon l'étude, aucune solution ne remplace les cookies tiers, une agence qui ne propose qu'un seul type de ciblage prend un risque avec ton budget. Interroge-la sur sa pratique du ciblage contextuel, du retail media si tu vends via des distributeurs, et des environnements identifiés, ainsi que sur la manière dont elle mesure l'efficacité quand le suivi individuel n'est plus possible.

Enfin, méfie-toi de la fausse précision. L'étude invite à ne pas surestimer l'efficacité du ciblage par cookies tiers, tout en notant que les annonceurs y restent attachés. Une agence qui promet une attribution exacte de chaque vente à chaque clic, dans le contexte actuel, te vend une certitude qui n'existe plus. Préfère celle qui te propose une mesure combinée (tests géographiques, modélisation, indicateurs de marque) et qui documente ses hypothèses.

En résumé, choisir une agence média en 2026 revient à choisir un partenaire pour ta stratégie de données autant que pour tes achats d'espace. Consentement, propriété des audiences, qualification RGPD et diversification des leviers : ces quatre points doivent être écrits dans le contrat avant le premier euro dépensé.