Google Ads Enhanced Conversions : Consentement obligatoire ou pratique illégale sous le RGPD ?

1. Note technique de cadrage & Réalité opérationnelle

Le protocole Google Ads Enhanced Conversions (conversions améliorées) enrichit les balises de conversion standard par l'adjonction de données de première partie (first-party data) issues des parcours d'achat : adresses e-mail, numéros de téléphone et coordonnées postales. Les annonceurs déploient cette technologie via trois vecteurs d'ingestion : l'aspiration automatisée du DOM (Document Object Model), la couche de données (Data Layer) de Google Tag Manager (GTM), ou des requêtes API directes serveur à serveur (Server-to-Server). Préalablement à l'envoi vers les points de terminaison de Google (tels que googleads.g.doubleclick.net), le script client normalise et hache ces données au moyen de l'algorithme cryptographique SHA-256.

Une erreur juridique critique et récurrente au sein des équipes e-commerce consiste à assimiler le hachage cryptographique à un procédé d'anonymisation irréversible qui permettrait d'échapper au Règlement (UE) 2016/679 (RGPD). La jurisprudence constante de l'Union européenne — notamment l'arrêt CJUE C-582/14 (Breyer) et les lignes directrices 05/2020 du CEPD — confirme que les empreintes SHA-256 constituent des données à caractère personnel pseudonymisées au sens de l'article 4(1) du RGPD. Google détenant des bases d'utilisateurs authentifiés colossales, la société est techniquement en mesure d'exécuter des attaques par dictionnaire ou de réidentifier directement les individus par appariement inverse (reverse lookup).

Les autorités européennes de protection des données, au premier rang desquelles la CNIL (dans le cadre de ses délibérations n° 2020-091 et 2020-092) et la DPC irlandaise, ont défini leurs priorités de contrôle : capturer les champs de formulaires pour consolider des profils publicitaires constitue un traitement de ciblage comportemental. En conséquence, cette opération exige impérativement un consentement préalable positif (opt-in) conforme à l'article 6(1)(a) du RGPD et à l'article 82 de la loi Informatique et Libertés ↗. Invoquer l'intérêt légitime (article 6(1)(f)) pour ce mécanisme expose le responsable du traitement aux sanctions administratives de l'article 83 du RGPD ↗, pouvant atteindre 20 000 000 € ou 4 % du chiffre d'affaires annuel mondial.

2. Analyse architecturale et dissection technique

Enhanced Conversions fonctionne selon deux logiques distinctes : la détection automatique dans le DOM et l'intégration manuelle dans le code (JavaScript/GTM ou API Google Ads). En mode automatique, la balise Google injecte des observateurs de mutations (Mutation Observers) et intercepte la soumission des formulaires pour extraire toute valeur correspondant aux expressions régulières associées aux e-mails et numéros de téléphone. Cette collecte non discriminée génère une infraction immédiate en aspirant les données avant toute vérification du consentement de l'utilisateur.

Construction de la charge utile (payload) JavaScript côté client

Dans une intégration manuelle via la balise globale de site (gtag.js), les chaînes de caractères doivent être passées en minuscules, purgées des espaces parasites et encodées en SHA-256. Le bloc de code suivant présente une implémentation défensive conforme : il vérifie le statut du Consent Mode v2 avant de déclencher la routine de hachage et de propager le payload vers le point de collecte :

<script>
// Implémentation forensique : Hachage SHA-256 client conditionné au consentement
async function hashUserData(str) {
  if (!str) return null;
  const normalized = str.trim().toLowerCase();
  const msgUint8 = new TextEncoder().encode(normalized);
  const hashBuffer = await crypto.subtle.digest('SHA-256', msgUint8);
  const hashArray = Array.from(new Uint8Array(hashBuffer));
  return hashArray.map(b => b.toString(16).padStart(2, '0')).join('');
}

async function dispatchCompliantEnhancedConversion(orderPayload) {
  // 1. Contrôle bloquant : Vérification du signal explicite ad_user_data
  if (window.google_consent_state?.ad_user_data !== 'granted') {
    console.warn('[Audit CookieDetox] Exécution neutralisée : ad_user_data non consenti.');
    return;
  }

  // 2. Hachage isolé des identifiants sensibles
  const hashedEmail = await hashUserData(orderPayload.email);
  const hashedPhone = await hashUserData(orderPayload.phone);

  // 3. Transmission de la charge utile à Google Ads
  gtag('set', 'user_data', {
    'sha256_email_address': hashedEmail,
    'sha256_phone_number': hashedPhone,
    'address': {
      'first_name': orderPayload.firstName ? await hashUserData(orderPayload.firstName) : undefined,
      'last_name': orderPayload.lastName ? await hashUserData(orderPayload.lastName) : undefined,
      'postal_code': orderPayload.postalCode,
      'country': orderPayload.countryCode
    }
  });

  gtag('event', 'conversion', {
    'send_to': 'AW-123456789/AbCdEfGhIjK',
    'value': orderPayload.value,
    'currency': orderPayload.currency,
    'transaction_id': orderPayload.orderId
  });
}
</script>

Au sein de l'inspecteur réseau du navigateur, cette expédition déclenche un appel HTTP à googleads.g.doubleclick.net/pagead/viewthroughconversion/. Les paramètres de requête comportent la variable em structurée sous la forme tv.1~em.[CHAINE_HEX_SHA256]. Si ce paramètre transite sans jeton de consentement horodaté amont confirmant le signal (paramètre gcd attestant de ad_user_data=granted), l'irrégularité juridique est matérialisée dans les journaux réseau.

3. Matrice d'exposition réglementaire & Risques juridiques

L'article 6(1) du RGPD énumère limitativement les bases légales applicables au traitement de données personnelles. L'écosystème adtech tente fréquemment de revendiquer l'intérêt légitime (art. 6(1)(f)) pour le suivi des conversions, arguant de la pérennité économique de l'annonceur. La jurisprudence européenne récuse formellement cette qualification dès lors qu'il s'agit d'optimisation publicitaire et de ciblage déterministe.

Matrice d'évaluation légale : Configurations de suivi

D'après les lignes directrices 8/2020 du CEPD relatives au ciblage des utilisateurs de réseaux sociaux, croiser les fichiers clients ou des attributs de profil hachés avec des identifiants publicitaires impose un consentement libre, spécifique, éclairé et univoque (art. 4(11) du RGPD). De surcroît, les clauses contractuelles de Google Ads (Controller-Controller Data Protection Terms) imposent une responsabilité conjointe au titre de l'article 26 du RGPD, imputant directement à l'exploitant du site la responsabilité de toute captation illicite initiale.

4. Protocole d'implémentation et de vérification forensique pas à pas

Afin de neutraliser toute non-conformité lors de l'exploitation d'Enhanced Conversions, appliquez ce protocole de verrouillage technique au sein de Google Tag Manager et de la console Google Ads.

Étape 1 : Désactiver la collecte automatique dans l'interface Google Ads

1. Accédez à Outils et paramètres > Mesure > Conversions.
2. Sélectionnez l'action de conversion associée à Enhanced Conversions.
3. Ouvrez la section Conversions améliorées.
4. Cochez l'option Balise Google ou Google Tag Manager puis cliquez sur Suivant.
5. Dans les paramètres avancés, assurez-vous que la case Collecte automatique (détecter les données sur la page Web) est décochée. Restreignez l'ingestion aux variables GTM validées ou aux transmissions d'API manuelles.

Étape 2 : Conditionner les déclencheurs GTM aux signaux de consentement

Ne liez jamais l'exécution de la balise à des événements génériques tels que « Page View » ou « Form Submission » non filtrés. Établissez une règle de déclenchement stricte soumise à conditions :

// Condition de déclenchement sous GTM :
// Événement personnalisé égal à 'purchase'
// ET {{Consent State - ad_user_data}} égal à 'granted'
// ET {{Consent State - ad_storage}} égal à 'granted'

Étape 3 : Protocole d'audit technique via les DevTools

Avant tout basculement en production, simulez une transaction complète au sein de la console de développement réseau de votre navigateur :

1. Ouvrez l'onglet Réseau (Network) et appliquez le filtre : googleads.g.doubleclick.net/pagead/viewthroughconversion/.
2. Inspectez les paramètres de requête transmis via la méthode POST ou GET.
3. Contrôlez la valeur du paramètre gcd (Google Consent State). En cas de refus, la valeur doit refléter le blocage, par exemple gcd=13r3r3r2r5 (le caractère 'r' désignant un état refusé/denied). Dans cette configuration, le paramètre em doit être strictement absent du payload.
4. Lorsque l'opt-in est validé, vérifiez le paramètre em. Il doit contenir une chaîne hexadécimale SHA-256 de 64 caractères préfixée selon le format attendu (ex. : em=tv.1~em.a665a45920422f9d417e4867efdc4fb8a04a1f3fff1fa07e998e86f7f7a27ae3). La présence d'e-mails en clair ou d'encodages défaillants constitue une fuite de données brutes vers des serveurs tiers, entraînant une obligation de notification de violation sous l'article 33 du RGPD.

5. Arbitrage stratégique & Recommandations zéro sanction pour les marques européennes

Enhanced Conversions permet de mitiger l'érosion des signaux publicitaires causée par l'ITP de WebKit (Safari) et la dépréciation des cookies tiers. Néanmoins, activer ces mécanismes sans gouvernance technique expose l'entreprise à des sanctions immédiates de la CNIL et des autorités européennes.

Pour maintenir vos performances marketing dans le respect absolu du cadre légal, trois impératifs s'imposent :

• Bannir impérativement le scraping automatique du DOM : Les scripts automatisés analysent les formulaires indistinctement, captant des données nominatives sans vérifier si l'internaute a cliqué sur « Tout refuser », ce qui caractérise une infraction matérielle manifeste.
• Subordonner les variables du Data Layer au Consent Mode v2 : Structurez la couche de données de telle sorte que les objets contenant les données d'identification (user_data.email_address) ne soient instanciés que si le signal ad_user_data est défini sur granted. En cas de refus, ces variables doivent impérativement renvoyer la valeur undefined ou null.
• Auditer les accords de transfert hors Union européenne : L'exploitation d'Enhanced Conversions côté serveur (Server-Side) soumet le responsable du traitement aux conditions relatives aux responsables conjoints de Google Ads. Ce schéma nécessite une analyse d'impact des transferts (TIA) actualisée conformément à la jurisprudence Schrems II, les serveurs de Google LLC demeurant assujettis aux mécanismes de surveillance extraterritoriaux états-uniens (FISA 702).

Ce cloisonnement technique rigoureux permet de pérenniser les investissements média tout en assurant une conformité opposable en cas de contrôle de l'autorité de régulation.