Klaviyo & Omnisend : Faut-il le consentement pour tracker les paniers abandonnés et visiteurs web ?

// Structure décodée de la charge utile locale persistante de __kla_id
{
  "$exchange_id": "01HX5T3Y8K8QZ9R7W6P4M2N1AB",
  "$email": "shopper@enterprise.eu",
  "$views": 14,
  "$last_view": 1726743600
}

// Trace forensique d'un envoi POST non consenti de l'événement 'Viewed Product'
fetch("https://a.klaviyo.com/api/onsite/v1/track", {
  "method": "POST",
  "headers": {
    "Accept": "*/*",
    "Content-Type": "application/x-www-form-urlencoded; charset=UTF-8"
  },
  "body": new URLSearchParams({
    "data": JSON.stringify({
      "token": "PUBLIC_API_KEY",
      "event": "Viewed Product",
      "customer_properties": {
        "$exchange_id": "01HX5T3Y8K8QZ9R7W6P4M2N1AB"
      },
      "properties": {
        "$source": "shopify",
        "Title": "Manteau en cachemire",
        "Price": 495.00,
        "Tags": ["Outerwear", "Luxury"],
        "URL": "https://brand.com/products/cashmere-coat"
      }
    })
  })
});

L'inapplicabilité de l'exemption au titre de « l'intérêt légitime »

Les directions juridiques d'entreprises tentent fréquemment de rattacher l'exécution des scripts de suivi Klaviyo ou Omnisend à l'article 6(1)(f) du RGPD. La Cour de justice de l'Union européenne a formellement rejeté cette approche dans son arrêt Fashion ID (C-40/17), en établissant que l'optimisation des performances commerciales ne saurait prévaloir sur les droits fondamentaux des personnes concernées lorsque des technologies de traçage sont déployées sans consentement univoque.

De surcroît, selon la délibération CNIL n° 2020-092, les opérations qui suivent un internaute à travers plusieurs sessions et corrèlent ces données avec des identifiants externes (tels que les clés de contact d'un CRM) ne satisfont pas au test de proportionnalité de l'intérêt légitime, ce qui impose impérativement la mise en place d'un mécanisme d'opt-in ePrivacy avant l'exécution de tout tag.

Protocole de remédiation et d'audit forensique : architecture technique conforme

Afin de neutraliser tout risque de non-conformité tout en maintenant le suivi des utilisateurs consentants, les équipes techniques doivent refondre la cinématique de chargement des scripts. Klaviyo ne doit jamais être exécuté de façon inconditionnelle sur les événements DOMContentLoaded ou window.load.

Phase 1 : Blocage conditionnel GTM et neutralisation des traceurs

Lorsque Klaviyo ou Omnisend est déployé via Google Tag Manager, la balise de base ne doit pas se déclencher sur un déclencheur générique d'affichage de page. La balise doit être strictement asservie à un événement personnalisé émis par la plateforme de gestion du consentement (CMP) confirmant l'acceptation des cookies marketing (ex. Axeptio, Didomi, OneTrust, Usercentrics).

<!-- Intégration CMP forensique : blocage de Klaviyo jusqu'au consentement explicite -->
<script>
window.addEventListener('didomi-consent', function(event) {
  var consentStatus = window.Didomi.getUserConsentStatusForVendor('c:klaviyo-XXX');
  
  if (consentStatus === true) {
    // Injection dynamique de klaviyo.js uniquement après validation du consentement marketing
    if (!window.klaviyo) {
      var klaviyoScript = document.createElement('script');
      klaviyoScript.type = 'text/javascript';
      klaviyoScript.async = true;
      klaviyoScript.src = 'https://static.klaviyo.com/onsite/js/klaviyo.js?company_id=YOUR_PUBLIC_KEY';
      document.getElementsByTagName('head')[0].appendChild(klaviyoScript);
    }
  } else {
    // Purge active des identifiants non autorisés en cas de refus ou retrait du consentement
    document.cookie = "__kla_id=; expires=Thu, 01 Jan 1970 00:00:00 UTC; path=/; domain=." + window.location.hostname;
  }
});
</script>

Phase 2 : Découplage et assainissement du paramètre _kx dans l'URL

Si un visiteur clique sur un lien d'e-mail comportant _kx mais refuse les traceurs marketing sur le site, le script klaviyo.js ne doit pas s'exécuter, empêchant l'écriture du paramètre dans le stockage local. En présence d'une intégration Shopify native via plugin, le template Liquid du thème doit être adapté afin d'intercepter la logique de traçage :

// Wrapper conditionnel pour thème Shopify Liquid
// Fichier : snippets/klaviyo-gatekeeper.liquid
(function() {
  var hasMarketingConsent = function() {
    // Vérification de l'état de l'API Customer Privacy de Shopify ou de la CMP
    if (window.Shopify && window.Shopify.customerPrivacy) {
      return window.Shopify.customerPrivacy.getTrackingConsent() === 'yes';
    }
    return false;
  };

  if (!hasMarketingConsent()) {
    // Interception et suppression du paramètre _kx du DOM sans déclencher d'attribution
    if (window.location.search.indexOf('_kx=') !== -1) {
      var cleanSearch = window.location.search
        .replace(/([&?])_kx=[^&]+(&|$)/, '$1')
        .replace(/&$/, '')
        .replace(/^\?$/, '');
      var cleanUrl = window.location.pathname + (cleanSearch ? cleanSearch : '') + window.location.hash;
      window.history.replaceState(null, '', cleanUrl);
    }
  }
})();

Phase 3 : Protocole d'audit forensique via DevTools

Pour vérifier la conformité effective de votre boutique, exécutez le protocole d'audit suivant dans une fenêtre de navigation privée :

1. Ouvrez Chrome DevTools (F12) > onglet Réseau (Network) > filtrez par klaviyo.
2. Accédez au site e-commerce via un lien simulant une campagne e-mail : https://brand.com/?_kx=TEST_TOKEN_DEBUG.
3. Critère de conformité 1 : Aucune requête sortante vers static.klaviyo.com ou a.klaviyo.com ne doit être émise avant tout clic sur « Tout accepter » dans la bannière de cookies.
4. Consultez l'onglet Application > section Cookies.
5. Critère de conformité 2 : Le cookie __kla_id ne doit pas figurer dans le stockage local.
6. Cliquez sur « Tout refuser » sur le bandeau de consentement.
7. Critère de conformité 3 : La navigation sur les fiches produits ne doit générer aucun appel API vers les endpoints de track. Aucune balise Viewed Product ne doit apparaître dans l'onglet Réseau.

Verdict stratégique : architecture de reciblage comportemental à risque zéro

Les acteurs e-commerce opérant sur le marché européen évoluent dans un contexte de contrôle renforcé. Les autorités de contrôle (la CNIL en France, la DPC irlandaise ou les commissaires régionaux allemands LfDI) déploient des outils d'audit automatisés capables d'identifier le dépôt illicite de traceurs et de jetons d'identification dès l'atterrissage sur le site. Poursuivre le traçage passif de la navigation ou des paniers sans opt-in relève d'une fiction juridique intenable.

Le schéma d'architecture conforme

Pour préserver des taux élevés de récupération de ventes tout en garantissant une étanchéité réglementaire absolue, les marchands doivent adopter une architecture à deux voies :

• Voie A : Le canal authentifié (récupération de session exemptée de consentement) : Restreindre les relances de panier fondées sur l'intérêt légitime aux seuls utilisateurs connectés à leur compte client, qui placent des articles dans leur panier puis quittent le site. La persistance du panier au sein d'une session authentifiée étant strictement nécessaire au service d'achat expressément sollicité par l'internaute, la mise à jour de l'état en base de données backend est pleinement défendable sans recourir à des traceurs adtech tiers côté client.
• Voie B : Le canal comportemental (tracking CDP asservi au consentement) : Bloquer l'exécution de l'ensemble des scripts passifs (klaviyo.js, omnisend.js) derrière la finalité « Cookies marketing et personnalisation ». Informer explicitement les utilisateurs au sein de la CMP que l'acceptation de ces traceurs permet l'envoi d'e-mails de relance personnalisés selon leur historique de consultation.

En mettant en œuvre ce blocage conditionnel et en purgeant systématiquement le paramètre _kx en cas de refus des cookies, le responsable du traitement écarte tout risque d'amende administrative au titre de l'article 83 du RGPD ↗, neutralise les actions en réparation intentées sur le fondement de l'article 82 et dispose d'une preuve et d'un jeton de consentement horodaté vérifiables lors de tout contrôle.

Questions Fréquentes (FAQ)