Meta Pixel et consentement aux cookies : une configuration qui respecte le choix

Le Meta Pixel dépose des cookies propriétaires et envoie des événements de navigation à Meta : les visiteurs de l’UE et du Royaume-Uni doivent donc donner leur consentement avant qu’il ne s’exécute. La configuration la plus sûre bloque le script du Pixel jusqu’à ce que le visiteur accepte les cookies marketing, utilise l’API de consentement de Meta comme seconde protection et conditionne la Conversions API au même choix. Aux États-Unis, ajoutez Limited Data Use et respectez Global Privacy Control.

Que fait le Meta Pixel des données des visiteurs ?

Le Pixel est une bibliothèque JavaScript, fbevents.js, chargée depuis les serveurs de Meta. Une fois initialisé, il envoie à Meta des événements comme PageView, AddToCart et Purchase, accompagnés de l’URL de la page, des informations du navigateur et d’identifiants qui aident Meta à associer le visiteur à un compte.

Il utilise deux cookies propriétaires sur votre domaine :

• _fbp identifie le navigateur d’une visite à l’autre, afin que Meta puisse relier les événements d’un même visiteur.
• _fbc stocke l’identifiant de clic lorsqu’un visiteur arrive depuis une publicité Meta avec un paramètre fbclid dans l’URL, afin que les conversions puissent être attribuées à la publicité.

Si vous activez la correspondance avancée automatique, le Pixel hache aussi les informations que les visiteurs saisissent dans les formulaires, comme les adresses e-mail, et les envoie à Meta pour établir des correspondances. Tout cela relève du suivi publicitaire et nécessite un consentement selon les règles de l’UE et du Royaume-Uni. Pour comprendre pourquoi le site web partage cette responsabilité, voir l’arrêt Fashion ID de la CJUE, qui a considéré un site intégrant un plugin Facebook comme responsable conjoint du traitement.

Comment bloquer le Pixel jusqu’au consentement ?

Ne laissez pas le navigateur télécharger fbevents.js tant que le visiteur n’a pas accepté les cookies marketing. Marquez le snippet du Pixel comme inactif et ne l’activez qu’après le consentement :

<!-- Inactif tant que la catégorie marketing n'est pas accordée -->
<script type="text/plain" data-consent="marketing">
  !function(f,b,e,v,n,t,s){/* Code de base standard de Meta */}(window, document,
    'script', 'https://connect.facebook.net/en_US/fbevents.js');
  fbq('consent', 'grant');
  fbq('init', 'YOUR_PIXEL_ID');
  fbq('track', 'PageView');
</script>

Votre couche de consentement remplace type="text/plain" par un véritable script lorsque le consentement est accordé, comme décrit dans comment bloquer les scripts tiers jusqu’au consentement. Si vous utilisez Google Tag Manager, configurez les paramètres de consentement de la balise Meta pour exiger un consentement supplémentaire pour ad_storage, ou déclenchez-la uniquement à partir d’un événement de consentement ; la balise Meta ne lit pas Google Consent Mode d’elle-même.

Comment fonctionne l’API de consentement de Meta ?

Meta propose deux appels pour les sites qui chargent le Pixel avant qu’un choix soit fait. Appelez fbq('consent', 'revoke') avant fbq('init') sur chaque page, et le Pixel n’enverra pas d’événements à Meta. Lorsque le visiteur donne son consentement, appelez fbq('consent', 'grant') et les événements commencent à être transmis.

fbq('consent', 'revoke'); // sur chaque page, avant init
fbq('init', 'YOUR_PIXEL_ID');
fbq('track', 'PageView');

// Plus tard, depuis le gestionnaire d'acceptation de votre bandeau⍽:
onConsent('marketing', () => fbq('consent', 'grant'));

C’est utile comme garde-fou, mais moins efficace que le blocage. Avec revoke en place, le navigateur télécharge toujours fbevents.js depuis Meta, ce qui transmet l’adresse IP et les informations du navigateur du visiteur à Meta avant tout choix. Pour le trafic de l’UE et du Royaume-Uni, bloquez le script et conservez les appels de consentement comme seconde ligne de défense, par exemple lorsqu’un visiteur retire plus tard son consentement sur une page où le Pixel était déjà chargé.

Et la Conversions API ?

La Conversions API (CAPI) envoie les événements à Meta depuis votre serveur plutôt que depuis le navigateur. Elle est souvent présentée comme une parade aux bloqueurs de publicité et aux restrictions des navigateurs, et parfois, à tort, comme un moyen de contourner le consentement.

Les événements serveur contiennent toujours des données personnelles : les valeurs _fbp et _fbc, des adresses IP, des user agents et souvent des adresses e-mail ou des numéros de téléphone hachés. Les envoyer à Meta à des fins publicitaires nécessite une base légale et, pour les visiteurs de l’UE et du Royaume-Uni, il s’agit normalement du même consentement que celui requis pour le Pixel côté navigateur. Les valeurs de _fbp et _fbc proviennent en outre de cookies auxquels le visiteur a dû consentir au préalable.

Conditionnez les deux canaux au même choix :

Scénario	Pixel côté navigateur	Conversions API
Visiteur de l’UE ou du Royaume-Uni ayant accepté le marketing	Charger et suivre	Envoyer, avec le même event_id pour la déduplication
Visiteur de l’UE ou du Royaume-Uni ayant refusé ou n’ayant pas encore choisi	Ne pas charger	Ne pas envoyer
Visiteur américain, sans opt-out	Charger et suivre	Envoyer
Visiteur américain ayant exercé son opt-out ou envoyé un signal GPC	Ne pas charger, ou charger avec Limited Data Use	Ne pas envoyer, ou envoyer avec Limited Data Use

Transmettez l’état de consentement à votre serveur avec chaque requête, ou lisez-le dans l’enregistrement du consentement, et vérifiez-le avant d’appeler l’API. Voir balisage côté serveur et consentement pour le principe général.

Comment gérer les lois américaines sur la protection de la vie privée ?

Les lois des États américains, comme celle de la Californie, sont pour l’essentiel des régimes d’opt-out : vous pouvez faire fonctionner le Pixel par défaut, mais vous devez cesser de « vendre » ou de « partager » des données lorsqu’un visiteur s’y oppose. L’option Limited Data Use (LDU) de Meta demande à Meta de restreindre la manière dont il traite les événements de ces visiteurs.

// Laisser Meta appliquer Limited Data Use en fonction de la localisation du visiteur
fbq('dataProcessingOptions', ['LDU'], 0, 0);
fbq('init', 'YOUR_PIXEL_ID');

Appelez-la avant init. La Conversions API accepte les mêmes options de traitement des données pour chaque événement. Si un visiteur envoie un signal Global Privacy Control ou exprime son opt-out via votre bandeau, cessez de charger le Pixel pour lui ou appliquez LDU, et faites de même côté serveur.

Comment vérifier que cela fonctionne ?

Ouvrez votre site dans une fenêtre de navigation privée, avec une localisation dans l’UE ou un VPN, et, avant de cliquer sur quoi que ce soit :

1. Dans le panneau Réseau du navigateur, filtrez sur facebook. Aucune requête ne doit partir vers connect.facebook.net ou facebook.com/tr.
2. Dans le panneau de stockage, vérifiez qu’aucun cookie _fbp ou _fbc n’existe.
3. Acceptez les cookies marketing et vérifiez que le Pixel se charge, que les cookies apparaissent et que les événements s’affichent dans l’Events Manager de Meta.
4. Retirez votre consentement et vérifiez que le Pixel s’arrête après le chargement de page suivant.

Recommencez avec un refus pour vérifier que rien ne se charge, et avec une URL ?fbclid=test pour vérifier que _fbc n’est déposé qu’après le consentement. Un audit des cookies devrait inclure ces vérifications à intervalles réguliers, car les snippets du Pixel ont tendance à réapparaître dans les templates et les plugins.

En résumé

Traitez le Meta Pixel comme un outil de suivi publicitaire, car c’en est un. Bloquez le script jusqu’au consentement, utilisez fbq('consent') comme garde-fou, conditionnez la Conversions API au même choix et utilisez Limited Data Use et le GPC pour les opt-outs américains. Des outils comme Cookiesh bloquent les traceurs connus, comme le Pixel, jusqu’au consentement des visiteurs, et des analyses planifiées signalent les nouveaux scripts, pour qu’aucun snippet égaré ne passe entre les mailles du filet.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.