# Meta Pixel et consentement aux cookies : une configuration qui respecte le choix

> Utiliser le Meta Pixel et la Conversions API avec le consentement aux cookies : blocage avant consentement, appels fbq consent, cookies _fbp et _fbc, Limited Data Use et GPC.

Source: https://www.cookiesh.eu/fr/blog/meta-pixel-and-consent  
Published: 2026-10-29

## Key takeaways

- Le Meta Pixel dépose le cookie propriétaire _fbp, peut déposer _fbc à la suite d'un clic sur une publicité et envoie des événements de navigation à Meta : dans l'UE et au Royaume-Uni, il nécessite donc un consentement avant de se charger.
- L'API de consentement de Meta, fbq('consent', 'revoke') et fbq('consent', 'grant'), retient les événements du Pixel, mais la configuration la plus sûre bloque aussi le script du Pixel lui-même jusqu'au consentement.
- Google Consent Mode ne contrôle pas le Meta Pixel : il vous faut une vérification du consentement distincte dans votre gestionnaire de balises ou dans votre code.
- La Conversions API envoie des événements depuis votre serveur, mais ces événements nécessitent toujours une base légale : conditionnez-les donc au même consentement que le Pixel côté navigateur.
- Pour les lois des États américains sur la protection de la vie privée, utilisez l'option Limited Data Use de Meta et respectez les signaux d'opt-out comme Global Privacy Control.

Le Meta Pixel dépose des cookies propriétaires et envoie des événements de navigation à Meta : les visiteurs de l'UE et du Royaume-Uni doivent donc donner leur consentement avant qu'il ne s'exécute. La configuration la plus sûre bloque le script du Pixel jusqu'à ce que le visiteur accepte les cookies marketing, utilise l'API de consentement de Meta comme seconde protection et conditionne la Conversions API au même choix. Aux États-Unis, ajoutez Limited Data Use et respectez Global Privacy Control.

## Que fait le Meta Pixel des données des visiteurs ?

Le Pixel est une bibliothèque JavaScript, `fbevents.js`, chargée depuis les serveurs de Meta. Une fois initialisé, il envoie à Meta des événements comme `PageView`, `AddToCart` et `Purchase`, accompagnés de l'URL de la page, des informations du navigateur et d'identifiants qui aident Meta à associer le visiteur à un compte.

Il utilise deux cookies propriétaires sur votre domaine :

- **`_fbp`** identifie le navigateur d'une visite à l'autre, afin que Meta puisse relier les événements d'un même visiteur.
- **`_fbc`** stocke l'identifiant de clic lorsqu'un visiteur arrive depuis une publicité Meta avec un paramètre `fbclid` dans l'URL, afin que les conversions puissent être attribuées à la publicité.

Si vous activez la correspondance avancée automatique, le Pixel hache aussi les informations que les visiteurs saisissent dans les formulaires, comme les adresses e-mail, et les envoie à Meta pour établir des correspondances. Tout cela relève du suivi publicitaire et nécessite un consentement selon les règles de l'UE et du Royaume-Uni. Pour comprendre pourquoi le site web partage cette responsabilité, voir l'arrêt *Fashion ID* de la CJUE, qui a considéré un site intégrant un plugin Facebook comme responsable conjoint du traitement.

## Comment bloquer le Pixel jusqu'au consentement ?

Ne laissez pas le navigateur télécharger `fbevents.js` tant que le visiteur n'a pas accepté les cookies marketing. Marquez le snippet du Pixel comme inactif et ne l'activez qu'après le consentement :

```html
<!-- Inactif tant que la catégorie marketing n'est pas accordée -->
<script type="text/plain" data-consent="marketing">
  !function(f,b,e,v,n,t,s){/* Code de base standard de Meta */}(window, document,
    'script', 'https://connect.facebook.net/en_US/fbevents.js');
  fbq('consent', 'grant');
  fbq('init', 'YOUR_PIXEL_ID');
  fbq('track', 'PageView');
</script>
```

Votre couche de consentement remplace `type="text/plain"` par un véritable script lorsque le consentement est accordé, comme décrit dans [comment bloquer les scripts tiers jusqu'au consentement](/fr/blog/block-scripts-until-consent). Si vous utilisez Google Tag Manager, configurez les paramètres de consentement de la balise Meta pour exiger un consentement supplémentaire pour `ad_storage`, ou déclenchez-la uniquement à partir d'un événement de consentement ; la balise Meta ne lit pas Google Consent Mode d'elle-même.

## Comment fonctionne l'API de consentement de Meta ?

Meta propose deux appels pour les sites qui chargent le Pixel avant qu'un choix soit fait. Appelez `fbq('consent', 'revoke')` avant `fbq('init')` sur chaque page, et le Pixel n'enverra pas d'événements à Meta. Lorsque le visiteur donne son consentement, appelez `fbq('consent', 'grant')` et les événements commencent à être transmis.

```js
fbq('consent', 'revoke'); // sur chaque page, avant init
fbq('init', 'YOUR_PIXEL_ID');
fbq('track', 'PageView');

// Plus tard, depuis le gestionnaire d'acceptation de votre bandeau⍽:
onConsent('marketing', () => fbq('consent', 'grant'));
```

C'est utile comme garde-fou, mais moins efficace que le blocage. Avec revoke en place, le navigateur télécharge toujours `fbevents.js` depuis Meta, ce qui transmet l'adresse IP et les informations du navigateur du visiteur à Meta avant tout choix. Pour le trafic de l'UE et du Royaume-Uni, bloquez le script et conservez les appels de consentement comme seconde ligne de défense, par exemple lorsqu'un visiteur retire plus tard son consentement sur une page où le Pixel était déjà chargé.

## Et la Conversions API ?

La Conversions API (CAPI) envoie les événements à Meta depuis votre serveur plutôt que depuis le navigateur. Elle est souvent présentée comme une parade aux bloqueurs de publicité et aux restrictions des navigateurs, et parfois, à tort, comme un moyen de contourner le consentement.

Les événements serveur contiennent toujours des données personnelles : les valeurs `_fbp` et `_fbc`, des adresses IP, des user agents et souvent des adresses e-mail ou des numéros de téléphone hachés. Les envoyer à Meta à des fins publicitaires nécessite une base légale et, pour les visiteurs de l'UE et du Royaume-Uni, il s'agit normalement du même consentement que celui requis pour le Pixel côté navigateur. Les valeurs de `_fbp` et `_fbc` proviennent en outre de cookies auxquels le visiteur a dû consentir au préalable.

Conditionnez les deux canaux au même choix :

| Scénario | Pixel côté navigateur | Conversions API |
| --- | --- | --- |
| Visiteur de l'UE ou du Royaume-Uni ayant accepté le marketing | Charger et suivre | Envoyer, avec le même `event_id` pour la déduplication |
| Visiteur de l'UE ou du Royaume-Uni ayant refusé ou n'ayant pas encore choisi | Ne pas charger | Ne pas envoyer |
| Visiteur américain, sans opt-out | Charger et suivre | Envoyer |
| Visiteur américain ayant exercé son opt-out ou envoyé un signal GPC | Ne pas charger, ou charger avec Limited Data Use | Ne pas envoyer, ou envoyer avec Limited Data Use |

Transmettez l'état de consentement à votre serveur avec chaque requête, ou lisez-le dans l'enregistrement du consentement, et vérifiez-le avant d'appeler l'API. Voir [balisage côté serveur et consentement](/fr/blog/server-side-tagging-and-consent) pour le principe général.

## Comment gérer les lois américaines sur la protection de la vie privée ?

Les lois des États américains, comme celle de la Californie, sont pour l'essentiel des régimes d'opt-out : vous pouvez faire fonctionner le Pixel par défaut, mais vous devez cesser de « vendre » ou de « partager » des données lorsqu'un visiteur s'y oppose. L'option Limited Data Use (LDU) de Meta demande à Meta de restreindre la manière dont il traite les événements de ces visiteurs.

```js
// Laisser Meta appliquer Limited Data Use en fonction de la localisation du visiteur
fbq('dataProcessingOptions', ['LDU'], 0, 0);
fbq('init', 'YOUR_PIXEL_ID');
```

Appelez-la avant `init`. La Conversions API accepte les mêmes options de traitement des données pour chaque événement. Si un visiteur envoie un signal [Global Privacy Control](/fr/blog/global-privacy-control) ou exprime son opt-out via votre bandeau, cessez de charger le Pixel pour lui ou appliquez LDU, et faites de même côté serveur.

## Comment vérifier que cela fonctionne ?

Ouvrez votre site dans une fenêtre de navigation privée, avec une localisation dans l'UE ou un VPN, et, avant de cliquer sur quoi que ce soit :

1. Dans le panneau Réseau du navigateur, filtrez sur `facebook`. Aucune requête ne doit partir vers `connect.facebook.net` ou `facebook.com/tr`.
2. Dans le panneau de stockage, vérifiez qu'aucun cookie `_fbp` ou `_fbc` n'existe.
3. Acceptez les cookies marketing et vérifiez que le Pixel se charge, que les cookies apparaissent et que les événements s'affichent dans l'Events Manager de Meta.
4. Retirez votre consentement et vérifiez que le Pixel s'arrête après le chargement de page suivant.

Recommencez avec un refus pour vérifier que rien ne se charge, et avec une URL `?fbclid=test` pour vérifier que `_fbc` n'est déposé qu'après le consentement. Un [audit des cookies](/fr/blog/how-to-run-a-cookie-audit) devrait inclure ces vérifications à intervalles réguliers, car les snippets du Pixel ont tendance à réapparaître dans les templates et les plugins.

## En résumé

Traitez le Meta Pixel comme un outil de suivi publicitaire, car c'en est un. Bloquez le script jusqu'au consentement, utilisez `fbq('consent')` comme garde-fou, conditionnez la Conversions API au même choix et utilisez Limited Data Use et le GPC pour les opt-outs américains. Des outils comme Cookiesh bloquent les traceurs connus, comme le Pixel, jusqu'au consentement des visiteurs, et des analyses planifiées signalent les nouveaux scripts, pour qu'aucun snippet égaré ne passe entre les mailles du filet.

*Cet article est fourni à titre d'information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.*

## FAQ

### Puis-je charger le Meta Pixel avec un consentement révoqué et l'accorder plus tard ?

Meta prend en charge ce schéma, qui empêche l'envoi d'événements tant que vous n'avez pas accordé le consentement. Charger la bibliothèque connecte néanmoins le navigateur du visiteur à Meta : pour les visiteurs de l'UE et du Royaume-Uni, il est donc plus sûr de bloquer entièrement le script jusqu'au consentement et d'utiliser l'API de consentement comme seconde protection.

### La Conversions API dispense-t-elle du consentement aux cookies ?

Non. Les événements serveur incluent généralement des identifiants issus de cookies, comme _fbp et _fbc, ou des coordonnées hachées, qui sont des données personnelles. Les envoyer à Meta nécessite une base légale au titre du RGPD, qui, pour la publicité, est normalement le consentement.

### Le Meta Pixel est-il couvert par Google Consent Mode ?

Non. Consent Mode ajuste uniquement le comportement des balises Google. Le Meta Pixel l'ignore : vous devez donc le conditionner via votre outil de consentement, les paramètres de consentement de votre gestionnaire de balises ou votre propre code.

### Suis-je responsable de ce que Meta fait des données du Pixel ?

En partie. Dans l'arrêt Fashion ID, la CJUE a jugé qu'un site intégrant un plugin Facebook est responsable conjoint du traitement avec Facebook pour la collecte et la transmission des données des visiteurs. Ce raisonnement est largement appliqué au Pixel : il vous incombe donc d'obtenir le consentement et d'informer les visiteurs.

## Sources

- [General Data Protection Regulation and the Meta Pixel, Meta for Developers](https://developers.facebook.com/docs/meta-pixel/implementation/gdpr)
- [Data Processing Options for US users, Meta for Developers](https://developers.facebook.com/docs/marketing-apis/data-processing-options)
- [Case C-40/17, Fashion ID, CJEU](https://curia.europa.eu/juris/liste.jsf?num=C-40/17)