Pixels de suivi et outils analytiques : ce qui rend vraiment les donnees d'un visiteur "sensibles" selon la loi des Etats americains

Le pixel installe pour le marketing n'est pas celui que vous croyez

Un exploitant d'annuaire installe un pixel Meta pour mesurer quelles publicites attirent des annonceurs, ajoute Google Analytics pour voir quelles villes convertissent le mieux, et place un widget de chat sur le site pour que les visiteurs puissent poser des questions avant de s'inscrire. Chacune de ces decisions est une decision marketing tout a fait ordinaire, le genre de choix que toute petite entreprise prend sans y reflechir a deux fois. Sur le site d'un magasin de meubles, c'est exactement ce que c'est : une infrastructure marketing ordinaire, et les donnees qu'elle produit ne sont que de l'historique de navigation.

Un annuaire de petites annonces n'est pas un magasin de meubles, et la difference ne tient ni au ton ni a la politique de contenu. Elle tient a ce que les pages elles-memes revelent. Un visiteur qui passe du temps sur une page d'une categorie precise, d'un genre precis, ou d'une orientation precise d'annonces ne fait pas que naviguer, et tout outil present sur cette page qui rapporte l'adresse a un prestataire transmet plus qu'une simple vue de page. Il transmet une deduction sur la vie sexuelle ou l'orientation sexuelle de ce visiteur, et dans un nombre croissant d'Etats americains, cette deduction possede sa propre categorie juridique avec ses propres regles.

Ce n'est pas la meme regle deja traitee ici pour les exploitants qui gerent des visiteurs europeens selon les categories particulieres de donnees du RGPD. Cet article precedent concerne un regime unique valable dans toute l'Union europeenne, applicable quel que soit le lieu ou l'entreprise est basee. Ce qui suit est la mosaique americaine : un ensemble de lois etatiques que la plupart des exploitants n'ont jamais comparees a leur propre dispositif marketing, parce que le document qui recoit habituellement de l'attention est le questionnaire d'ouverture de compte du prestataire de paiement, pas le fragment de JavaScript qu'un consultant marketing a colle dans l'en-tete du site il y a dix-huit mois.

La raison pour laquelle ceci merite une lecture a part, distincte de l'article sur le RGPD, est que les regles americaines fonctionnent differemment, d'une maniere qui change ce qu'un exploitant doit reellement mettre en place. Certains Etats exigent seulement un droit d'opposition. D'autres exigent le consentement avant meme que l'outil ne se declenche. Se tromper la-dessus n'est pas une case oubliee sur un formulaire ; c'est un widget de chat ou un pixel publicitaire qui tourne sur une page ou il n'aurait jamais du tourner.

Ce que signifie "information personnelle sensible", et pourquoi un annuaire y entre par defaut

La loi californienne actualisee sur la vie privee, la CPRA, a cree une categorie appelee "information personnelle sensible" qui se situe au-dessus des donnees personnelles ordinaires et qui porte ses propres regles de divulgation et de droit d'opposition. Cette categorie inclut les elements evidents, un numero de securite sociale, les identifiants d'acces a un compte financier, la geolocalisation precise, mais elle inclut aussi explicitement les informations personnelles qui revelent la vie sexuelle ou l'orientation sexuelle d'un consommateur. Ce n'est pas une lecture forcee ni une interpretation creative d'avocat. C'est le texte meme de la loi, dans la meme liste que l'origine raciale et les donnees genetiques.

La condition qui fait passer ceci du theorique a l'automatique tient a la maniere dont la loi en delimite le champ : les obligations supplementaires s'appliquent lorsque l'entreprise collecte ou traite cette information dans le but de deduire des caracteristiques sur un consommateur. Le site d'un commercant generaliste ne deduit generalement rien de la vie sexuelle d'un acheteur a partir de ce qu'il consulte, si bien que cette categorie le concerne a peine. Un annuaire organise en categories par genre et par orientation est entierement construit autour de ce type d'information. La deduction n'est pas un effet secondaire de l'activite ; elle constitue la structure de navigation meme du site. C'est la raison precise pour laquelle cette categorie atteint par defaut un exploitant de petites annonces, d'une maniere qu'elle n'atteint pas la plupart des autres petites entreprises utilisant exactement les memes balises marketing.

La VCDPA de Virginie et la CPA du Colorado adoptent une approche plus stricte que celle de la Californie. La ou la CPRA laisse une entreprise traiter des donnees sensibles et n'offrir qu'apres coup aux consommateurs le droit d'en limiter l'usage, la Virginie et le Colorado exigent que l'entreprise obtienne le consentement explicite du consommateur avant tout traitement de donnees sensibles, pas apres coup ni via un lien enfoui en bas de page. Une action specifique, informee, d'adhesion volontaire doit intervenir d'abord. Pour un site qui declenche automatiquement un pixel marketing des le chargement d'une page, c'est la difference entre une configuration conforme et une configuration qui n'aurait jamais du collecter cette donnee des le depart.

En debut d'annee, une vingtaine d'Etats environ disposaient de lois completes sur la vie privee de ce type en vigueur, et d'autres ont ete adoptees depuis, chacune selon son propre calendrier d'entree en vigueur et avec ses propres petites variations sur ce qui compte comme sensible et sur le modele suivi, droit d'opposition ou consentement prealable. Un exploitant ne choisit pas de quel Etat viennent ses visiteurs. Un annuaire au trafic national construit, dans les faits, selon la regle la plus stricte susceptible de s'appliquer a n'importe quel visiteur qu'il pourrait recevoir, ce qui signifie ici traiter le modele du consentement, et non celui du droit d'opposition, comme la base de conception plutot que comme l'exception a accommoder.

Un pixel, c'est du "partage", pas de la "vente", et cette distinction ne vous sauve pas

La raison la plus courante pour laquelle un exploitant suppose que rien de tout cela ne le concerne est simple : aucun argent ne change de mains. Personne ne vend une liste de visiteurs a qui que ce soit. Ce raisonnement tient face a une conception a l'ancienne de la vente de donnees et s'effondre face a la maniere dont la CPRA definit reellement le probleme. La loi a cree un concept distinct appele "partage", couvrant specifiquement la publicite comportementale intercontextuelle, c'est-a-dire tout arrangement ou un tiers peut utiliser des donnees de votre site pour cibler des publicites vers ce meme visiteur ailleurs, qu'il y ait ou non un paiement en jeu.

Un pixel de reciblage d'une plateforme publicitaire est concu precisement pour cela. Il permet a la plateforme de reconnaitre un visiteur qui etait sur une page precise de votre annuaire et de lui montrer ensuite une publicite ailleurs, en utilisant exactement le lien que la loi a ete ecrite pour intercepter. Dire que "ce n'est pas une vente" est techniquement exact et juridiquement sans consequence, car le droit sur le partage existe precisement pour atteindre ce type d'arrangement sans avoir besoin de prouver qu'un paiement a eu lieu.

La consequence pratique est une seconde obligation de divulgation, distincte et s'ajoutant a la regle sur l'information personnelle sensible deja decrite. Une entreprise doit donner aux consommateurs un moyen de limiter l'usage de l'information personnelle sensible, et un moyen distinct de refuser le partage utilise pour la publicite comportementale. Dans la pratique, ces deux droits sont generalement reunis en un seul lien, souvent intitule "Vos choix en matiere de confidentialite", pour qu'un visiteur n'ait pas a chercher dans deux pieds de page distincts pour exercer l'un ou l'autre. De plus en plus, les Etats attendent aussi qu'une entreprise respecte automatiquement le signal Global Privacy Control, ce qui signifie que le navigateur d'un visiteur peut exprimer ce refus sans qu'il ait jamais a cliquer sur quoi que ce soit sur le site, et un site qui ne propose qu'un lien manuel en ignorant ce signal ne repond pas au standard actuel.

Rien de tout cela ne se limite aux pixels publicitaires. Un widget de chat qui enregistre des transcriptions chez un prestataire tiers, un SDK d'analytique qui rapporte quelles categories d'annonces un visiteur a consultees, et un outil d'enregistrement de session qui rejoue les clics d'un visiteur deplacent tous le meme type de donnees au niveau de la page vers un prestataire exterieur a l'entreprise. Chacun merite le meme examen que le pixel publicitaire, car ce qui declenche l'obligation legale, c'est ce que la donnee revele, pas quel service a demande l'installation de l'outil.

La lecon de Grindr : la fuite n'est rarement le reseau publicitaire que vous surveilliez

En septembre 2026, Grindr a accepte de payer 26 millions de livres sterling pour clore une action en justice au Royaume-Uni intentee par environ 12 000 plaignants via le cabinet Austen Hays devant la High Court d'Angleterre et du pays de Galles. La plainte alleguait que l'application avait partage le statut VIH des utilisateurs, l'usage de la PrEP, et des informations sur leur vie sexuelle ou leur orientation sexuelle avec des prestataires tiers sans consentement adequat, pour des pratiques liees aux donnees entre 2016 et 2020. Grindr a mis fin a l'action sans admettre de responsabilite, et a declare que son programme de confidentialite avait substantiellement change depuis le changement de propriete survenu cette meme annee.

Le detail qui merite l'attention d'un exploitant n'est pas le montant du reglement. C'est l'identite des prestataires : Localytics et Apptimize, deux entreprises ordinaires d'analytique produit, du genre que quasiment toute application ou tout site web utilise pour comprendre le comportement des utilisateurs, et non des reseaux publicitaires que quiconque aurait signales d'emblee comme a haut risque. L'exposition n'est pas nee d'une vente deliberee de donnees a un annonceur. Elle est nee d'une integration analytique standard qui, sur ce type particulier de plateforme, s'est trouvee recevoir et retransmettre des donnees de categorie sensible comme effet secondaire ordinaire de l'enregistrement normal des evenements.

C'est exactement la forme du risque decrit dans les sections precedentes, qui se materialise sur une plateforme reelle avec un chiffre reel a la cle. Personne dans cette entreprise ne s'est assis pour decider de vendre des donnees d'orientation sexuelle. Un SDK analytique faisait son travail ordinaire sur des pages ou ce travail ordinaire signifiait, precisement, transmettre une deduction sensible, et personne n'avait cartographie ce lien avant que cela ne devienne une action en justice de deux ans.

Le meme schema se retrouve plus pres de chez nous, dans la maniere dont des cabinets americains specialises dans les recours collectifs poursuivent actuellement des exploitants de sites web, pas seulement des editeurs d'applications, en vertu de lois etatiques sur les ecoutes comme le California Invasion of Privacy Act et de la loi federale Video Privacy Protection Act, pour des widgets de chat ordinaires, des outils d'enregistrement de session et des pixels de suivi installes pour des raisons marketing tout a fait banales. Il s'agit d'un domaine actif, non stabilise : la Cour supreme des Etats-Unis a accepte en janvier 2026 d'examiner une affaire qui clarifiera jusqu'ou s'etend la definition de "consommateur" dans la loi sur la confidentialite video, ce qui signifie que les contours de cette exposition sont encore en train de se dessiner en temps reel, et non fixes par une regle qu'un exploitant pourrait simplement lire une fois et classer.

Ce qu'il faut vraiment mettre en place avant le prochain changement marketing

Commencez par un inventaire, pas par une politique. Listez chaque balise tierce presente sur le site, le pixel, l'extrait analytique, le widget de chat, tout ce qu'un consultant marketing ou un plugin a installe, et notez sur quelles pages chacune se declenche. La question qui compte est de savoir si l'une d'elles se declenche sur une page d'annonces specifique par categorie, genre ou orientation avant que le visiteur n'ait fait quoi que ce soit pour consentir a ce traitement. La plupart des exploitants n'ont jamais dresse cette liste, parce qu'aucune personne ne possede l'ensemble des balises du site, et c'est exactement dans ce vide que vit cette exposition.

Une fois la liste etablie, divisez-la. Les outils qui n'ont besoin de fonctionner que sur les pages de compte, de facturation ou generales du site forment la moitie a faible risque. Tout ce qui se declenche sur une page d'annonces specifique par categorie ou orientation appartient a un groupe distinct qui ne devrait pas se charger automatiquement, et ne devrait se charger qu'apres une action de consentement specifique et enregistree, pas apres le bouton d'une banniere generique de cookies concue pour un site de vente au detail ordinaire. Une banniere qui dit "nous utilisons des cookies" ne satisfait presque rien selon un modele de consentement prealable pour les donnees sensibles.

Combinez les deux obligations de divulgation en un seul lien visible, souvent intitule "Vos choix en matiere de confidentialite", couvrant a la fois le droit de limiter l'usage de l'information personnelle sensible et le droit de refuser le partage pour la publicite comportementale, et assurez-vous que le site respecte reellement un signal Global Privacy Control du navigateur, pas seulement le lien manuel. C'est une exigence precise et realisable, pas une aspiration vague, et il vaut la peine de confirmer aupres de qui a construit le site que c'est correctement branche, plutot que de supposer qu'un plugin de consentement aux cookies s'en occupe par defaut.

Traitez les outils d'enregistrement de session et d'ecran comme la categorie la plus a risque de cette liste et, si l'entreprise n'a pas de raison operationnelle claire d'en garder un, envisagez de le supprimer entierement plutot que d'essayer de le configurer autour du risque. Si l'un est conserve, excluez de l'enregistrement toutes les pages de categorie et d'annonces, plutot que de compter sur une redaction posterieure. La meme logique qui a pousse la strategie de trafic vers la recherche et le referencement plutot que vers les plateformes publicitaires payantes s'applique ici pour une seconde raison : moins de pixels publicitaires tiers sur le site n'est pas seulement un choix marketing, c'est aussi moins d'endroits par lesquels les donnees d'une page de categorie peuvent fuiter vers un prestataire que personne n'a audite. Construire cette carte avant la prochaine campagne coute moins cher que de la reconstruire apres l'arrivee d'une mise en demeure.