De nombreux fournisseurs de solutions de suivi B2B aiment le terme « sans cookies ». C’est un argument marketing qui, à y regarder de plus près, n’est généralement pas exact au sens strict. L’identification au niveau de l’entreprise enregistre bien un élément sur l’appareil du visiteur : un identifiant fonctionnel first-party sur votre propre domaine, utilisé pour regrouper les pages vues d’une même session de navigateur dans une vue cohérente de l’entreprise. En revanche, elle ne dépose pas de cookies publicitaires ni de cookies intersites, ne réalise pas de fingerprinting des navigateurs et ne transmet pas de données aux régies publicitaires. Cet article détaille précisément ce périmètre afin que votre DPO n’ait pas à le reconstituer lui-même.
Ce que le tracker enregistre réellement sur l’appareil
Lors de la première page vue, le tracker génère un identifiant aléatoire propre à l’appareil et le stocke comme valeur first-party sur votre propre domaine, généralement dans un cookie ou dans localStorage. Lors des pages vues suivantes, le tracker envoie cet identifiant avec l’URL, le référent, l’horodatage et le user-agent au point de terminaison d’ingestion. Plusieurs pages vues d’une même session de navigateur peuvent ainsi être rattachées à la même vue de l’entreprise. C’est l’intégralité de l’empreinte locale. Aucun cookie publicitaire. Aucun cookie intersite. Aucun cookie tiers. Aucun fingerprinting.
L’identification de l’entreprise elle-même ne s’effectue pas sur l’appareil. Le serveur récupère l’adresse IP de la requête, la compare à des données B2B vérifiées sur les entreprises, identifie l’organisation — ou la laisse non identifiée —, supprime l’adresse IP brute après l’identification et stocke l’organisation identifiée avec la page vue. L’identifiant propre à l’appareil sert uniquement à regrouper les pages vues d’une même session sur votre propre domaine : c’est un mécanisme fonctionnel, pas un profil.
Ce que le tracker ne fait jamais
| Comportement | Identifiant au niveau de l’entreprise (lead.box) | Cookies publicitaires / de retargeting |
|---|---|---|
| Enregistré sur votre propre domaine (first-party) | Oui | Parfois |
| Enregistré sous un domaine tiers | Non | Oui |
| Lisible par d’autres sites | Non | Oui |
| Utilisé pour créer un profil intersites | Non | Oui |
| Partagé avec des régies publicitaires | Non | Oui |
| Fingerprinting du navigateur | Non | Parfois |
| Persiste après la désactivation | Non | Cela dépend |
Deux règles qui continuent toutes deux de s’appliquer
Le RGPD régit le traitement (Art. 6(1)(f), intérêt légitime, avec une mise en balance documentée en faveur de l’entreprise). La directive ePrivacy / le TDDDG §25 régit ce qui est enregistré sur l’appareil. Puisqu’un identifiant fonctionnel first-party est enregistré sur votre propre domaine, la question de la bannière au titre du §25 relève d’une décision de périmètre de votre DPO, et non d’une décision qu’un fournisseur peut prendre à votre place.
La question de la bannière, en toute transparence
Vous lirez des pages de fournisseurs promettant qu’« aucune bannière n’est nécessaire ». Considérez cela comme du marketing, pas comme un conseil juridique. Le §25 du TDDDG exige un consentement pour le stockage d’informations sur l’équipement terminal ou l’accès à celles-ci, sauf si ce stockage est strictement nécessaire à un service demandé par l’utilisateur. Déterminer si un identifiant fonctionnel first-party destiné à l’analyse B2B interne est strictement nécessaire relève d’une décision de périmètre : certains DPO répondent oui — il s’agit d’un mécanisme fonctionnel sur votre propre domaine, déclaré au titre de l’intérêt légitime —, tandis que d’autres préfèrent l’inclure dans la CMP sous une catégorie fonctionnelle/nécessaire. Les deux positions peuvent se défendre. En revanche, vous ne devez pas le qualifier de « sans cookies » et faire l’impasse sur cette discussion.
Comment l’intégrer à une CMP
- Conservez votre CMP pour les outils publicitaires et intersites : rien ne change de ce côté.
- Classez l’identifiant au niveau de l’entreprise dans la catégorie fonctionnelle / strictement nécessaire, avec une justification d’une ligne mentionnant l’analyse B2B interne sur votre propre domaine.
- Déclarez explicitement l’identifiant dans votre politique de confidentialité (un paragraphe prêt à l’emploi est disponible sur la page /gdpr et mentionne l’identifiant propre à l’appareil et first-party).
- Ajoutez le lien de désactivation (/opt-out) à côté du paragraphe afin de ne pas omettre la partie relative aux droits des visiteurs.
Que se passe-t-il lorsqu’un visiteur clique sur « Tout refuser » ?
Si votre CMP classe l’identifiant comme strictement nécessaire / fonctionnel, il continue de fonctionner : c’est précisément ce que signifie « strictement nécessaire ». Si votre CMP le classe dans une catégorie d’analyse facultative et que le visiteur refuse, le tracker cesse d’enregistrer l’identifiant et d’envoyer des événements pour ce visiteur. Les deux configurations sont légitimes ; choisissez celle que votre DPO valide. Dans la première configuration, votre nombre d’entreprises identifiées restera stable ; dans la seconde, il dépendra du taux de consentement.
Que mentionner dans votre politique de confidentialité
Un seul paragraphe suffit. Il nomme le traitement, indique la base légale, déclare explicitement l’identifiant first-party propre à l’appareil — sans le dissimuler —, précise qu’aucun cookie publicitaire ou intersite n’est utilisé et renvoie vers le DPA ainsi que vers /opt-out. La page /gdpr propose un extrait prêt à copier-coller en anglais et en allemand qui mentionne déjà l’identifiant en toute transparence.
Published by
lead.box Team
More articles
Découvrez lead.box sur votre propre trafic
Démarrez gratuitement — sans carte bancaire, sans appel commercial obligatoire. Ou réservez une présentation guidée de 20 minutes.