- Le pixel Meta (Facebook) est un traceur publicitaire : il exige un consentement préalable et ne peut jamais reposer sur l'intérêt légitime.
- La faute la plus sanctionnée par la CNIL est le pixel qui se déclenche au chargement de la page, avant tout accord (150 M€ pour Shein en 2025).
- Une CMP couplée à Google Tag Manager ou au Consent Mode bloque le pixel tant que l'internaute n'a pas accepté.
- L'API de conversions reste soumise au consentement ; les transferts vers Meta aux États-Unis s'appuient sur le Data Privacy Framework, à mentionner dans la politique de confidentialité.
- Un audit vérifie qu'aucune requête ne part vers Meta avant le consentement.
Pourquoi le pixel Meta relève du consentement
Le pixel Meta, anciennement pixel Facebook, est un petit script installé sur vos pages. Il enregistre les visites, les pages vues, les ajouts au panier ou les achats. Ces données remontent à Meta pour mesurer vos publicités et recibler les internautes.
Ce fonctionnement en fait un traceur publicitaire. À ce titre, il tombe sous l'article 82 de la loi Informatique et Libertés. Cet article impose le consentement de l'internaute avant toute écriture ou lecture sur son terminal.
Beaucoup de dirigeants espèrent s'appuyer sur l'intérêt légitime. C'est impossible ici. La CNIL et le Comité européen de la protection des données considèrent que le ciblage publicitaire repose obligatoirement sur le consentement. L'intérêt légitime ne couvre pas la publicité comportementale.
Le consentement doit être libre, spécifique, éclairé et univoque. Un simple bandeau informatif ou une case pré-cochée ne suffisent pas. Notre guide de la conformité RGPD d'un site web détaille ce socle.
La faute la plus sanctionnée : le déclenchement au chargement
L'erreur la plus fréquente est aussi la plus lourde. Le pixel se déclenche dès l'ouverture de la page, avant que l'internaute ait cliqué sur « Accepter ». Le traceur est alors déposé sans consentement valable.
La CNIL sanctionne cette pratique de façon régulière. En septembre 2025, elle a infligé 150 millions d'euros à Shein. Motif principal : des cookies publicitaires déposés dès l'arrivée sur la page d'accueil, avant toute interaction avec le bandeau.
La même année, Google a écopé de 325 millions d'euros au total pour des dépôts de traceurs sans consentement. Ces montants visent de grands groupes. Mais le principe s'applique à tous les sites, quelle que soit leur taille.
Pour une TPE ou une PME, le risque n'est pas qu'une amende record. C'est une plainte, un contrôle en ligne, puis une mise en demeure. Notre synthèse des sanctions CNIL en matière de RGPD illustre cette montée en puissance.
Configurer le pixel pour qu'il se déclenche après accord
La règle est simple. Le pixel ne doit se charger qu'après un consentement explicite. Rien ne doit partir vers Meta tant que l'internaute n'a pas accepté.
Première brique : une CMP, ou plateforme de gestion du consentement. Elle affiche le bandeau, enregistre le choix et conditionne le déclenchement des traceurs. Le pixel reste bloqué par défaut.
Deuxième brique : le pilotage technique. Avec Google Tag Manager, le tag du pixel se déclenche seulement quand la CMP signale un consentement « publicité ». Le Consent Mode de Meta et des balises permet aussi de retenir les signaux tant que l'accord n'est pas donné.
Testez toujours le résultat. Ouvrez votre site en navigation privée, refusez les cookies, puis inspectez les requêtes réseau. Aucune requête vers Meta ni vers « /tr » ne doit partir avant votre clic. La logique est la même que pour un usage conforme de Google Analytics.
API de conversions et transferts hors UE
Meta pousse l'API de conversions, dite CAPI. Elle envoie les événements depuis votre serveur plutôt que depuis le navigateur. Elle améliore la mesure, mais ne supprime pas l'obligation de consentement.
L'API de conversions reste soumise au même régime. Si l'événement concerne de la publicité, il exige le consentement préalable de la personne. Un envoi côté serveur ne transforme pas un traceur publicitaire en traitement anodin.
Se pose aussi la question des transferts. Les données du pixel sont traitées par Meta aux États-Unis. Ce transfert s'appuie aujourd'hui sur le Data Privacy Framework, en vigueur depuis juillet 2023. Vous devez le mentionner dans votre politique de confidentialité.
Soyez transparent sur ce point. Indiquez que Meta agit comme destinataire, que des données partent hors de l'Union européenne, et sur quelle base ce transfert repose.
L'impact sur votre bandeau cookies
Le pixel Meta change la nature de votre bandeau. Vous ne pouvez plus vous contenter d'un simple message d'information. Il vous faut un vrai choix entre accepter et refuser.
Le refus doit être aussi facile que l'acceptation. Deux boutons de même niveau, dès le premier écran. Pas de bouton « Accepter » coloré face à un lien « Paramétrer » caché.
Le bandeau doit aussi nommer les finalités. La publicité et le partage avec Meta doivent apparaître clairement. L'internaute doit comprendre ce qu'il autorise avant de cliquer.
Enfin, le retrait doit rester simple à tout moment. Notre guide du bandeau cookies conforme CNIL détaille la mise en place, écran par écran.
Comment vérifier que votre pixel est conforme
Beaucoup de sites croient être en règle et ne le sont pas. Le pixel a été posé une fois, puis oublié. Une mise à jour de thème ou d'extension le réactive au chargement.
Le test de base tient en trois étapes. Refusez les cookies. Regardez les requêtes réseau. Vérifiez qu'aucun appel vers Meta ne part avant votre accord. Si un appel « /tr » apparaît, le pixel fuite.
Un audit automatisé fait ce travail pour vous. Il détecte le pixel chargé sans consentement, liste les traceurs actifs et pointe les écarts. Lancez un audit RGPD gratuit de votre site pour un premier diagnostic en quelques minutes.
Cet article a une visée informative et ne constitue pas un conseil juridique. Pour une situation précise, rapprochez-vous d'un professionnel ou de la CNIL.
Où en est votre site aujourd’hui ?
Obtenez votre score de conformité RGPD en 20 secondes, gratuitement et sans inscription.
Lancer l’audit gratuitCet article est informatif et ne constitue pas un conseil juridique.