Social Influence : réglages publicitaires à revoir et Loi 25

Social Influence vérifie les comptes publicitaires de PME à Mascouche et dans le Grand Montréal, et quand on regarde la Loi 25 et la publicité en ligne, les réglages qui causent le plus d'ennuis sont ceux que personne n'a choisis. Je m'appelle Marven Salgado et j'en suis le fondateur. La plupart des propriétaires n'ouvrent jamais les réglages par défaut de Google Ads ou de Meta, alors que ce sont eux qui décident de ce qui est recueilli, partagé et conservé avant même qu'un visiteur ait cliqué sur « Accepter ». Je regarde d'abord l'application automatique des recommandations et les composants créés automatiquement dans Google Ads, les conversions améliorées, le pixel Meta et sa correspondance avancée automatique, les formulaires instantanés, les listes de clients téléversées, puis la bannière de consentement, pour voir si elle retient vraiment les balises. Ce texte décrit ma façon de vérifier un compte publicitaire et ne constitue pas un avis juridique.

Social Influence : pourquoi les réglages publicitaires par défaut méritent un deuxième regard avec la Loi 25

Google Ads et Meta fixent leurs réglages par défaut selon d'autres normes que la Loi 25, donc un compte jamais modifié peut traiter des renseignements personnels sans que l'entreprise l'ait décidé.

Les réglages par défaut ont l'air sûrs, et vous avez une entreprise à faire rouler, alors je comprends pourquoi tant de comptes ressemblent encore à ce que la plateforme a mis en place au départ. La Loi 25 a modifié la Loi sur la protection des renseignements personnels dans le secteur privé, au Québec, et elle s'applique à toute entreprise qui recueille des renseignements personnels, peu importe sa taille ou son budget publicitaire. Elle vous demande de dire aux gens ce que vous recueillez et pourquoi au moment de la collecte, puis d'obtenir leur consentement avant d'utiliser ces renseignements à une autre fin ou de les communiquer à quelqu'un d'autre.

Dans un compte publicitaire, tout ça est difficile à voir. Un réglage par défaut peut garder des données plus longtemps que nécessaire, ou les envoyer à la plateforme sans consentement clair, et aucun tableau de bord ne vous avertit. Quand je passe un compte en revue, je commence par les durées de conservation des données, la configuration du suivi des conversions et les autorisations de partage des audiences. Rien de ça n'est compliqué une fois qu'on sait où se trouve chaque réglage.

Google Ads : l'automatisation et le partage de données qu'une entreprise québécoise devrait revoir

Google Ads peut modifier votre compte et envoyer des données en votre nom à bien des endroits que les propriétaires ne soupçonnent pas : recommandations automatiques, composants générés, balises de conversion et listes de remarketing.

Les balises de conversion signalent quand quelqu'un remplit un formulaire ou réserve en ligne. Les conversions améliorées vont plus loin : la balise prend des renseignements dans le formulaire, comme l'adresse courriel, les convertit en valeurs hachées et les envoie à Google pour associer la conversion à un utilisateur connecté. Quelqu'un dans l'entreprise devrait savoir si cette option est activée, et la politique de confidentialité devrait la mentionner. Les listes de remarketing ont une durée d'adhésion qui fixe combien de temps un visiteur reste dans la liste. Réglez-la selon ce dont vos campagnes ont réellement besoin.

L'application automatique des recommandations et les composants créés par l'IA

L'application automatique des recommandations permet à Google d'ajouter des mots-clés, d'ajuster les enchères ou de modifier le texte de vos annonces de lui-même. Je la désactive donc dans la page Recommandations et j'approuve chaque changement à la main. Certains de ces changements élargissent l'audience qui voit vos annonces ou réécrivent vos textes sans votre accord. Décidez qui, chez vous, approuve les changements apportés au compte.

Les composants créés automatiquement fonctionnent de la même façon. Google peut rédiger des titres et des descriptions à partir de vos pages de destination, de votre site web et de vos annonces existantes, et dans certaines campagnes, il peut aussi générer des images. Ces composants sont tirés de votre propre contenu, alors le risque touche surtout des annonces mises en ligne sans que personne dans l'entreprise les ait approuvées. Je passe en revue chaque option de composants automatiques dans les paramètres de la campagne et je laisse activées seulement celles qu'une personne de votre équipe a accepté de vérifier.

Le pixel Meta, les données de conversion et les réglages d'audience

Le pixel Meta rapporte à Meta ce que font les visiteurs sur votre site : il faut savoir quels événements il envoie, avec quels renseignements personnels, et si le visiteur a accepté avant.

Un pixel qui se charge avec la page envoie une vue de page pour chaque visiteur. La correspondance avancée automatique en ajoute davantage. Elle récupère les renseignements qu'une personne tape dans un formulaire de votre site, comme une adresse courriel ou un numéro de téléphone, les convertit en valeurs hachées et les envoie à Meta pour associer la visite à un profil. Ces données alimentent vos rapports de conversion et les audiences de site web que vous pourrez cibler plus tard. Quand je configure des publicités Meta pour une entreprise, je vérifie quels événements sont actifs, si la correspondance avancée est activée, combien de temps les audiences de site web gardent les gens et si la bannière de consentement retient le pixel jusqu'à ce que le visiteur fasse son choix.

Les formulaires instantanés et le moment de la collecte

Un formulaire instantané recueille des renseignements personnels dès que la personne touche « Envoyer », à l'intérieur de Facebook ou d'Instagram, alors l'avis doit se trouver dans le formulaire lui-même.

La personne ne passe jamais par votre site web, et Meta préremplit son nom, son adresse courriel et son numéro de téléphone à partir de son profil. Vous perdez donc l'occasion habituelle d'afficher un avis de confidentialité sur votre propre page. Avant de lancer une campagne de génération de prospects, je vérifie quatre parties du formulaire. Le lien vers la politique de confidentialité doit mener à la politique de l'entreprise elle-même (Meta en exige une) et il doit être facile à trouver. La clause de non-responsabilité personnalisée sert à expliquer, en mots simples, pourquoi vous recueillez ces renseignements et ce qui se passe ensuite ; le texte par défaut en dit très peu. Si vous pouvez dire combien de temps vous gardez les prospects, écrivez-le dans l'introduction ou dans la clause, puisque les gens font davantage confiance à un formulaire quand ils le savent. Restent les champs préremplis : gardez seulement ceux dont vous avez besoin, et vérifiez que la personne peut voir et corriger ce que Meta a rempli.

La bannière de consentement, les balises et ce qui se déclenche avant le choix du visiteur

Une bannière de consentement ne fait son travail que si elle empêche les balises publicitaires et analytiques de se charger avant le choix du visiteur, et seul un test permet de le savoir.

La plupart des propriétaires installent une extension de bannière et passent à autre chose. La Loi 25 s'attend à ce qu'une technologie capable d'identifier, de localiser ou de profiler une personne reste désactivée jusqu'à ce que cette personne l'active, et bâtir des audiences à partir des visites sur le site, c'est justement à ça que servent les pixels publicitaires. J'ouvre l'onglet Réseau du navigateur et je charge le site avant de cliquer quoi que ce soit dans la bannière. Si des pixels se déclenchent avant ce premier clic, la bannière ne les bloque pas, même si elle a l'air conforme. Je vérifie :

• quelles balises se chargent dès l'ouverture de la page
• si « Tout accepter » est le seul bouton facile à trouver
• si un refus laisse quand même passer les pixels d'analyse ou de publicité
• si la bannière bloque vraiment les scripts ou se contente de couvrir la page
• comment le choix du visiteur est transmis aux balises Google (par le mode Consentement) et au pixel Meta

GA4 a sa place derrière la même bannière que vos balises Google Ads et Meta, et votre politique de confidentialité devrait toutes les nommer.

Les listes de clients, le suivi des appels et la politique de confidentialité qui doit concorder

Une liste de clients téléversée dans Google ou Meta transmet leurs courriels et leurs numéros de téléphone à une plateforme publicitaire, donc il faut leur consentement pour cet usage avant l'envoi du fichier.

Une fois téléversée, la liste fait partie de vos obligations en matière de vie privée, que quelqu'un l'ait prévu ou non. Avant de téléverser quoi que ce soit pour une entreprise, je regarde comment ces contacts ont été recueillis et ce qu'on leur a dit à ce moment-là. Si leur consentement à un usage publicitaire n'est pas clair, je laisse tomber le téléversement.

Le suivi des appels demande la même attention. Si vous utilisez des numéros de suivi des appels qui enregistrent les conversations, les appelants devraient entendre un message indiquant que l'appel peut être enregistré, et votre site web comme votre politique de confidentialité devraient le mentionner.

Les accès aux comptes font aussi partie de cette révision. Chaque agence, pigiste ou ancien employé qui a accès à votre compte Google Ads, à vos actifs Meta ou à votre gestionnaire de balises peut voir ou déplacer ces données. Votre entreprise reste responsable de ces renseignements personnels même quand un fournisseur s'en occupe, et c'est pourquoi il faut un contrat écrit avec lui. Retirez l'accès à quiconque n'en a plus besoin.

Comparez ensuite la politique de confidentialité, la bannière et les outils qui fonctionnent sur le site. Les trois devraient décrire la même chose, et un écart entre eux est le premier problème à régler. Lisez votre politique comme le ferait un client. Pour comparer, la politique de confidentialité de Social Influence est publique.

Loi 25 et publicité en ligne : la révision trimestrielle de vos comptes

Tous les trois mois, je fais la même vérification de confidentialité dans chaque compte publicitaire actif, et vous pouvez la faire vous-même sans engager personne.

1. Ouvrez les paramètres de données de chaque plateforme et confirmez que l'application automatique, les composants créés automatiquement, les conversions améliorées, la correspondance avancée et la durée des audiences sont toujours réglés comme vous l'avez décidé.
2. Passez en revue les listes de clients téléversées et retirez tout vieux fichier dont le consentement n'est pas clair.
3. Vérifiez qui a accès aux comptes publicitaires et au gestionnaire de balises.
4. Testez la bannière de consentement dans une fenêtre de navigation privée pour confirmer qu'elle bloque toujours les scripts de suivi tant que la personne n'a pas accepté.
5. Relisez la politique de confidentialité et vérifiez qu'elle correspond encore à ce que les annonces et les formulaires recueillent.
6. Appelez vos numéros de suivi et confirmez que le message d'enregistrement joue toujours.

Cette routine permet d'attraper les problèmes pendant qu'ils sont encore petits. Faites appel à un avocat, ou à la personne responsable de la protection des renseignements personnels dans votre entreprise, avant d'utiliser des données de clients à une nouvelle fin, quand vous n'êtes pas certain qu'une liste a été obtenue avec consentement ou quand quelque chose a déjà mal tourné. Selon la Loi 25, cette personne est par défaut celle qui détient la plus haute autorité dans l'entreprise (souvent le propriétaire), et son titre et ses coordonnées doivent figurer sur votre site web. Rien de tout ça n'est un avis juridique : c'est la révision que je fais dans les comptes publicitaires, et un avocat peut vous dire comment la Loi 25 s'applique à votre entreprise.