TL;DR
Le Digital Markets Act (DMA) est un règlement européen entré en vigueur en mars 2024 qui impose des obligations spécifiques aux grandes plateformes numériques (gatekeepers) en matière de consentement et de traçage. Pour les éditeurs de sites web, le DMA renforce l'exigence d'un consentement explicite avant tout partage de données avec les services des gatekeepers (Google, Meta, Amazon, Apple, etc.). Concrètement, il impacte la façon dont vous configurez vos cookies, votre CMP et vos intégrations publicitaires.
Qu'est-ce que le Digital Markets Act ?
Le Digital Markets Act (DMA) est un règlement de l'Union européenne qui vise à réguler les pratiques des grandes plateformes numériques désignées comme "gatekeepers" (contrôleurs d'accès). Adopté en 2022 et applicable depuis mars 2024, il complète le RGPD en ajoutant des obligations spécifiques sur le consentement, le croisement de données et la transparence publicitaire.
Contrairement au RGPD qui s'applique à tout responsable de traitement, le DMA cible spécifiquement les plateformes dominantes : Google (Search, Ads, Maps, Android, Chrome), Meta (Facebook, Instagram, WhatsApp, Messenger), Amazon, Apple, Microsoft, ByteDance (TikTok) et quelques autres. Mais ses effets se répercutent sur tous les sites qui utilisent les services de ces gatekeepers.
Comment le DMA affecte-t-il la gestion des cookies sur votre site ?
Le DMA affecte votre site dès lors que vous utilisez des services fournis par un gatekeeper : Google Analytics, Google Ads, Meta Pixel, Amazon Ads ou tout autre outil de ces plateformes. Le règlement interdit aux gatekeepers de croiser les données de leurs différents services sans consentement explicite de l'utilisateur.
Pour le tag de Meta en particulier, notre guide sur le Meta Pixel et la conformité RGPD explique comment le bloquer jusqu'au consentement du visiteur.
Le consentement renforcé pour les services des gatekeepers
L'article 5(2) du DMA interdit aux gatekeepers de combiner les données personnelles collectées via leur service de plateforme avec les données provenant d'autres services, sauf consentement explicite. En pratique, Google ne peut plus fusionner vos données Google Analytics avec les données Google Ads ou YouTube sans que l'utilisateur ait donné un consentement spécifique.
Pour les éditeurs de sites, cela signifie que votre bandeau de consentement doit permettre à l'utilisateur d'accepter ou de refuser séparément le partage de données avec chaque gatekeeper. Un simple bouton "Accepter tous les cookies" ne suffit pas si l'utilisateur ne comprend pas que ses données seront croisées entre plusieurs services Google.
L'impact sur Google Consent Mode et les signaux publicitaires
Google a adapté le Consent Mode v2 pour se conformer au DMA. Les deux nouveaux paramètres ajoutés (ad_user_data et ad_personalization) répondent directement aux exigences du DMA : ils permettent à l'éditeur de signaler si l'utilisateur a consenti au partage de ses données avec Google pour la publicité personnalisée et l'utilisation de ses données first-party.
Pour voir ce que ces signaux changent pour les annonceurs, lisez notre analyse de l'impact du Consent Mode v2 sur les campagnes Google Ads.
DMA vs RGPD : quelles différences pour les cookies ?
Le DMA et le RGPD sont complémentaires, pas concurrents. Le RGPD régit le traitement des données personnelles par toute organisation. Le DMA ajoute une couche supplémentaire d'obligations spécifiques aux gatekeepers et, par extension, aux éditeurs qui utilisent leurs services.
Quelles actions concrètes pour votre site ?
Même si le DMA cible les gatekeepers, les éditeurs de sites doivent adapter leur configuration pour rester conformes. Voici les actions à mener.
Mettre à jour votre CMP pour transmettre les bons signaux
Votre CMP doit transmettre les paramètres ad_user_data et ad_personalization en plus de ad_storage et analytics_storage. Sans ces signaux, Google considère que l'utilisateur n'a pas consenti au partage de ses données, ce qui désactive les fonctionnalités publicitaires avancées.
La documentation Consent Mode v2 de FlowConsent montre que les quatre signaux v2, dont ad_user_data et ad_personalization, démarrent à « denied » avant le chargement de tout tag.
Vérifier la granularité de votre bandeau de consentement
Le DMA exige un consentement spécifique pour le croisement de données. Votre bandeau doit permettre à l'utilisateur de comprendre quels services de gatekeepers sont utilisés et d'accepter ou refuser ce partage. Les catégories de cookies (analytique, publicitaire, fonctionnel) restent pertinentes, mais la transparence sur les destinataires des données devient encore plus importante.
Documenter le flux de données vers les gatekeepers
Ajoutez à votre politique de cookies la liste des services de gatekeepers utilisés sur votre site, les données transmises et les finalités. Le DMA renforce la transparence : l'utilisateur doit pouvoir identifier clairement quels gatekeepers reçoivent ses données.
Avec FlowConsent, la déclaration de cookies est générée à partir des services actifs, ce qui facilite la mise à jour de cette liste.
Erreurs fréquentes liées au DMA et aux cookies
Penser que le DMA ne concerne que les GAFAM. Le DMA concerne directement les gatekeepers, mais il impacte tous les sites qui utilisent leurs services. Si vous utilisez Google Analytics, Google Ads ou Meta Pixel, les obligations du DMA vous concernent indirectement.
Il en va de même pour TikTok, propriété du gatekeeper ByteDance : consultez notre guide sur le TikTok Pixel et le RGPD.
Confondre conformité RGPD et conformité DMA. Être conforme au RGPD ne suffit pas. Le DMA ajoute des exigences spécifiques sur le croisement de données entre services. Un bandeau cookies conforme au RGPD peut ne pas l'être au sens du DMA si les signaux ad_user_data et ad_personalization ne sont pas transmis.
Ignorer les mises à jour de votre CMP. Les CMP mettent régulièrement à jour leurs intégrations pour supporter les nouvelles exigences du DMA. Ne pas mettre à jour votre CMP peut entraîner une perte de fonctionnalités publicitaires sans que vous le sachiez.
Ne pas adapter sa politique de cookies. Le DMA exige une transparence accrue sur les destinataires des données. Si votre politique de cookies ne mentionne pas explicitement les gatekeepers et le croisement de données, elle est incomplète.
Checklist DMA et cookies
- Identifier tous les services de gatekeepers utilisés sur votre site (Google, Meta, Amazon, Apple, etc.)
- Vérifier que votre CMP transmet les paramètres ad_user_data et ad_personalization
- S'assurer que le bandeau de consentement offre une granularité suffisante pour les services des gatekeepers
- Mettre à jour votre politique de cookies pour lister les gatekeepers et les données partagées
- Tester le comportement de vos tags quand l'utilisateur refuse le partage de données
- Documenter votre configuration dans votre registre de traitement
- Suivre les décisions de la Commission européenne concernant les gatekeepers désignés
- Mettre à jour votre CMP régulièrement pour intégrer les nouvelles exigences
Conclusion
Le DMA ne remplace pas le RGPD, il le complète. Pour les éditeurs de sites, l'impact principal concerne la configuration de la CMP et la transparence envers les utilisateurs sur le partage de données avec les gatekeepers. Les sites qui utilisent des services Google, Meta ou Amazon doivent adapter leur configuration pour transmettre les bons signaux de consentement.
Le point de départ : vérifier que votre CMP est à jour et que les quatre paramètres du Consent Mode v2 sont correctement configurés. Lancez un scan gratuit de votre site avec FlowConsent pour identifier les traceurs des gatekeepers présents sur vos pages.