DoubleClick

Qu'est ce que DoubleClick et Google Marketing Platform

DoubleClick était historiquement la marque publicitaire phare de Google, rachetée en 2008. Depuis 2018, Google a retiré la marque grand public DoubleClick et réorganisé les produits en deux ombrelles. Google Marketing Platform regroupe les outils côté annonceur tels que Display and Video 360 (achat programmatique), Campaign Manager 360 (ad serving et mesure), Search Ads 360 (bidding multi moteurs) et Studio (rich media). Google Ad Manager regroupe l'ad serving côté éditeur et les fonctions SSP. Malgré ce rebranding, l'infrastructure de diffusion publicitaire continue d'utiliser le domaine technique historique doubleclick.net pour servir les créations, déclencher les pixels de conversion, stocker les cookies publicitaires et synchroniser les audiences avec les plateformes d'achat via le real time bidding.

Cookies et pixels déposés par doubleclick.net

La plateforme dépose et lit plusieurs cookies tiers sur les domaines doubleclick.net et google.com. IDE est l'identifiant principal de remarketing et de conversion, avec une durée d'environ 13 mois dans l'EEE. DSID relie un compte Google connecté à l'activité publicitaire sur les sites tiers pendant environ deux semaines. 1P_JAR est un cookie première partie Google rafraîchi à chaque visite et utilisé pour la mesure publicitaire. test_cookie est une sonde technique de courte durée (15 minutes) qui vérifie si le navigateur accepte les cookies tiers. RUL est posé lorsqu'un annonceur active une audience de remarketing. Beaucoup de ces cookies sont associés à des pixels invisibles 1x1 et à des tags JavaScript qui transmettent à Google identifiants hachés, adresse IP, user agent, referrer, taille de viewport et signaux de consentement.

Implications RGPD et ePrivacy pour la publicité

DoubleClick / Google Marketing Platform traite des données personnelles au sens de l'article 4 du RGPD, notamment des identifiants en ligne (identifiants de cookies, identifiants d'appareil), des adresses IP, le comportement de navigation et des intérêts inférés. Comme ces cookies ne sont pas strictement nécessaires à la fourniture d'un service demandé par l'utilisateur, l'article 5(3) de la directive ePrivacy, transposé en France par l'article 82 de la Loi Informatique et Libertés, en Allemagne par le TTDSG et en Espagne par la LSSI, exige un consentement préalable avant toute lecture ou écriture. Google agit comme responsable conjoint avec l'éditeur ou l'annonceur pour certains traitements et comme responsable indépendant pour l'amélioration de son propre système publicitaire, ce qui doit apparaître dans la notice de confidentialité. La CNIL a infligé en janvier 2022 une amende de 150 millions d'euros à Google pour avoir rendu le refus des cookies publicitaires plus complexe que leur acceptation, raisonnement applicable à tout site intégrant des tags DoubleClick.

Consentement, Consent Mode v2 et IAB TCF v2.2

Depuis mars 2024, Google impose aux annonceurs et éditeurs utilisant ses produits publicitaires dans l'EEE, au Royaume Uni et en Suisse de déployer Consent Mode v2 et de transmettre les signaux ad_storage, ad_user_data et ad_personalization. L'implémentation recommandée consiste à brancher une CMP certifiée Google et IAB TCF v2.2, qui expose la vendor list complète (Google est le vendor 755), couvre les finalités 1 à 11 et les fonctionnalités spéciales 1 et 2, et transmet à la fois la TC string et les signaux Consent Mode au container gtag ou Tag Manager. Les tags doivent rester bloqués ou repli en pings anonymes tant que l'utilisateur n'a pas donné un consentement univoque. Les cases pré cochées, le consentement par défilement, l'intérêt légitime pour la publicité et la poursuite de la navigation sont invalides.

Transferts vers les États Unis et Data Privacy Framework

L'infrastructure DoubleClick est opérée par Google LLC aux États Unis avec un réseau edge mondial. Les données personnelles collectées via les cookies doubleclick.net sont transférées vers les États Unis dans le cadre de la décision d'adéquation Data Privacy Framework UE États Unis adoptée en juillet 2023, complétée par des clauses contractuelles types pour les juridictions hors DPF. Les responsables de traitement doivent réaliser une analyse d'impact du transfert selon les recommandations Schrems II de l'EDPB, documenter la certification de Google sur la liste DPF, conserver les conditions de traitement des données et informer les utilisateurs sur le destinataire dans le pays tiers, la base légale du transfert et leurs droits de saisir une autorité de contrôle ou la Data Protection Review Court américaine.

Critères AIPD et mise en oeuvre pratique

Les déploiements DoubleClick remplissent au moins trois des neuf critères AIPD de l'EDPB : surveillance systématique, traitement à grande échelle et croisement de jeux de données, ce qui rend l'AIPD obligatoire au titre de l'article 35 du RGPD. Les mesures pratiques incluent l'activation du Restricted Data Processing sur Google Ad Manager et Campaign Manager pour le trafic EEE, l'activation de Consent Mode v2 avec modélisation de conversions, la troncature d'IP lorsque possible, le hachage SHA256 des identifiants première partie avant envoi à Customer Match, le paramétrage de caps de fréquence pour limiter la granularité du profil, la documentation de la conservation via les contrôles Google et la revue trimestrielle de la vendor list pour retirer les partenaires d'enchères non strictement nécessaires.