Facebook Social Plugins

Au chargement du SDK depuis connect.facebook.net, Meta dépose plusieurs cookies tiers sur facebook.com, notamment datr (identifiant de navigateur, 2 ans), sb (security browser, 2 ans), fr (préférences publicitaires, 90 jours), c_user (identifiant utilisateur connecté) et _fbp (identifiant de mesure publicitaire, 90 jours). Ces cookies sont reliés au compte Meta du visiteur s'il en possède un.

Oui. L'arrêt CJUE Fashion ID (C-40/17) et les Lignes directrices EDPB 8/2020 exigent un consentement préalable, explicite et granulaire avant le chargement de tout plugin social Facebook, car celui ci dépose des cookies non essentiels, transmet des données personnelles à Meta et fait du site un responsable conjoint avec Meta.

Seul le consentement, fondé sur l'article 6(1)(a) RGPD et l'article 5(3) ePrivacy, est viable. L'intérêt légitime n'est pas adapté car les plugins sociaux combinent des identifiants cross site et transfèrent des données vers une régie publicitaire américaine, ce que les Lignes directrices EDPB 8/2020 excluent explicitement.

Oui. Meta Platforms Ireland Ltd est responsable dans l'EEE mais les données sont transmises à Meta Platforms Inc. aux États Unis. Le transfert s'appuie sur la décision EU US Data Privacy Framework du 10 juillet 2023 (Meta est certifié) et sur des clauses contractuelles types accompagnées de mesures supplémentaires.

Une AIPD est fortement recommandée lorsque les plugins apparaissent sur la page d'accueil, sur des pages traitant de contenus sensibles (santé, politique, religion) ou destinées aux mineurs. Elle doit analyser la responsabilité conjointe avec Meta, les catégories de données envoyées (IP, cookies, navigateur, referer, mouvements de souris) et les alternatives examinées (image statique, solution deux clics).

Signez le Controller Addendum Meta depuis le Business Manager, conditionnez connect.facebook.net à votre CMP afin que le SDK ne se charge qu'après consentement marketing, privilégiez une solution deux clics où le plugin est remplacé par une image statique jusqu'au clic, intégrez Google Consent Mode v2 avec ad_storage et ad_user_data refusés par défaut, et mentionnez Meta dans la politique cookies et la notice avec son statut de responsable conjoint.

Des alternatives respectueuses : liens de partage statiques qui ouvrent facebook.com dans un nouvel onglet sans charger le SDK, bibliothèque Shariff de Heise (aucun contact avec Meta avant le clic), intents de partage natifs sur mobile, ou bascule vers des témoignages et avis first party hébergés sur votre propre domaine.

Rescannez les pages concernées avec votre CMP à chaque mise à jour du SDK Meta car de nouveaux cookies (ou des renommages) peuvent apparaître sans préavis. Abonnez vous au changelog développeur Meta et à l'actualité de l'EDPB pour suivre les évolutions. Mettez à jour le registre cookie et la notice à l'ajout de tout nouveau plugin (Page, Groupe, etc.).