Le SBO, acquisition privacy-first et cookieless conforme CNIL

Depuis les mises en demeure de 2021 et la généralisation des bandeaux à refus symétrique, le marketing digital français vit avec une contrainte structurelle : une part significative des visiteurs refuse les traceurs, et cette part n'a jamais cessé de croître. Les taux de consentement observés en B2B se situent couramment entre 55 et 75 % selon les secteurs, avec des chutes plus marquées sur les audiences techniques et dirigeantes — exactement les cibles que le B2B cherche à atteindre.

Cette érosion ne touche pas seulement la mesure. Elle touche le ciblage, le retargeting, la construction d'audiences similaires, et donc la performance de la totalité des dispositifs payants. Une part croissante du budget publicitaire est dépensée à l'aveugle sur des populations dont on ne sait plus rien.

Ce que le SBO ne fait pas — et pourquoi cela compte

La Search Box Optimization travaille sur une formulation de requête. L'objet manipulé n'est pas une personne mais une expression : la façon dont un moteur propose de compléter un début de saisie. Il en découle une liste de choses que ce canal ne fait pas, et cette liste est précisément celle que le DPO vérifie.

• Aucun dépôt de cookie ni d'identifiant sur le terminal de l'internaute : le dispositif n'a pas de contact technique avec le navigateur avant la visite du site.
• Aucun traitement de données à caractère personnel dans le mécanisme lui-même : pas d'adresse IP collectée, pas d'identifiant publicitaire, pas de profil.
• Aucun ciblage individuel : l'exposition est identique pour tous ceux qui saisissent le même début de requête, sans segmentation comportementale.
• Aucun transfert vers un pays tiers au titre du dispositif, ce qui évite le débat récurrent sur les clauses contractuelles types et les décisions post-Schrems II.
• Aucune dépendance au consentement pour fonctionner : le refus du bandeau ne dégrade pas l'exposition, contrairement à toute campagne de retargeting.

« Un canal qui ne traite aucune donnée personnelle ne se conforme pas au RGPD : il en sort du périmètre pour la partie exposition. »

Cette formulation demande une précision honnête. Le dispositif d'exposition est hors périmètre ; en revanche, tout ce qui se passe après — la visite du site, le formulaire rempli, le CRM alimenté — reste un traitement de données personnelles soumis au règlement, avec base légale, durée de conservation et information des personnes. Un prestataire qui vous vend « une solution 100 % RGPD » sans faire cette distinction manque de rigueur.

L'article 82 de la loi Informatique et Libertés en pratique

La règle française sur les traceurs découle de l'article 82 de la loi Informatique et Libertés, qui soumet à consentement préalable toute action tendant à accéder à des informations déjà stockées dans le terminal ou à y inscrire des informations. La recommandation CNIL de 2020 en a précisé les modalités : refus aussi simple que l'acceptation, absence de consentement par défilement, durée de validité du refus.

Le point important pour un directeur marketing est le suivant : cette obligation porte sur l'écriture ou la lecture dans le terminal. Un canal qui n'écrit ni ne lit rien n'entre pas dans le champ de l'article 82. C'est la même raison pour laquelle un affichage en gare, une insertion presse ou une recommandation orale n'appellent pas de bandeau. Le SBO appartient à cette famille : il agit sur l'environnement de recherche, pas sur l'appareil.

Le cumul avec l'adblock : deux érosions distinctes

L'érosion du consentement se cumule avec une seconde érosion, plus ancienne et plus radicale : le blocage publicitaire. Les deux phénomènes se renforcent parce qu'ils procèdent du même mouvement de reprise de contrôle par l'internaute, et ils frappent le même budget. Une audience qui refuse les traceurs et bloque les annonces devient inatteignable par les canaux payants classiques, quel que soit le montant investi.

La barre de recherche échappe aux deux, pour une raison structurelle : elle fait partie de l'interface du moteur, et non de l'inventaire publicitaire. Aucune extension ne masque les suggestions, parce qu'elles ne sont pas identifiées comme des annonces. Nous avons chiffré cet effet de contournement dans notre analyse de l'impact des bloqueurs sur les campagnes payantes.

Ce que le DPO va demander — et comment y répondre

• La cartographie du traitement : répondez que le dispositif d'exposition ne constitue pas un traitement, et documentez séparément le traitement des demandes entrantes qui, lui, existe déjà dans votre registre.
• Le contrat de sous-traitance article 28 : il n'est requis que si le prestataire traite des données personnelles pour votre compte. Pour la partie exposition, ce n'est pas le cas ; pour la partie reporting, vérifiez ce qui transite réellement.
• L'analyse d'impact : elle n'a pas lieu d'être sur un dispositif sans traitement, ce qui allège sensiblement le calendrier de mise en production par rapport à un outil d'enrichissement de données.
• La localisation des données : posez la question au prestataire par écrit et conservez la réponse. Même sans donnée personnelle, la traçabilité documentaire rassure les comités de sécurité.

Dans les ETI et les grands comptes, ce dossier est souvent ce qui débloque le budget. Les équipes marketing sous-estiment régulièrement le poids du DPO dans la validation d'un nouveau canal : un dispositif qui traverse la revue de conformité en une réunion coûte, en délai, considérablement moins cher qu'un outil qui déclenche une analyse d'impact de trois mois.

Une conformité qui reste à démontrer sur la durée

L'absence de traceur ne dispense pas de vigilance sur la méthode elle-même. Un dispositif qui reposerait sur des manipulations artificielles de volume poserait un problème d'une autre nature — non pas au regard du RGPD, mais des conditions d'utilisation du moteur et de la loyauté des pratiques commerciales. C'est le sujet que nous traitons dans notre analyse de la durabilité et de la conformité des stratégies de suggestion, et c'est le vrai critère de sélection d'un prestataire.