Comment ils vous surveillent (II) : ce que font Google et Meta de vos données

Imaginez que vous cherchiez une paire de baskets. Vous entrez dans une boutique en ligne, regardez trois modèles et fermez l’onglet. Ce soir-là, sur un autre site web et sur votre réseau social, des publicités pour ces mêmes baskets apparaissent. Cela arrive parfois parce que la boutique a activé des outils de Google ou de Meta qui envoient ce que vous avez fait à leurs systèmes publicitaires.

Dans le texte précédent, nous avons vu ce que collectent Google Analytics et le Pixel Meta, deux outils qu’utilisent énormément de sites web. Aujourd’hui : que font Google et Meta de ces données ?

Un mot sur la méthode : quand le texte dit « à notre avis », il s’agit de notre propre interprétation, pas d’une affirmation de Google, de Meta ou d’un texte juridique — nous le signalons chaque fois pour que vous puissiez distinguer un fait documenté d’une lecture qui est la nôtre.

La réponse courte : Google et Meta peuvent utiliser ce que vous faites sur un site web pour décider quelles publicités vous montrer ensuite, sur d’autres sites et applications — parfois seulement si ce site web l’active. Il existe des moyens de limiter cela : nous les présentons à la fin.

Ce qu’ils disent faire

Google affirme que son rôle de base est de travailler pour le site web : mesurer les visites pour le compte de la boutique et selon les réglages de son propriétaire. Mais si le propriétaire active un réglage de partage de données, Google « peut accéder aux données et les analyser pour mieux comprendre le comportement et les tendances en ligne, et les utiliser pour améliorer les produits et services de Google », par exemple les outils de Google Ads, et, selon son aide, Google agit alors comme responsable indépendant de ce traitement (aide Analytics). Sa politique de confidentialité ajoute que, lorsque vous visitez des sites ou des applications qui utilisent ses services publicitaires ou d’analyse, « ces services peuvent associer les informations relatives à votre activité sur ce site ou cette application à des informations similaires provenant d’autres sites ou applications qui utilisent nos services ».

Meta affirme, dans les conditions que les sites web acceptent, qu’il peut utiliser ces données pour mesurer, pour créer les audiences que le site web lui demande et pour personnaliser les publicités qu’il affiche « sur et en dehors de nos produits ». Il peut les combiner avec d’autres données et les conserver jusqu’à deux ans. Et sa politique de confidentialité indique qu’il reçoit ces informations « que vous soyez connecté ou non, ou que vous ayez un compte ou non ».

Meta affirme qu’il ne vend les informations de personne. Google ne dit pas qu’il les vend non plus et affirme qu’il ne partage pas avec les annonceurs les informations qui vous identifient, comme votre nom ou votre e-mail, sauf si vous le lui demandez.

Où elles vont : vers leurs publicités

Revenons aux baskets. Selon l’aide des entreprises elles-mêmes, ceci peut se produire, à condition que la boutique l’active :

• Avec Google, si la boutique associe Analytics à son compte Google Ads et active la personnalisation, le groupe des « personnes ayant consulté un produit sans l’acheter » passe à Google Ads et sert à leur montrer des publicités dans la recherche, sur des sites et applications avec des publicités Google et sur YouTube (aide et exemple de remarketing).
• Avec Meta, la boutique peut créer des groupes de personnes à partir des événements du Pixel et, si le groupe compte au moins 100 personnes, demander à Meta de rechercher d’autres « personnes similaires » (documentation). À notre avis, votre visite peut finir par faire partie du point de départ à partir duquel Meta décide ensuite à qui montrer des publicités.

C’est le modèle économique des deux entreprises. Selon leurs rapports annuels auprès de la SEC (le régulateur boursier des États-Unis), la publicité a représenté plus de 70 % des revenus d’Alphabet en 2025 et, selon les chiffres de son propre rapport, 97,6 % de ceux de Meta. Aucun des deux rapports ne l’attribue à Analytics ni au Pixel : à notre avis, cela explique l’intérêt, cela ne le prouve pas.

Que dit la loi ?

En résumé, avant d’entrer dans le détail :

• Dans l’UE et en Espagne, le site web a besoin de votre consentement avant de stocker ou de lire des informations sur votre appareil.
• En tant que « contrôleurs d’accès », Google et Meta ont leurs propres règles — en plus de celles qui s’appliquent à tout site web —, bien que le texte ne dise pas qu’Analytics ou le Pixel figurent parmi les services qui y sont soumis.
• Aux États-Unis, il n’existe pas de loi fédérale, mais plusieurs États — dont la Californie — ont la leur.

Le site web a besoin de votre permission

Dans l’UE et en Espagne, à la date d’octobre 2026, le site web a besoin de votre permission avant de stocker ou de lire des informations sur votre appareil, sauf si cela est indispensable pour vous fournir le service que vous demandez. C’est ce qu’exigent la directive européenne « vie privée et communications électroniques » et la loi espagnole (la LSSI).

L’AEPD, l’agence espagnole de protection des données, indique dans son guide de 2024 (qui inclut les fameux web beacons : des images invisibles téléchargées lors de la visite d’un site web qui permettent d’enregistrer la visite) que l’analytique n’en est pas non plus exemptée.

Il reprend par ailleurs l’avis du Groupe de l’article 29 (le prédécesseur de l’actuel comité européen de la protection des données) : il est peu probable que l’analytique propre d’un site web constitue un risque si elle n’utilise que des cookies de première partie et des données agrégées à des fins strictement statistiques, informe de son utilisation et permet de refuser.

Il indique aussi que refuser doit être aussi visible qu’accepter.

À notre avis, la loi n’interdit pas de les utiliser ; ce qu’elle exige, en général, c’est de demander la permission avant de stocker ou de lire des informations sur votre appareil.

Le site web répond aussi

En 2019, à propos du bouton « J’aime » de Facebook, la Cour de justice de l’UE a décidé (avec la directive antérieure au RGPD) que le site web qui l’installe peut être coresponsable de la collecte et de l’envoi de ces données, et doit vous demander la permission ; pas de ce que Facebook en fait ensuite.

À notre avis, le raisonnement ressemble à celui du Pixel.

Google et Meta ont leurs propres règles

En tant que « contrôleurs d’accès », le règlement européen sur les marchés numériques leur interdit, dans les services de plateforme essentiels que la Commission a désignés, de traiter les données personnelles des personnes qui utilisent des services tiers s’appuyant sur ces plateformes dans le but de fournir de la publicité en ligne, et de les combiner avec celles de leurs autres services, sauf s’ils leur offrent une option spécifique et obtiennent leur consentement. Ce texte n’affirme pas que Google Analytics ou le Pixel Meta figurent parmi ces services.

En avril 2025, la Commission a infligé une amende de 200 millions d’euros à Meta parce que, selon la Commission, son modèle « consentir ou payer » n’offrait pas d’option réelle avec moins de données personnelles ni de consentement libre pour combiner les données. Meta a fait appel de la décision.

Aux États-Unis

Aux États-Unis, à notre connaissance, à la date du 20 octobre 2026, il n’existe pas de loi fédérale générale sur la vie privée (des projets sont en cours au Congrès) ; plusieurs États ont la leur.

En Californie, si un site web envoie vos données à un tiers à des fins de publicité fondée sur ce que vous faites sur d’autres sites web, la loi appelle cela « partager », même si personne ne paie, et les entreprises qui dépassent certains seuils doivent vous offrir un lien ou un signal du navigateur pour dire non. C’est à vous de dire non. L’exception concerne les mineurs de moins de 16 ans lorsque l’entreprise connaît leur âge (ou l’ignore délibérément) : dans ce cas, une autorisation préalable est nécessaire (du mineur lui-même entre 13 et 15 ans, de ses parents en dessous de 13 ans).

Ce que vous pouvez faire

• Dans la bannière de cookies, refusez ce dont vous n’avez pas besoin.
• Si vous avez un compte Meta, utilisez « Activité hors de Meta » (non disponible dans toutes les régions). Il vous permet de « déconnecter » cette activité de votre compte, bien que son aide ne dise pas que ce qui a déjà été reçu soit supprimé.
• Dans les paramètres des annonces Google, vous pouvez consulter et désactiver la personnalisation des publicités associée à votre compte.
• Demandez que vos données ne soient plus utilisées pour le marketing direct : dans l’UE, vous pouvez vous y opposer à tout moment, selon l’article 21 du RGPD (à notre avis, la publicité personnalisée d’une plateforme y trouve sa place). Si vous n’obtenez pas de réponse, déposez une réclamation auprès de l’AEPD, si vous vivez en Espagne, ou auprès de l’autorité de votre pays.
• Si vous êtes aux États-Unis, activez dans votre navigateur le signal Global Privacy Control et utilisez, lorsqu’il existe, le lien « Ne pas vendre ni partager mes informations personnelles ».

Ce qu’il faut retenir

Selon leurs propres documents, Google et Meta peuvent utiliser ce que vous faites sur un site web pour leurs publicités (Google, dans plusieurs cas, seulement si le site web l’active) et, selon la directive européenne « vie privée et communications électroniques », un site web a généralement besoin de votre permission préalable pour stocker ou lire des informations sur votre appareil. Ainsi, si après avoir regardé des baskets leurs publicités continuent de vous suivre, vous savez maintenant par quel chemin cela a pu passer. Dans le prochain texte, nous racontons ce que nous faisons, nous, à leur place.

Une précision qui nous concerne : Xiringase utilise Meta Business Suite, l’outil de Meta pour programmer des publications sur les réseaux sociaux. Ce n’est pas la même chose que de mettre en place sur nos propres visiteurs les outils que nous avons décrits, mais nous faisons partie de cet écosystème, et nous préférons le dire. À la date du 20 octobre 2026, dans le code initial des pages d’accueil des sept sites web dotés de l’analytique de Xiringase (xiringase.com, tever.es, labs.tever.es, emtifervienza.com, lavieya.com, tienda.lavieya.com et asturianu.org), ni Google Analytics ni le Pixel Meta n’apparaissent (nous n’avons pas vérifié le reste des pages).

Sources (17)

Consultées le 2026-10-14 ; celles qui étayent des citations littérales ont été revérifiées le 2026-10-20.

Google :

• Google. « Safeguarding your data ». Aide Analytics (réglages de partage de données, Google signals, fonctionnalités publicitaires, association avec Google Ads, audiences et leur utilisation dans d’autres produits, conversions).
• Google. « Règles de confidentialité » (en vigueur depuis le 16 octobre 2026).
• Alphabet. « Annual report (Form 10-K) 2025 ».

Meta :

• Meta. « Business Tools Terms » (en vigueur depuis le 2025-11-03).
• Meta. « Politique de confidentialité » (en vigueur depuis le 2026-07-23).
• Meta. « Activité hors de Meta ».
• Meta for Developers. « Custom Audiences, Lookalike Audiences et l’API Conversions ».
• Meta. « Annual report (Form 10-K) 2025 ».

Droit (UE et Espagne) :

• « Directive 2002/58/CE, art. 5(3) ».
• « LSSI, art. 22.2 ».
• AEPD. « Guide des cookies » (mai 2024).
• « RGPD, art. 15, 17, 21 et 77 ».
• « DMA, art. 5(2) ».
• Commission européenne. « Communiqué IP/25/1085 » (2025-04-23).
• CJUE. « C-40/17 Fashion ID » (2019).

Droit (États-Unis) :

• « Code civil de Californie § 1798.140, § 1798.120 et § 1798.135 ».
• Ministère public de Californie. « FAQ sur le GPC ».