Protéger ses campagnes sans cookie ni fingerprint

Repérer les clics frauduleux ne nécessite pas de reconnaître durablement le navigateur. Monakay croise les répétitions, les signes d'automatisation et l'activité sur votre site pour détecter les comportements à risque et protéger vos campagnes, sans cookie de tracking ni fingerprint.

Le choix d'une protection sans fingerprint

En France, la CNIL classe le résultat d'une empreinte unique du terminal parmi les traceurs. Elle indique aussi que les traceurs utilisés pour lutter contre la fraude ne sont généralement pas exemptés de consentement. Hors exception, une telle empreinte ne peut donc pas être utilisée sans consentement préalable.

Monakay a donc retenu une autre approche. L'adresse IP reçue avec la visite sert à l'analyse et aux exclusions, puis elle est anonymisée dès que sa forme complète n'est plus nécessaire. Le cadre applicable à ce traitement est présenté plus bas.

La protection Monakay en complément des filtres publicitaires

Les régies disposent de leurs propres filtres contre les activités invalides. Monakay analyse les visites sur votre site, où les répétitions et les comportements sur la page peuvent être croisés avec la campagne d'origine.

Cette analyse permet de déclencher une exclusion selon les règles que vous avez choisies pour votre site. Voici comment elle se traduit sur chaque régie.

L'apport réel d'un fingerprint

Lorsqu'un même navigateur revient derrière plusieurs adresses IP, une empreinte suffisamment stable pourrait rapprocher ces visites plus tôt. Ce serait un signal supplémentaire, pas la preuve qu'il s'agit de la même personne ni la certitude que ses clics sont frauduleux.

Les signaux analysés après le clic

L'analyse utilise quatre familles d'informations. Leur poids et leur combinaison dépendent des règles choisies par l'annonceur.

L'annonceur voit les motifs du verdict. Il peut retirer une exclusion, choisir sa durée ou placer une adresse ou une campagne en liste blanche.

Comment l'adresse IP est utilisée puis anonymisée

L'adresse IP accompagne la visite. Elle permet de rapprocher les clics reçus sur un même site et d'appliquer une exclusion lorsqu'elle est prévue par la régie. Avec le réglage activé par défaut, Monakay l'anonymise après l'évaluation. Sa forme complète n'est conservée plus longtemps que si une exclusion ou son rapport en a encore besoin.

1. 1

   Recevoir

   L'adresse complète accompagne la visite et permet de retrouver l'accès réseau concerné.

2. 2

   Évaluer et agir

   Elle est croisée avec les autres signaux et utilisée si une exclusion ou sa justification l'exige.

3. 3

   Anonymiser

   L'adresse associée à la visite est anonymisée dès que sa forme complète n'est plus nécessaire.

Le RGPD et ePrivacy répondent à deux questions différentes

Le RGPD encadre le traitement des données personnelles, dont l'adresse IP. La prévention de la fraude peut relever de l'intérêt légitime. La CNIL demande alors de justifier l'intérêt poursuivi, la nécessité du traitement et son équilibre avec les droits et les attentes raisonnables des personnes. Les visiteurs doivent être informés et les durées de conservation doivent rester proportionnées.

ePrivacy protège le terminal et les informations qui y sont stockées. Dans ses lignes directrices finales sur l'article 5(3) (en anglais), le Comité européen de la protection des données cite, selon leur usage, les identifiants présents dans les URL, le suivi fondé sur l'IP, certaines informations techniques transmises avec la requête et celles produites par du code côté navigateur. L'absence de cookie ou de fingerprint ne permet donc pas, à elle seule, d'écarter ce texte.

Ce que disent les autorités sur les quatre marchés couverts

• France : la CNIL indique que les traceurs anti-fraude ne sont généralement pas exemptés. Elle admet des cas particuliers, notamment pour sécuriser un mécanisme d'authentification demandé par l'utilisateur.
• Belgique : l'Autorité de protection des données réserve l'exemption aux technologies strictement nécessaires. Elle cite la sécurité centrée sur l'utilisateur, par exemple la détection d'authentifications abusives pendant une durée limitée.
• Luxembourg : la CNPD considère qu'un traceur de sécurité peut être essentiel lorsqu'il sert uniquement cette finalité, par exemple la lutte contre la fraude, et agit pour le compte exclusif de l'éditeur. Les conditions concrètes restent déterminantes.
• Suisse : l'aide-mémoire du PFPDT (PDF) ne pose pas un consentement préalable pour toute technologie non essentielle. Il demande une information adaptée et, selon l'intensité du traitement, une possibilité d'opposition ou un consentement exprès.

À vérifier avant le déploiement

Si l'intégration Meta est activée

L'événement serveur comprend alors l'adresse IP, des informations techniques sur le navigateur et le contexte publicitaire. Meta précise que l'API Conversions n'est pas conçue pour contourner les règles de confidentialité, dont la directive ePrivacy. Le guide Meta Ads décrit le mécanisme. Les catégories de données, destinataires, durées, responsabilités et droits des personnes figurent dans la Politique de protection des données et le DPA.