RGPD et référencement local : gestion des avis et tracking conformes à la protection des données

Pour le référencement local, la conformité au RGPD n'est pas un accessoire juridique, mais une condition technique et organisationnelle. Collecter des avis, créer des citations et mesurer le comportement des utilisateurs, c'est traiter des données personnelles. En Autriche s'appliquent le RGPD, la loi sur les télécommunications (TKG 2021) et le cadre du droit de l'Union. Cet article montre comment les entreprises locales peuvent mettre en place la gestion des avis, le consentement aux cookies et le tracking dans le respect du droit, sans compromettre leur visibilité.

Pourquoi la conformité au RGPD est décisive pour le référencement local

Le référencement local vit des données. Les avis sont un signal de classement, le tracking fournit la base des décisions d'optimisation et les citations diffusent les données de l'entreprise sur le web. Chacun de ces éléments touche au RGPD dès que des personnes physiques sont identifiables.

L'enjeu est important et mesurable. En Autriche, début 2025, 8,69 millions de personnes utilisaient internet, soit un taux de pénétration de 95,3 % (données pour l'Autriche). Avec une telle portée, la visibilité numérique est un canal de vente central pour les commerces locaux, et chaque traitement de données sur ce canal est soumis au droit de la protection des données.

Les avis sont particulièrement sensibles, car ils touchent à la fois à la confiance et au droit. Selon une étude internationale, 97 % des consommateurs lisent les avis en ligne sur les entreprises locales (données principalement des États-Unis et du Royaume-Uni, pas spécifiques à la région DACH, soit Allemagne, Autriche et Suisse). Dans le même temps, beaucoup d'utilisateurs attendent une réaction : selon la même enquête internationale, 89 % des consommateurs attendent des entreprises qu'elles répondent aux avis. C'est précisément dans ces réponses que se cache le risque pour la protection des données, lorsque des détails personnels sont rendus publics.

La tension est réelle : protection des données et visibilité semblent tirer dans des directions opposées. En réalité, elles se renforcent mutuellement si on les combine correctement. L'obligation de mentions légales, par exemple, impose des données d'entreprise exactes et renforce ainsi la cohérence NAP et l'E-E-A-T.

Les bases juridiques en bref

Trois textes définissent le cadre pour les entreprises locales en Autriche.

• RGPD : Le règlement général sur la protection des données de l'UE encadre tout traitement de données personnelles. Il exige une base juridique (art. 6), de la transparence, la limitation des finalités et le respect des droits des personnes concernées, comme le droit d'accès et le droit à l'effacement.
• TKG 2021 (§ 165 et § 174) : La transposition autrichienne des règles ePrivacy encadre l'accès aux équipements terminaux. Les cookies et technologies similaires qui ne sont pas techniquement nécessaires requièrent un consentement préalable. Cela correspond fonctionnellement au § 25 de la TDDDG allemande (anciennement TTDSG). Le § 174 de la TKG 2021 subordonne en outre les e-mails publicitaires à un consentement préalable. En cas de doute, les demandes d'avis par e-mail en relèvent.
• Directive Omnibus de l'UE : La directive (UE) 2019/2161 renforce la protection des consommateurs. Elle interdit de publier ou de commander de faux avis, et d'affirmer que des avis proviennent de clients réels sans l'avoir vérifié de manière appropriée. En Autriche, elle est transposée par l'UWG, et les deux interdictions figurent aux points 23b et 23c de l'annexe de l'UWG. Quiconque rend des avis accessibles, par exemple sur son propre site, doit en outre indiquer s'il vérifie leur authenticité et comment (§ 2, al. 6b UWG).

Pour les commerces locaux, il en découle un ordre clair : d'abord clarifier la base juridique et la transparence, ensuite déployer la technique. Le tracking sans consentement est l'infraction la plus fréquente et aussi la plus facile à éviter.

Gestion des avis conforme au RGPD

Solliciter des avis est autorisé, mais encadré. Ce qui compte : la base juridique, le traitement des données des auteurs d'avis et une séparation nette entre incitation et avis.

• Demande d'avis par e-mail : Une demande d'avis vise à favoriser les ventes et doit donc, en cas de doute, être traitée comme de la prospection directe. Par e-mail, en Autriche, elle n'est en principe autorisée qu'avec un consentement préalable selon le § 174, al. 3 de la TKG 2021. Une relation commerciale existante ne suffit pas à elle seule. L'exception de l'al. 4 ne s'applique que si les quatre conditions sont réunies : l'adresse provient d'un achat ou d'une prestation, l'e-mail fait la promotion de produits ou services similaires de l'entreprise, le client a pu s'y opposer gratuitement et simplement dès la collecte et retrouve cette possibilité dans chaque e-mail, et il ne s'y est pas opposé, y compris via la liste ECG prévue au § 7, al. 2 de l'E-Commerce-Gesetz. La question de savoir si une simple demande d'avis relève de cette exception en tant que publicité pour des produits similaires de l'entreprise n'est pas tranchée. La voie sûre est un consentement que tu recueilles dès l'achat.
• Pas d'incitations interdites : Les avis payés ou obtenus contre des réductions enfreignent les règles des plateformes et le droit de la concurrence déloyale. Selon une étude internationale, 97 % des consommateurs jugent appropriée une sanction des entreprises pour faux avis (données américaines), et la part des offres de réduction contre des avis est passée de 36 % en 2025 à 27 % (données américaines).
• Traitement des données des auteurs d'avis : Le nom, le profil et le contenu d'un avis sont des données personnelles. Exporter des avis, les stocker dans un CRM ou les analyser avec des outils de veille nécessite une base juridique et, le cas échéant, un contrat de sous-traitance avec l'éditeur de l'outil.
• Droit à l'effacement et réclamations : Les personnes concernées peuvent demander l'effacement de leurs données. Pour les avis publiés sur des plateformes tierces, cela passe généralement par l'exploitant de la plateforme ; pour le traitement interne, l'entreprise doit réagir elle-même.

Répondre aux avis sans enfreindre la protection des données

La réponse à un avis est publique et donc délicate au regard de la protection des données. L'erreur la plus fréquente consiste à révéler dans la réponse plus que ce que l'auteur a lui-même rendu public.

La règle sûre : ne confirmer que ce qui est déjà public et rester général pour le reste. Il est exclu de mentionner publiquement d'autres détails comme le numéro de commande, le traitement, le diagnostic, le lieu de résidence ou l'existence même d'une relation contractuelle, sauf si le client les a lui-même mentionnés. Les catégories particulières de données personnelles au sens de l'article 9 du RGPD sont particulièrement sensibles, par exemple les données de santé chez les médecins, les thérapeutes ou en pharmacie.

La règle pratique : répondre publiquement de façon factuelle et générale, et déplacer les détails vers un canal privé. Une réponse courte et professionnelle, qui propose de régler le cas directement, répond aux attentes des lecteurs tout en évitant toute violation de la protection des données. C'est aussi pertinent sur le plan commercial : selon une étude internationale, 80 % des consommateurs choisissent plus volontiers une entreprise qui répond à tous ses avis (données américaines).

Consentement aux cookies et plateformes de gestion du consentement

Les cookies de tracking et les scripts d'analyse ne peuvent se charger qu'après un consentement actif. La bannière de consentement doit pour cela être conçue de manière conforme, et l'autorité autrichienne de protection des données (DSB) ainsi que le Tribunal administratif fédéral (BVwG) ont précisé les critères.

• Boutons équivalents : Accepter et Refuser doivent être accessibles de la même manière dès le premier niveau et visuellement équivalents, c'est-à-dire comparables en taille, couleur, contraste et police. Un bouton Accepter coloré à côté d'un lien Refuser gris est considéré comme du nudging illicite.
• Granularité : Les utilisateurs doivent pouvoir gérer séparément des catégories comme les statistiques et le marketing. Une logique globale du tout ou rien ne suffit pas.
• Aucune présélection : Les cookies non nécessaires ne doivent pas être activés d'avance. Le silence ou la poursuite du défilement ne valent pas consentement.
• Retrait et documentation : Retirer son consentement doit être aussi simple que le donner. Le consentement doit être consigné pour pouvoir être prouvé.

Une plateforme de gestion du consentement (CMP) automatise le blocage des scripts jusqu'au consentement et documente l'accord. L'essentiel est que la CMP ne déclenche réellement les balises non nécessaires qu'après le consentement, et ne se contente pas d'afficher la bannière.

Configuration du tracking conforme à la protection des données

En matière de tracking, le choix de l'outil détermine le risque. L'utilisation d'outils américains est contestée depuis des années. Dans une décision publiée en janvier 2022, la DSB autrichienne a constaté que l'utilisation de Google Analytics à l'époque sur un site web autrichien violait le RGPD, car des données personnelles comme l'adresse IP et les identifiants utilisateur étaient transférées vers les États-Unis. Elle faisait suite à une plainte de noyb d'août 2020, avec en toile de fond l'arrêt Schrems II de la CJUE. La décision portait donc sur la période antérieure à l'EU-US Data Privacy Framework. Depuis, Google LLC est certifiée au titre du DPF : le transfert dispose donc à nouveau d'une base juridique. Un risque résiduel subsiste ; tu trouveras plus de détails dans la section sur les transferts internationaux de données.

Plusieurs options en découlent.

• Alternatives basées dans l'UE : Des outils comme Matomo (auto-hébergé ou dans un cloud européen) ou etracker conservent les données dans l'UE et réduisent nettement le risque lié aux transferts. Ils proposent souvent aussi des configurations sans cookies ou qui limitent le recours au consentement.
• Google Analytics 4 avec Consent Mode : GA4 ne peut fonctionner qu'après consentement et avec des paramètres de minimisation des données. Le Consent Mode détermine si les balises se déclenchent entièrement ou seulement sous forme agrégée. Le risque lié aux transferts transatlantiques reste toutefois une question ouverte.
• Tracking côté serveur : Le server-side tagging peut regrouper et filtrer les flux de données, mais ne remplace pas le consentement. Il ne change rien à la base juridique, seulement à l'architecture technique.

Transferts internationaux de données : Schrems II et le risque résiduel

Tout outil américain soulève la question du transfert vers un pays tiers au sens du chapitre V du RGPD. Après l'arrêt Schrems II, l'EU-US Data Privacy Framework (DPF), en vigueur depuis 2023, fournit une base juridique à condition que le destinataire américain soit certifié. Cela réduit le risque sans le supprimer.

Le Tribunal de l'UE a rejeté le 3 septembre 2025 un recours en annulation contre le DPF (aff. T-553/23, Latombe). Le requérant a formé un pourvoi devant la CJUE (aff. C-703/25 P). La procédure y est pendante (situation en octobre 2026). Tant que la CJUE n'a pas statué, un Schrems III reste possible, c'est-à-dire l'invalidation du DPF. Face à cette incertitude, un principe pragmatique vaut pour les entreprises locales : lorsqu'une solution européenne remplit la même fonction, c'est le choix le moins risqué. Si tu utilises des outils américains, vérifie la certification DPF, prévois des clauses contractuelles types en guise de solution de repli et documente les flux de données.

Gérer la fiche d'établissement Google en conformité avec la protection des données

La fiche d'établissement Google (GBP) est le principal canal de visibilité locale et constitue en même temps un traitement de données. Trois points sont pertinents.

• Clarifier les rôles : Pour la simple gestion de la fiche, l'entreprise agit en grande partie de manière autonome. Mais dès que des paramètres de suivi ou des fonctions de réservation ou de messagerie sont utilisés, il faut examiner les accords correspondants et, le cas échéant, une sous-traitance.
• Vérifier les partages de données : Des fonctions comme les réservations ou la messagerie transmettent des données clients à Google et à des tiers. Ces flux doivent figurer dans la politique de confidentialité.
• Suivre les interactions GBP : Si tu ajoutes des paramètres UTM au lien vers le site dans la fiche, tu mesures les clics issus du GBP. Cette mesure s'effectue sur ton propre site et est donc soumise à l'obligation de consentement.

Bonnes pratiques : checklist de conformité pour les entreprises locales

Une routine légère et documentée couvre les obligations essentielles.

• Tenir la politique de confidentialité à jour : Nommer tous les outils utilisés pour l'analyse, les avis, les cartes et la réservation, avec leur finalité, leur base juridique et leur lien avec des pays tiers.
• Conclure des contrats de sous-traitance : Avec chaque prestataire qui traite des données personnelles pour ton compte, par exemple la CMP, l'outil d'analyse ou la veille des avis.
• Vérifier la bannière de consentement : Boutons équivalents, granularité, aucune présélection, blocage effectif des scripts avant le consentement.
• Définir le workflow des avis : Qui demande des avis et quand, sur quelle base juridique, et qui y répond selon quelles règles.
• Tenir des mentions légales complètes : Des données NAP exactes remplissent l'obligation légale et renforcent en même temps les signaux locaux et l'E-E-A-T.
• Tenir la documentation à jour : Garder les consentements, les contrats et le registre des activités de traitement à disposition comme preuves.

Erreurs fréquentes

Les points faibles récurrents peuvent être évités de façon ciblée.

• Tracking avant consentement : Les scripts d'analyse qui se chargent dès l'ouverture de la page sont l'infraction la plus fréquente. La bannière seule ne suffit pas : les scripts doivent être réellement bloqués.
• Données personnelles dans les réponses aux avis : Mentionner publiquement des détails du contrat, des données de santé ou le lieu de résidence. Les détails relèvent du canal privé.
• Outils américains sans vérification : Les intégrer par défaut sans certification DPF, sans clauses contractuelles types et sans documentation.
• Absence de contrats de sous-traitance : Utiliser des services de veille et d'analyse sans base contractuelle.
• Avis achetés : Les incitations ou les faux avis exposent à des amendes et à une atteinte à la réputation.

Indicateurs et mesure malgré les pertes liées au consentement

Un tracking conforme à la protection des données implique moins de données. Avec une bannière conforme, selon une étude de benchmark, environ 60 % des données de visite sont perdues en moyenne lorsqu'un consentement est requis (données pour l'Allemagne et l'UE). Cette lacune est systématique, pas aléatoire, et fausse les statistiques. L'ignorer, c'est prendre des décisions sur une base biaisée.

Des analyses fiables restent pourtant possibles.

• Tendances plutôt que valeurs absolues : Les évolutions relatives dans le temps restent parlantes tant que les conditions de mesure sont constantes.
• Le taux de consentement comme indicateur à part entière : Mesurer le taux d'acceptation lui-même pour situer la base de données et évaluer la performance de la bannière.
• Utiliser des signaux côté serveur et sans cookies : Une mesure agrégée et non personnelle apporte une perspective supplémentaire, sans consentement nécessaire.
• Intégrer les statistiques GBP et les données SERP : Les appels, les demandes d'itinéraire et les positions sont des preuves indépendantes qui ne souffrent pas de la perte liée au consentement.

Risques de sanctions et mises en demeure

Les conséquences des infractions sont réelles. Le RGPD prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Le tracking sans consentement et les bannières de consentement défaillantes font régulièrement l'objet de contrôles et de plaintes.

S'y ajoute le droit de la concurrence déloyale. Les faux avis et les incitations interdites enfreignent l'UWG, qui transpose la directive Omnibus en Autriche. De telles infractions peuvent donner lieu à des mises en demeure et à des amendes. Pour les commerces locaux, trois niveaux de risque se cumulent ainsi : les amendes RGPD infligées par l'autorité de contrôle, les mises en demeure pour concurrence déloyale et la perte de confiance de la clientèle.

Pour aller plus loin

Un référencement local conforme au RGPD n'est pas un projet ponctuel, mais une routine. Placer le consentement avant le tracking, solliciter les avis et y répondre correctement, privilégier des outils proches de l'UE et tout documenter : c'est ainsi que l'on concilie sécurité juridique et visibilité. La politique de confidentialité, une bannière de consentement vérifiée et un workflow d'avis clair constituent le socle sur lequel développer sa portée locale en toute sécurité juridique.