Google Consent Mode v2 : le guide complet de mise en œuvre

Google Consent Mode v2 est un ensemble de signaux qui indique aux balises Google si un visiteur a accepté le stockage à des fins publicitaires et de mesure d’audience, et si ses données peuvent être utilisées pour la publicité. Pour le mettre en œuvre, vous définissez des valeurs par défaut refusées avant le chargement de toute balise Google, puis vous envoyez une mise à jour lorsque le visiteur fait son choix dans votre bandeau cookies.

Qu’est-ce que Google Consent Mode v2 ?

Consent Mode est l’API de Google qui transmet les choix de consentement d’un visiteur aux balises Google telles que Google Analytics 4 (GA4), Google Ads et Floodlight. Il n’affiche pas de bandeau et ne recueille pas lui-même le consentement. Il ajuste le comportement des balises Google en fonction de l’état communiqué par votre plateforme de gestion du consentement (CMP).

La version 2 a ajouté deux paramètres à la paire d’origine. Voici les quatre signaux à définir :

Paramètre	Ce qu’il contrôle
ad_storage	Si les cookies et le stockage similaire peuvent être utilisés à des fins publicitaires
analytics_storage	Si le stockage peut être utilisé pour la mesure d’audience, par exemple la durée des visites
ad_user_data	Si les données utilisateur peuvent être envoyées à Google à des fins publicitaires
ad_personalization	Si les données peuvent être utilisées pour la publicité personnalisée, comme le remarketing

Chaque paramètre prend la valeur 'granted' ou 'denied'. Google définit aussi functionality_storage, personalization_storage et security_storage, surtout utiles pour associer le consentement à d’autres balises dans Google Tag Manager (GTM).

Pourquoi Consent Mode v2 est-il important ?

Depuis mars 2024, Google exige des signaux Consent Mode pour le trafic provenant de l’Espace économique européen (EEE) afin de permettre l’utilisation de ses fonctionnalités de mesure et de personnalisation publicitaires. Si les balises Google ne reçoivent pas ad_user_data et ad_personalization, des fonctionnalités comme les audiences de remarketing et une partie de la mesure des conversions sont restreintes pour ces visiteurs.

Il s’agit d’une règle de Google, pas d’une loi. L’obligation légale de demander l’autorisation avant de stocker ou de lire des informations sur un terminal découle de l’article 5(3) de la directive ePrivacy et des lois nationales qui la transposent, combinés à la norme du RGPD en matière de consentement valable. Consent Mode n’est que le moyen de répercuter cette décision dans les systèmes de Google.

Comment définir le consentement par défaut ?

Appelez gtag('consent', 'default', ...) avant le chargement de la balise Google ou du conteneur GTM, en réglant chaque paramètre sur 'denied' partout où un consentement préalable est requis. L’ordre compte : une valeur par défaut qui arrive après le déclenchement d’une balise arrive trop tard.

<script>
  window.dataLayer = window.dataLayer || [];
  function gtag() { dataLayer.push(arguments); }

  gtag('consent', 'default', {
    ad_storage: 'denied',
    ad_user_data: 'denied',
    ad_personalization: 'denied',
    analytics_storage: 'denied',
    wait_for_update: 500
  });
</script>
<script async src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXXXXX"></script>
<script>
  gtag('js', new Date());
  gtag('config', 'G-XXXXXXXXXX');
</script>

wait_for_update correspond au nombre de millisecondes pendant lesquelles les balises Google attendent une mise à jour du consentement avant de poursuivre avec l’état par défaut. Ce délai laisse à votre CMP le temps de se charger et d’appliquer le choix enregistré d’un visiteur connu.

Si vous accueillez des visiteurs de plusieurs juridictions, vous pouvez ajouter à une commande par défaut un tableau region de codes ISO 3166-2, par exemple pour refuser par défaut dans l’EEE et au Royaume-Uni tout en utilisant d’autres valeurs par défaut ailleurs. Conservez une valeur par défaut sans region comme solution de repli, et consultez votre équipe juridique avant d’accorder quoi que ce soit par défaut.

Comment mettre à jour le consentement après le choix du visiteur ?

Lorsque le visiteur accepte, refuse ou enregistre ses préférences, appelez gtag('consent', 'update', ...) avec le nouvel état. Faites correspondre les catégories de votre bandeau aux signaux de Google en un seul endroit :

// À appeler chaque fois que le visiteur enregistre un choix dans votre bandeau
function applyConsent(choices) {
  const ads = choices.marketing ? 'granted' : 'denied';

  gtag('consent', 'update', {
    ad_storage: ads,
    ad_user_data: ads,
    ad_personalization: ads,
    analytics_storage: choices.analytics ? 'granted' : 'denied'
  });
}

Exécutez la même mise à jour à chaque chargement de page pour les visiteurs connus, le plus tôt possible, à partir du choix enregistré par votre CMP. Sans cela, chaque nouvelle page revient à la valeur par défaut refusée.

Lorsqu’un visiteur retire son consentement, envoyez une mise à jour avec 'denied'. En vertu de l’article 7(3) du RGPD, il doit être aussi simple de retirer son consentement que de le donner : conservez donc un moyen visible de rouvrir le bandeau.

Associer les trois signaux publicitaires à une seule catégorie marketing est une approche courante et simple. Si votre bandeau propose des interrupteurs distincts pour la mesure publicitaire et la personnalisation des annonces, associez-les plutôt individuellement.

Comment configurer Consent Mode dans Google Tag Manager ?

Dans GTM, utilisez un modèle de CMP, issu de la galerie de modèles de la communauté ou fourni par votre éditeur, qui se déclenche sur le déclencheur « Initialisation du consentement – Toutes les pages » (Consent Initialization – All Pages). Le modèle appelle les API setDefaultConsentState et updateConsentState de GTM : vous n’avez pas à écrire vous-même de code gtag.

Suivez ensuite ces étapes :

1. Activez la vue d’ensemble du consentement dans les paramètres de votre conteneur pour pouvoir examiner les paramètres de consentement balise par balise.
2. Vérifiez que les balises Google (GA4, Google Ads, Floodlight) s’appuient sur leurs vérifications de consentement intégrées.
3. Ajoutez des vérifications de consentement supplémentaires aux balises non Google, comme un pixel Meta ou LinkedIn, pour qu’elles ne se déclenchent que lorsque le consentement correspondant est accordé.
4. Supprimez les anciens déclencheurs qui activent des balises sur toutes les pages sans aucune condition de consentement.
5. Publiez, puis testez l’ensemble en mode Aperçu.

C’est l’étape 3 que les équipes oublient. Consent Mode ne régit que les balises Google ; tous les autres fournisseurs doivent toujours être bloqués jusqu’au consentement.

Comment vérifier que Consent Mode fonctionne ?

Ouvrez l’aperçu GTM ou Google Tag Assistant et consultez l’onglet Consentement pour chaque événement. Vous devez voir l’état par défaut au chargement de la page, puis une mise à jour après votre interaction avec le bandeau. Dans le panneau Réseau du navigateur, les requêtes envoyées à Google comportent des paramètres de consentement (gcs et gcd) qui reflètent l’état en cours.

Testez au minimum ces scénarios :

• Première visite, sans interaction : tous les signaux sont refusés, aucun cookie publicitaire ou de mesure d’audience n’est déposé.
• Tout accepter : les signaux passent à « granted », et les cookies n’apparaissent qu’après le clic.
• Tout refuser : les signaux restent refusés, et aucune balise marketing non Google ne se déclenche.
• Visiteur connu : le choix enregistré est appliqué dans le délai wait_for_update.
• Retrait : rouvrir le bandeau et refuser repasse les signaux à « denied ».

Google Ads et GA4 affichent aussi des diagnostics de consentement dans leurs écrans d’administration. Consultez-les quelques jours après la mise en ligne pour confirmer que les signaux arrivent bien pour le trafic de l’EEE.

Faut-il choisir le mode de base ou le mode avancé ?

Il existe deux façons de mettre en œuvre Consent Mode. En mode de base, les balises Google ne se chargent pas du tout tant que le visiteur n’a pas consenti. En mode avancé, les balises se chargent avec des valeurs par défaut refusées et envoient des pings sans cookies que Google utilise pour la modélisation.

Ce choix implique de véritables compromis en matière de vie privée et de mesure, que nous détaillons dans mode de base ou mode avancé de Consent Mode. Si vous utilisez un conteneur GTM côté serveur, l’état du consentement doit aussi y transiter correctement ; voir balisage côté serveur et consentement.

En résumé

Consent Mode v2 se résume à trois réflexes : refuser par défaut avant l’exécution de toute balise Google, mettre à jour dès que le visiteur décide, et contrôler séparément les balises non Google. Testez chaque parcours, y compris les visiteurs connus et le retrait du consentement, avant de vous fier aux données. Des outils comme Cookiesh peuvent automatiser une grande partie de ce travail grâce à une prise en charge intégrée de Google Consent Mode v2 et à un modèle Google Tag Manager.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.