Nous contacter

Sécurisez le Consent Mode v2 en EEE : DMA et liste Lucioles

  • Par Vincent Druelle
Implémentez le Consent Mode v2 pour l'EEE : conséquences pratiques du DMA, séquence GTM/gtag.js, tests incontournables et la liste d'audit signée Lucioles.
Analyse des requêtes réseau après obtention du consentement

Déployez le Consent Mode v2 sans attendre : initialisez les quatre signaux à « denied » par défaut pour vos visiteurs de l’EEE, puis laissez votre CMP les faire basculer vers « granted » selon le choix réel de l’utilisateur. Si votre équipe juridique n’a pas encore tranché sur le mode avancé, restez en mode basique. C’est la seule option qui protège vos données Google Ads et GA4 sans exposer votre entreprise à un risque de non-conformité.

En bref:

  • Le mode basique bloque complètement les tags Google jusqu’à l’obtention du consentement explicite, limitant la collecte avant validation juridique.
  • Le mode avancé envoie des pings anonymisés dès le chargement, mais requiert un trafic suffisant et l’accord du DPO pour maximiser la modélisation des conversions.
  • Il est crucial d’initialiser les quatre signaux de Consent Mode v2 à « denied » par défaut dans l’EEE, et de basculer vers « granted » uniquement après le choix utilisateur.
  • L’ordre de chargement des scripts doit impérativement commencer par la CMP, avant tout tag Google, pour garantir la conformité et le bon fonctionnement.
  • Vérifiez systématiquement le bon transfert des signaux avec Tag Assistant et contrôlez les flux de données dans GA4 et Google Ads pour éviter toute erreur d’implémentation.

Table des matières

Le Consent Mode v2 est la réponse directe de Google à une pression réglementaire précise : le Digital Markets Act impose aux grandes plateformes des règles renforcées sur le recueil et le respect du consentement des utilisateurs. Google a donc étendu son mode de consentement historique pour y intégrer deux signaux supplémentaires, et cette évolution n’est pas cosmétique.

Sans cette mise à jour, plusieurs fonctionnalités Google Ads et GA4 cessent purement et simplement de fonctionner correctement pour vos visiteurs européens :

  • La création d’audiences de remarketing devient impossible ou partielle.
  • La modélisation des conversions perdues (celles qui échappent au tracking classique) ne se déclenche pas.
  • Les Enhanced Conversions et l’appariement Customer Match perdent leur fiabilité.
  • Google Signals, qui alimente les rapports démographiques de GA4, se désactive silencieusement.

Depuis mars 2024, cette exigence s’applique concrètement à tout annonceur ciblant l’Espace économique européen qui veut conserver ses fonctionnalités publicitaires Google, et Google continue de renforcer cette dépendance au fil de ses mises à jour. Autrement dit : ce n’est plus une option technique parmi d’autres, c’est une condition d’accès à l’écosystème publicitaire Google.

Le mode de consentement version 2 repose sur quatre paramètres binaires, chacun pouvant prendre la valeur « granted » ou « denied ». Leur granularité change tout par rapport à l’ancienne version, qui n’en gérait que deux.

  • analytics_storage : contrôle l’écriture des cookies analytiques. Passé à « denied », GA4 bascule en sessions non identifiées et Google Signals s’arrête.
  • ad_storage : régit les cookies publicitaires classiques utilisés pour le remarketing display et search.
  • ad_user_data : autorise ou bloque la transmission de données utilisateur à Google à des fins publicitaires, notamment pour les Enhanced Conversions et Customer Match.
  • ad_personalization : détermine si le visiteur peut intégrer des audiences personnalisées, des listes lookalike ou des campagnes de remarketing ciblées.

Ce qu’il faut retenir : les deux derniers signaux (ad_user_data et ad_personalization) sont les nouveautés de la v2, exigées par la documentation officielle Google. Un site encore configuré uniquement avec ad_storage et analytics_storage tourne en réalité sous l’ancienne norme, même s’il croit être à jour.

Concrètement, un visiteur qui refuse tout voit ses quatre signaux passer à « denied » : GA4 ne collecte plus ses données comportementales de façon nominative, et Google Ads ne peut ni le cibler ni l’inclure dans une audience. C’est justement là que la modélisation statistique entre en jeu pour combler une partie du manque.

L’implémentation technique suit une logique stricte : tout ce qui touche à Google doit attendre l’ordre de la CMP. Voici la séquence à respecter, étape par étape.

  1. Placez le script de votre CMP avant tout tag Google. L’ordre de chargement est la cause numéro un des échecs d’implémentation : si gtag.js ou le conteneur GTM se charge avant que la CMP n’ait posé son état par défaut, Google traite les visiteurs comme consentants par défaut, ce qui annule toute la démarche de conformité.

  2. Initialisez les valeurs par défaut avec gtag('consent', 'default', {...}). Pour les visiteurs situés dans l’EEE, les quatre signaux doivent démarrer sur denied, comme le recommande l’analyse juridique de France Générosités.

  3. Ajoutez le paramètre wait_for_update. Ce délai, souvent réglé autour de 500 millisecondes selon les préconisations d’Axeptio, laisse le temps à la CMP de récupérer un consentement déjà enregistré avant que Google ne commence à envoyer des requêtes.

  4. Déclenchez gtag('consent', 'update', {...}) au moment où l’utilisateur fait son choix. C’est cet appel qui fait basculer les signaux concernés vers granted, et uniquement ceux que l’utilisateur a réellement acceptés.

  5. Dans Google Tag Manager, associez chaque tag à ses signaux requis. GTM propose désormais des templates de consentement natifs : vérifiez que chaque balise Google Ads ou GA4 référence les bons paramètres de consentement, sans quoi elle se déclenchera indépendamment de l’état réel.

Conseil de pro : testez toujours votre implémentation en navigation privée, sans cookie existant. C’est le seul moyen de voir l’état réellement appliqué avant tout choix utilisateur, plutôt que l’état résiduel d’un consentement déjà donné lors d’un test précédent.

Basic ou advanced : quel mode choisir pour votre site ?

Le mode basique bloque entièrement les tags Google jusqu’au consentement explicite : aucune donnée ne part vers les serveurs de Google avant que l’utilisateur n’ait cliqué sur « accepter ». Le mode avancé, lui, envoie des pings anonymisés (dits « cookieless ») dès le chargement de la page, même en cas de refus, afin de nourrir les modèles statistiques de Google.

Cette différence n’est pas neutre juridiquement. Le mode avancé transmet des informations comportementales avant tout consentement, ce qui a conduit certaines analyses à recommander la prudence : selon France Générosités, le mode basique reste le choix le plus sûr en l’absence d’un avis juridique formel de votre DPO.

Le gain du mode avancé est réel : les guides spécialisés évoquent une récupération typique de 10 à 30 % des conversions perdues grâce à la modélisation, mais uniquement pour les sites dépassant certains seuils de trafic par pays. En dessous, la modélisation ne s’active tout simplement pas, et le gain reste théorique.

Trois critères pratiques doivent guider votre décision :

  • Votre volume de trafic européen atteint-il le seuil de modélisation exploitable par Google ?
  • Vos campagnes dépendent-elles fortement d’audiences de remarketing ou de Customer Match ?
  • Votre DPO a-t-il validé par écrit les implications du mode avancé ?

Si l’une de ces réponses est négative, le mode basique reste la voie raisonnable.

Ce que votre CMP doit faire pour être vraiment compatible

Une plateforme de gestion de consentement compatible avec Consent Mode v2 doit remplir trois conditions non négociables. D’abord, proposer un écran dédié qui présente clairement les finalités liées à chacun des quatre signaux, et pas seulement un bandeau générique « accepter/refuser ». Ensuite, transmettre effectivement ces signaux à Google via les appels consent update, ce que certaines CMP mal configurées omettent silencieusement. Enfin, afficher un lien d’information clair vers la politique de cookies, condition attendue par les référentiels de conformité.

Pour vérifier concrètement l’intégration, inspectez les requêtes réseau de votre navigateur au moment du clic sur « accepter » : les paramètres de consentement doivent apparaître dans l’URL des requêtes envoyées à Google. Deux cas particuliers méritent une attention supplémentaire : le paramètre region, qui permet de restreindre le comportement par défaut aux seuls pays de l’EEE, et les CMP qui injectent le Consent Mode directement en dur dans le code plutôt que via Google Tag Manager, une configuration fréquente chez Axeptio.

Une implémentation qui semble correcte en apparence peut encore laisser filer des signaux mal transmis. Voici la séquence de vérification à exécuter après tout déploiement ou mise à jour de votre CMP.

  1. Ouvrez Tag Assistant et rejouez un parcours complet de consentement pour observer l’ordre exact des appels default et update.
  2. Consultez le flux de données GA4 pour confirmer que les sessions non consentantes apparaissent bien en mode modélisé plutôt que d’être totalement absentes.
  3. Passez par les diagnostics de Google Ads, qui signalent explicitement une configuration de consentement manquante ou incomplète.
  4. Testez les quatre scénarios de consentement : refus total, acceptation totale, acceptation partielle (analytics oui, publicité non), et absence de choix (état par défaut).
  5. Surveillez trois indicateurs dans le temps : le taux global de consentement, le volume de conversions modélisées récupérées, et toute alerte de gel d’audience dans Google Ads.

Un taux de consentement qui chute brutalement après une mise à jour de CMP est souvent le premier signe d’un signal mal câblé.

Les erreurs les plus fréquentes et comment les corriger

La majorité des problèmes de Consent Mode v2 viennent de trois causes récurrentes, toutes faciles à diagnostiquer une fois qu’on sait où regarder.

  • L’ordre de chargement inversé : le script gtag.js ou le conteneur GTM se charge avant la CMP. Correction immédiate : déplacez systématiquement le tag CMP en tout premier dans le <head>.
  • Des signaux oubliés dans le mapping GTM : ad_user_data et ad_personalization restent parfois non configurés parce qu’ils sont les ajouts les plus récents. Vérifiez chaque balise une par une dans l’éditeur de consentement de GTM.
  • Un serveur Google Tag Manager qui ignore l’état de consentement : en configuration côté serveur, l’état doit être transmis via un cookie, un en-tête ou un payload dédié, faute de quoi le serveur traite toutes les requêtes de la même façon.

Conseil de pro : après chaque mise à jour de CMP, rejouez systématiquement le test des quatre scénarios de consentement. Un correctif appliqué sur un seul signal casse parfois silencieusement les trois autres.

Checklist d’audit express signée Lucioles

Chez Lucioles, nous accompagnons les entreprises dans l’audit technique de leurs dispositifs de mesure et de conversion, en croisant expertise UX, neuromarketing et intégration technique. Notre grille d’audit rapide, pensée pour une revue de 30 à 60 minutes, couvre dix points essentiels.

  • Ordre de chargement CMP avant tag Google confirmé
  • Les quatre signaux initialisés à « denied » pour l’EEE
  • wait_for_update correctement paramétré
  • Mapping GTM complet sur les quatre signaux
  • Écran de consentement dédié avec finalités détaillées
  • Paramètre region actif si ciblage géographique
  • Réception du consentement vérifiée côté serveur (sGTM)
  • Test des quatre scénarios de consentement effectué
  • Diagnostics Google Ads sans alerte de consentement manquant
  • Taux de consentement suivi dans un tableau de bord dédié

Pour approfondir la partie bandeau et affichage, notre guide sur les vérifications CNIL du bandeau cookies complète utilement cette checklist technique.

Lucioles

La conversation publique sur le Consent Mode v2 se focalise presque toujours sur la technique : quel snippet coller, quel paramètre régler. C’est une erreur d’angle. Le vrai enjeu, c’est l’arbitrage entre juridique et performance publicitaire, et la plupart des équipes marketing le traitent comme un problème purement technique qu’on délègue au développeur, sans jamais faire valider le choix basic/advanced par un responsable de la conformité.

Ce qui compte vraiment dans le Consent Mode v2 — overview diagram

Ce qui est sous-estimé, c’est la fragilité de l’ordre de chargement. On peut avoir une configuration des quatre signaux parfaite sur le papier et voir tout s’effondrer parce qu’un script tiers charge la balise Google trente millisecondes trop tôt. Ce n’est pas un problème de compétence, c’est un problème de discipline d’implémentation, et c’est justement ce que les audits automatisés détectent le mieux.

Ma conviction : commencez toujours en mode basique, même si le mode avancé promet plus. Le gain de récupération de conversions ne vaut jamais le risque d’une configuration bâclée validée sous pression commerciale. Passez à l’avancé seulement quand votre trafic justifie la modélisation et que votre DPO a signé, pas avant.

— Vincent

Configurer correctement les quatre signaux, l’ordre de chargement et le mapping GTM demande une rigueur que peu d’équipes marketing internes ont le temps de maintenir en continu. Un audit dédié au Consent Mode v2 peut inclure un diagnostic complet de l’implémentation actuelle, une feuille de route technique et juridique priorisée, ainsi qu’un accompagnement sur l’intégration GTM ou côté serveur avec un rapport de tests détaillé.

Cet audit s’inscrit dans une approche plus large d’optimisation de la mesure et de la conversion, celle que nous appliquons à travers nos services d’expérimentation digitale et d’analyse comportementale. Une mesure fiable est la condition de toute décision marketing sérieuse : sans données propres, même le meilleur Neuropersona© perd sa valeur.

Un audit technique pour sécuriser votre Consent Mode v2 — overview diagram

Pour discuter de votre configuration actuelle et obtenir un devis d’audit, consultez notre page nos services et prenez contact avec notre équipe.

Sources

Questions fréquentes

C’est le mécanisme de Google qui ajuste le comportement de ses balises (GA4, Google Ads) selon les choix de consentement du visiteur, via quatre signaux : analytics_storage, ad_storage, ad_user_data et ad_personalization.

Comment activer le mode de consentement sur un site Google ?

Il faut appeler gtag('consent', 'default', {...}) avant tout tag Google avec les valeurs par défaut souhaitées, puis déclencher gtag('consent', 'update', {...}) au moment où votre CMP recueille le choix réel de l’utilisateur.

Quelles sont les règles de confidentialité liées au consentement de Google ?

Google exige que les sites ciblant l’EEE transmettent l’état de consentement via ces quatre signaux pour continuer à bénéficier des fonctionnalités publicitaires et analytiques complètes, une exigence renforcée depuis mars 2024.

Faut-il choisir le mode basique ou avancé ?

Le mode basique bloque tout tag Google jusqu’au consentement et reste l’option la plus sûre en l’absence de validation juridique ; le mode avancé envoie des pings cookieless dès le chargement et peut récupérer davantage de conversions modélisées, mais seulement sur les sites à trafic suffisant.

Comment vérifier que ma configuration fonctionne ?

Utilisez Tag Assistant pour observer l’ordre des appels de consentement, contrôlez le flux de données GA4, et surveillez les diagnostics de Google Ads qui signalent toute configuration incomplète.

Recommandations

Partager l'article :
Image de Vincent Druelle

Vincent Druelle

Passionné de sciences cognitives et du design utile, j’explore chaque jour comment les émotions influencent nos décisions. À travers Lucioles.agency, j’aide les marques à créer des expériences digitales plus performantes et plus humaines.

Ces articles peuvent vous intéresser :

Si on prenait un temps d'échange ?

Vous avez des problèmes de conversion sur votre parcours client ? Vous lancez un nouveau projet et souhaitez mettre toutes les chances de votre côté ?
Échangeons sur votre projet ou problématique.