Consent Mode v2 : ce qui a changé en mars 2024 et ce qui se passe sans lui

En mars 2024, Google a commencé à faire respecter une exigence annoncée quelques mois plus tôt : les annonceurs qui veulent continuer à utiliser la mesure, la personnalisation des annonces et le remarketing pour les utilisateurs de l’Espace économique européen doivent recueillir le consentement et le transmettre à Google via Consent Mode, avec deux nouveaux signaux, ad_user_data et ad_personalization. Sans ces signaux, Google traite les utilisateurs de l’EEE comme n’ayant pas consenti : leurs données ne sont pas traitées pour le ciblage par liste de clients (Customer Match), les audiences rétrécissent, et la mesure des conversions perd sa partie modélisée. L’échéance n’a pas créé de nouvelle loi. Elle a fait appliquer par les plateformes de Google le consentement que le droit européen exigeait déjà.

Ce que les règles de Google ont toujours exigé

Les règles de Google relatives au consentement de l’utilisateur dans l’UE, que chaque client Google Ads et Analytics accepte, exigent des sites qu’ils obtiennent un consentement juridiquement valable des utilisateurs finaux de l’EEE, du Royaume-Uni et de la Suisse pour l’utilisation de cookies ou d’un autre stockage local lorsque la loi l’impose, et pour la collecte, le partage et l’utilisation de données personnelles à des fins de personnalisation des annonces. Elles exigent aussi de conserver la preuve du consentement et de donner aux utilisateurs des instructions claires pour le retirer. Ces règles sont antérieures à Consent Mode ; ce qui a changé en 2024, c’est que Google a commencé à vérifier le signal de consentement dans ses propres systèmes au lieu de se fier à la parole de l’annonceur.

Ce que la version 2 a ajouté

La version 1 de Consent Mode avait quatre signaux de stockage : ad_storage, analytics_storage, functionality_storage et personalization_storage (plus security_storage). La version 2 a ajouté deux signaux portant sur l’utilisation des données plutôt que sur le stockage :

• ad_user_data définit, selon la documentation de Google, « consent for sending user data to Google for online advertising purposes », le consentement à l’envoi de données utilisateur à Google à des fins de publicité en ligne.
• ad_personalization définit « consent for personalized advertising », le consentement à la publicité personnalisée.

La distinction compte parce qu’un visiteur peut autoriser les cookies et refuser quand même la personnalisation, et parce que les produits publicitaires de Google lisent désormais ces deux signaux pour décider si les données d’un utilisateur peuvent être utilisées tout court. La page d’aide de Google sur le consentement pour le ciblage par liste de clients le dit clairement : à partir de mars 2024, les deux champs doivent être sur accordé pour les listes de clients utilisées dans l’EEE, et les données des utilisateurs de l’EEE qui n’ont pas consenti ne sont pas traitées et ne peuvent pas servir à la personnalisation des annonces. La même page indique que l’application de 2024 touche aussi les fonctions de mesure pour les données des balises sur les sites et des SDK dans les applications.

Si vous définissez à la fois ad_personalization et l’ancien allow_ad_personalization_signals avec des valeurs contradictoires, la personnalisation est désactivée ; Google recommande d’implémenter ad_personalization.

Basique ou avancé, et ce que chacun perd

Google documente deux implémentations.

En mode de consentement basique, les balises Google ne se chargent pas tant que le visiteur n’a pas interagi avec le bandeau. Un visiteur qui refuse n’envoie rien à Google, pas même l’état du consentement. Google Analytics n’a alors rien pour modéliser, et les rapports pour les visiteurs qui refusent sont simplement absents.

En mode de consentement avancé, les balises Google se chargent à l’ouverture de la page avec tous les signaux sur refusé par défaut. Tant que le consentement est refusé, les balises envoient des mesures sans cookies (les « cookieless pings ») portant l’état du consentement et des informations grossières ; après consentement, la mesure complète. Google utilise ces pings pour la modélisation des conversions et du comportement, ce qui suppose d’atteindre un seuil de données.

Les pages de Google présentent le mode avancé comme le moyen d’obtenir des données modélisées. Elles disent aussi, dans la documentation des concepts de Consent Mode, que vous êtes responsable de l’obtention du consentement des utilisateurs, et que Consent Mode ne fournit ni bandeau ni widget. Le ping du mode avancé est une requête du navigateur du visiteur vers Google ; savoir si l’envoyer avant consentement est acceptable relève de votre autorité de contrôle, et les positions divergent. La voie prudente est le mode basique. Les deux se configurent de la même façon ; la différence est de savoir si la balise Google est marquée pour attendre le consentement à la mesure d’audience.

Ce qui se passe sans Consent Mode

La page d’aide de Google sur les mises à jour pour l’EEE décrit l’échec d’une demi-mesure : si vous bloquez la balise Google jusqu’à ce que le visiteur interagisse avec le bandeau mais n’envoyez jamais de signaux de consentement, Google ne peut pas vérifier les choix, « which may lead to loss in data », ce qui peut entraîner une perte de données. Concrètement :

• Les listes de clients (Customer Match) pour les utilisateurs de l’EEE ne sont pas alimentées par des données sans consentement.
• Les audiences de remarketing construites à partir des visites du site perdent les utilisateurs de l’EEE dont le consentement n’est pas signalé.
• La mesure des conversions pour le trafic de l’EEE n’a pas de composante modélisée et n’est rapportée que pour les visiteurs qui ont consenti.
• Google Analytics 4 n’affiche aucune donnée modélisée pour les visiteurs qui refusent, en mode basique ou sans Consent Mode.

Rien de tout cela n’est une sanction légale. C’est Google qui refuse de traiter des données dont il ne peut pas prouver qu’elles ont été consenties, autrement dit Google qui protège Google. L’exposition juridique est distincte et repose sur le site : les amendes pour des cookies déposés avant consentement sont décrites dans notre tour d’horizon des amendes.

Les CMP certifiées et le TCF sont une exigence distincte

Deux exigences de Google sont souvent confondues. Consent Mode est le signal décrit ci-dessus, et n’importe quel bandeau peut l’envoyer. Séparément, pour les éditeurs qui diffusent des annonces Google AdSense, Ad Manager ou AdMob à des utilisateurs de l’EEE, du Royaume-Uni ou de la Suisse, Google exige une plateforme de gestion du consentement certifiée pour le Transparency and Consent Framework de l’IAB. Cookiequiet envoie les signaux Consent Mode v2 et n’est pas une CMP certifiée TCF, donc les sites qui diffusent ces annonces ont besoin d’une CMP certifiée pour elles ; Google Analytics 4, le suivi des conversions Google Ads et le remarketing fonctionnent avec son intégration. Si vous utilisez une CMP certifiée, Google indique que le fournisseur de la CMP passe automatiquement à la dernière version de Consent Mode ; si vous avez construit l’intégration vous-même, vérifiez que les deux signaux de la version 2 sont présents.

Comment vérifier votre propre configuration

Ouvrez votre site dans une fenêtre privée avec les outils de développement et inspectez window.dataLayer avant de cliquer où que ce soit : la première entrée de consentement doit être un défaut avec ad_storage, ad_user_data, ad_personalization et analytics_storage sur refusé. Cliquez sur « Tout accepter » et cherchez une mise à jour qui les passe sur accordé ; cliquez sur « Tout refuser » sur un profil vierge et confirmez qu’aucun cookie _ga ou _gcl n’apparaît. Le Tag Assistant de Google montre l’état de consentement que chaque balise a reçu. Si le défaut apparaît après un appel config, l’ordre est mauvais, et la documentation de Google est explicite : des défauts dans le mauvais ordre ne fonctionnent pas. Le guide Consent Mode déroule la configuration avec un bandeau ; la page de la plateforme Google Ads couvre spécifiquement les balises de conversion.

Avec Cookiequiet, data-consent-mode="1" sur la balise place chaque signal sur refusé avant l’exécution de toute balise Google, avec un wait_for_update de 500 ms, et met à jour les sept signaux à chaque choix : le marketing pilote les trois signaux publicitaires, la mesure d’audience pilote analytics_storage, le fonctionnel pilote functionality et personalization storage. Un événement dataLayer cq_consent porte les indicateurs de catégorie pour les déclencheurs de Tag Manager.