Consent Mode v2 & cookies : rester conforme RGPD/CNIL sans perdre ses conversions

Depuis 2024, Google exige le Consent Mode v2 pour continuer à utiliser les données des audiences et des conversions dans l'Espace économique européen. Résultat : beaucoup d'entreprises se retrouvent coincées entre la conformité RGPD/CNIL et la peur de « perdre » leurs conversions. Bonne nouvelle : bien configuré, on peut respecter le consentement ET continuer à mesurer. Voici comment, sans jargon inutile.

Qu'est-ce que le Consent Mode v2 ?

C'est un mécanisme de Google qui ajuste le comportement de ses balises (Google Ads, GA4) en fonction du consentement de l'internaute. Concrètement, votre bandeau cookies transmet aux balises des signaux (autorisé / refusé) pour quatre paramètres, dont deux nouveaux ajoutés par la v2 spécifiquement pour la publicité. Sans ces signaux, Google restreint depuis 2024 les fonctionnalités marketing dans l'EEE : plus de remarketing, plus d'audiences, mesure dégradée.

• ad_storage : autorise (ou non) le stockage lié à la publicité (cookies publicitaires).
• analytics_storage : autorise (ou non) le stockage lié à la mesure d'audience.
• ad_user_data : autorise (ou non) l'envoi de données utilisateur à Google à des fins publicitaires (nouveau en v2).
• ad_personalization : autorise (ou non) la personnalisation publicitaire / le remarketing (nouveau en v2).

Les deux modes : basique vs avancé

Il existe deux façons d'implémenter le Consent Mode, et la différence est majeure pour votre mesure. En mode basique, les balises Google ne se chargent pas du tout tant que l'utilisateur n'a pas consenti : en cas de refus, vous ne mesurez rien. En mode avancé, les balises se chargent mais envoient, en cas de refus, des pings anonymes et sans cookie, qui alimentent la modélisation des conversions. Le mode avancé est celui qui permet de rester conforme tout en conservant une mesure exploitable.

Ce que demande la CNIL sur le bandeau cookies

Le Consent Mode ne suffit pas à lui seul : c'est votre bandeau (CMP) qui doit respecter les règles de la CNIL. Les exigences essentielles :

• Refuser doit être aussi simple qu'accepter (un bouton « Tout refuser » visible au premier niveau, pas caché dans un sous-menu).
• Aucun dépôt de cookie non essentiel avant le consentement (pas de tag qui se déclenche « au cas où »).
• Un choix libre, éclairé et par finalité, avec la possibilité de changer d'avis facilement à tout moment.
• Conserver la preuve du consentement (horodatage, choix exprimé) en cas de contrôle.
• Pas de « cookie wall » abusif ni de cases pré-cochées.

Consent Mode v2 ne veut pas dire perdre ses conversions

C'est le point le plus mal compris. Quand un internaute refuse, Google ne pose pas de cookie, mais reçoit (en mode avancé) des pings anonymes qui alimentent une modélisation des conversions : les conversions non observées sont estimées statistiquement à partir des comportements observés. On mesure donc toujours une tendance fiable, sans suivre individuellement les personnes qui ont refusé. En pratique, une part significative des conversions « perdues » par le refus est récupérée par modélisation.

Pour aller plus loin, on peut coupler le Consent Mode au suivi côté serveur (server-side) et à l'API Conversions de Meta : la logique est la même — mesurer proprement, sous consentement, en minimisant et hachant les données personnelles.

La configuration à mettre en place

• Une CMP (plateforme de gestion du consentement) conforme et certifiée, branchée sur Google Tag Manager.
• Le Consent Mode v2 activé en mode avancé, avec les paramètres ad_storage, analytics_storage, ad_user_data et ad_personalization.
• Des balises qui ne se déclenchent qu'après le signal de consentement, et un état par défaut « refusé » avant tout choix.
• Idéalement, un suivi server-side pour fiabiliser la mesure tout en respectant les choix des utilisateurs.

Les erreurs à éviter

• Croire que le Consent Mode remplace le bandeau cookies : il le complète, mais la conformité CNIL repose d'abord sur la CMP.
• Laisser des balises se déclencher avant le consentement (l'état par défaut doit être « refusé »).
• Choisir le mode basique sans le savoir : vous perdez alors toute mesure sur les utilisateurs qui refusent.
• Oublier de tester : l'outil de prévisualisation de GTM et l'inspecteur du navigateur permettent de vérifier les signaux réellement envoyés.

La conformité n'est pas l'ennemie de la performance : c'est une question de configuration. Bien réglé, votre tracking respecte le RGPD, satisfait la CNIL et continue de nourrir vos campagnes en données exploitables. L'inverse — un tracking non conforme — vous expose à des sanctions tout en dégradant votre mesure : le pire des deux mondes.