Consent Mode v2 : Guide d'implémentation et conformité RGPD France

Avertissement : cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Les obligations légales varient selon votre situation. Consultez un expert avant toute décision de mise en conformité.

Consent Mode v2 : définition et fonctionnement technique

Avant cette mise à jour, si un visiteur refusait les cookies, les balises Google se taisaient complètement. Des conversions invisibles, des campagnes pilotées à l'aveugle. La version 2 change l'équation sur deux plans.

D'abord, même sans consentement explicite, des pings anonymisés peuvent être envoyés — sans déposer de cookie, sans identifier l'utilisateur. Google utilise ces signaux pour modéliser statistiquement les conversions manquantes. Ensuite, deux nouveaux paramètres permettent un contrôle granulaire de l'utilisation des données publicitaires, en réponse directe aux exigences du Digital Markets Act (DMA).

Les 4 paramètres et la Consent API

La Consent API est l'interface JavaScript fournie par Google pour déclarer et mettre à jour l'état du consentement. Elle repose sur deux commandes : gtag('consent', 'default', {...}) pour l'état initial, et gtag('consent', 'update', {...}) après le choix de l'utilisateur. Ces commandes doivent s'exécuter dans cet ordre précis — avant tout autre script Google.

TCF v2.2, IAB Europe et Google Signals

TCF v2.2 — Transparency and Consent Framework

Le TCF v2.2 est le standard de l'industrie publicitaire développé par IAB Europe pour structurer la collecte du consentement dans les écosystèmes programmatiques. Si vous diffusez de la publicité programmatique (SSP, DSP, ad exchange), votre CMP doit être certifiée TCF v2.2 en plus d'être compatible Consent Mode v2. Les deux exigences sont distinctes et doivent être activées séparément dans la configuration de votre CMP.

Google Signals

Google Signals est la fonctionnalité GA4 qui permet le reporting inter-appareils et l'alimentation des audiences Google Ads. Son fonctionnement dépend directement de analytics_storage : si ce paramètre est denied, Google Signals ne collecte pas les données de cet utilisateur. À partir de juin 2026, Google transite vers l'utilisation du Consent Mode comme contrôle unique pour Google Signals — une implémentation absente ou défaillante coupera le suivi multi-appareils de façon permanente.

Enhanced Conversions

Les Enhanced Conversions permettent d'envoyer des données first-party hashées (email, téléphone) à Google pour améliorer l'attribution. Elles dépendent du paramètre ad_user_data, introduit en v2. Les sites restés en Consent Mode v1 voient leurs Enhanced Conversions cesser de fonctionner simplement parce que ce paramètre n'existe pas dans la v1.

Consent Mode v2 mode basique ou mode avancé — lequel choisir ?

Quelle CMP choisir pour le Consent Mode v2 en France ?

Pour la France, l'équivalence du refus impose qu'Axeptio et Didomi soient configurées de façon spécifique. Le comparatif complet avec critères détaillés, dark patterns, performance Core Web Vitals et guide de configuration CNIL : Axeptio vs Didomi vs Cookiebot — comparatif complet →

Implémentation pas à pas avec GTM

L'ordre d'exécution est critique — la Consent API doit s'initialiser avant tout autre script Google.

• 1
  Auditer les balises existantes dans GTM

  Listez toutes les balises Google : GA4, Google Ads, Floodlight, pixels tiers. Chacune doit être associée au bon paramètre de consentement à l'étape 6.

• 2
  Activer la vue d'ensemble du consentement dans GTM

  Admin → Paramètres du conteneur → activer Vue d'ensemble du consentement. Sans cette étape, l'état du consentement par balise n'est pas visible en mode Preview.

• 3
  Choisir une CMP certifiée Google et compatible TCF v2.2

  Pour la France : Axeptio, Didomi, Cookiebot ou Usercentrics. Récupérez le template GTM officiel de votre CMP dans la galerie de balises. Voir notre comparatif Axeptio vs Didomi →

• 4
  Charger la CMP sur "Initialisation du consentement"

  La balise CMP doit se déclencher sur Initialisation du consentement – Toutes les pages, jamais sur "Page vue". C'est le seul déclencheur GTM qui s'exécute avant toutes les autres balises.

• 5
  Initialiser la Consent API avec les 4 paramètres sur "denied"

  gtag('consent', 'default', {
    analytics_storage: 'denied',
    ad_storage: 'denied',
    ad_user_data: 'denied',
    ad_personalization: 'denied',
    wait_for_update: 500
  });

  Le paramètre wait_for_update laisse 500 ms à la CMP pour transmettre le consentement. Ajustez si votre CMP charge lentement.

• 6
  Associer chaque balise à son paramètre de consentement

  Dans chaque balise GTM → onglet Consentement : GA4 → analytics_storage, Google Ads → ad_storage + ad_user_data, balises remarketing → ad_personalization.

• 7
  Tester les 3 scénarios obligatoires

  Via GTM Preview : acceptation totale, refus total, consentement partiel. Vérifiez l'onglet "Consentement" de chaque événement dans les résultats.

Cas pratiques — exemples réels d'implémentation

Consent Mode v2 et tracking server-side

Le Consent Mode v2 réduit la perte de données côté client. Le tracking server-side résout un problème différent mais complémentaire : il déplace l'exécution des balises de suivi vers un serveur intermédiaire.

En pratique, les deux approches sont souvent déployées ensemble sur les sites e-commerce à fort trafic : le Consent Mode gère le consentement utilisateur, le server-side via Stape gère la fiabilité de la collecte. Guide complet : Tracking server-side — fonctionnement et mise en place →

Erreurs fréquentes — y compris celles qui semblent correctes

Spécificités CNIL France

• Équivalence du refus : le bouton "Tout refuser" doit être aussi visible que "Tout accepter". Un lien texte discret ne suffit pas.
• Pas de dark patterns : couleurs trompeuses, pré-cochages, design orienté vers l'acceptation — tous sanctionnables.
• Consentement granulaire : l'utilisateur doit pouvoir accepter ou refuser par finalité, pas seulement en bloc.
• Transfert hors UE : le transfert vers les serveurs Google aux États-Unis reste un point de vigilance. La proxyfication via GTM server-side peut répondre partiellement à ce point.
• TCF v2.2 : si votre site diffuse de la publicité programmatique, la CMP doit être certifiée TCF v2.2 par IAB Europe.

Checklist de vérification technique

Votre implémentation Consent Mode v2 est-elle vraiment fiable ?

La majorité des sites que nous analysons présentent au moins un problème d'implémentation — souvent invisible en surface, mais détectable en 30 minutes de vérification technique.

Les signaux qui indiquent un problème :

• Vos Enhanced Conversions ont cessé de remonter des données depuis quelques mois
• Vos audiences Google Ads se vident progressivement sans raison apparente
• Votre taux de sessions GA4 a chuté après l'installation d'un bandeau cookie
• Le paramètre gcd est absent de vos requêtes réseau
• Votre plugin WordPress vous assure être "conforme CMv2" mais vous n'avez jamais vérifié techniquement
• Vous utilisez le server-side GTM et n'avez jamais vérifié que les signaux de consentement sont transmis au serveur

Questions fréquentes