Consent Mode v2 : mode basic vs advanced, lequel choisir ?

TL;DR

Le Consent Mode v2 propose deux modes d'implementation : basic et advanced. En mode basic, les tags Google ne se declenchent pas tant que l'utilisateur n'a pas consenti (blocage strict). En mode advanced, les tags se chargent avant le consentement et envoient des signaux anonymises (pings sans cookies) meme si l'utilisateur refuse. Le mode basic est le plus sur juridiquement. Le mode advanced permet a Google d'utiliser le conversion modeling pour estimer les donnees manquantes, mais souleve des questions de conformite RGPD car des donnees sont transmises avant consentement.

Qu'est-ce que le Consent Mode v2 ?

Le Consent Mode v2 est un mecanisme de Google qui ajuste le comportement des tags Google (GA4, Google Ads, Floodlight) en fonction du choix de consentement de l'utilisateur. Il repose sur quatre parametres : ad_storage, analytics_storage, ad_user_data et ad_personalization.

Le Consent Mode n'est pas une banniere cookies. C'est un mecanisme de signalement qui fonctionne en complement d'une CMP. La CMP recueille le consentement, le Consent Mode transmet ce choix aux tags Google.

Depuis mars 2024, l'implementation du Consent Mode v2 est obligatoire pour les annonceurs ciblant des utilisateurs dans l'Espace Economique Europeen (EEE). Sans Consent Mode, les fonctionnalites de remarketing et de mesure des conversions sont limitees ou desactivees.

Comment fonctionne le mode basic ?

En mode basic (aussi appele "hard blocking"), les tags Google ne se chargent pas et n'envoient aucune donnee tant que l'utilisateur n'a pas donne son consentement. C'est le comportement le plus restrictif.

Concretement, si l'utilisateur arrive sur le site et ne fait aucun choix dans la banniere, aucun tag Google ne s'execute. Si l'utilisateur refuse les cookies, aucun tag Google ne s'execute. Si l'utilisateur accepte, les tags se declenchent normalement et envoient les signaux de consentement "granted" a Google.

En mode basic, vous n'avez de donnees que sur les utilisateurs qui ont explicitement accepte les cookies. Les utilisateurs qui refusent ou qui n'interagissent pas avec la banniere sont invisibles pour Google Analytics et Google Ads.

Le mode basic est le mode recommande si la conformite RGPD est votre priorite absolue. Aucune donnee n'est transmise a Google avant le consentement, ce qui correspond a l'interpretation stricte de l'article 82 de la loi Informatique et Libertes et de la directive ePrivacy.

Comment fonctionne le mode advanced ?

En mode advanced (aussi appele "soft blocking"), les tags Google se chargent des l'ouverture de la page, avant meme que l'utilisateur interagisse avec la banniere. Si l'utilisateur refuse les cookies (ou n'interagit pas), les tags envoient des "pings" anonymises, sans deposer de cookies.

Ces pings contiennent des informations limitees : horodatage, informations fonctionnelles (user agent, resolution d'ecran), un identifiant temporaire non persistant, et les signaux de consentement ("denied"). Ils ne contiennent pas d'identifiants publicitaires ni de cookies de tracking.

Google utilise ces pings pour alimenter ses modeles statistiques (conversion modeling). A partir des donnees des utilisateurs qui ont consenti, Google extrapole le comportement probable des utilisateurs qui n'ont pas consenti. Cela permet de combler partiellement le trou de donnees cause par les refus de cookies.

Le mode advanced offre une meilleure couverture de donnees. Selon Google, le conversion modeling peut recuperer une partie significative des conversions manquantes. Cependant, cette modelisation repose sur des estimations statistiques, pas sur des donnees reelles.

Quelles sont les differences concretes entre basic et advanced ?

Les deux modes se distinguent sur trois axes principaux : le moment ou les tags se chargent, les donnees transmises en cas de refus, et l'impact sur la couverture analytique.

En mode basic, les tags ne se chargent qu'apres consentement. Aucune donnee n'est envoyee en cas de refus. La couverture analytique est limitee aux utilisateurs consentants. En mode advanced, les tags se chargent immediatement. Des pings anonymises sont envoyes en cas de refus. La couverture analytique est etendue grace au conversion modeling.

Sur le plan juridique, le mode basic ne transmet aucune donnee avant consentement, ce qui est conforme a l'interpretation stricte du RGPD. Le mode advanced transmet des donnees (meme anonymisees) avant consentement, ce qui peut etre considere comme un traitement sans base legale selon certaines interpretations.

Sur le plan technique, le mode basic necessite de configurer des conditions de consentement explicites sur chaque tag dans Google Tag Manager. Le mode advanced utilise les built-in consent checks natifs des tags Google et ne necessite pas de condition de declenchement supplementaire.

Le mode advanced est-il conforme au RGPD ?

C'est la question la plus debattue. La reponse depend de l'interpretation juridique adoptee.

Google affirme que les pings envoyes en mode advanced ne constituent pas un traitement de donnees personnelles car ils ne contiennent pas de cookies ni d'identifiants persistants. Google considere que ces pings sont equivalents a des requetes HTTP classiques, qui sont transmises par tout navigateur lors de la visite d'un site.

Certains juristes et autorites de protection des donnees adoptent une interpretation differente. Ils considerent que tout envoi de donnees a un serveur tiers (meme sans cookies) avant le consentement constitue un acces au terminal de l'utilisateur au sens de la directive ePrivacy. L'adresse IP, le user agent et d'autres informations transmises dans les pings pourraient constituer des donnees personnelles au sens du RGPD.

La CNIL n'a pas publie de position officielle specifique sur le mode advanced du Consent Mode. En l'absence de clarification, le principe de precaution recommande le mode basic pour les sites ciblant des utilisateurs en France et dans l'EEE.

Quel mode choisir selon votre situation ?

Le choix depend de votre profil, de vos besoins en donnees et de votre tolerance au risque juridique.

Choisissez le mode basic si

La conformite RGPD est votre priorite absolue. Vous n'utilisez pas de publicite personnalisee (remarketing, audiences). Votre site cible principalement des utilisateurs en France ou dans l'EEE. Votre DPO ou votre juriste recommande l'approche la plus restrictive. Vous preferez des donnees partielles mais juridiquement solides a des estimations statistiques.

Choisissez le mode advanced si

Vous avez besoin de donnees de conversion modelisees pour optimiser vos campagnes Google Ads. Votre budget publicitaire est significatif et la perte de donnees impacte directement vos performances. Vous avez obtenu une validation juridique prealable de votre DPO ou de votre conseil legal. Vous comprenez que le conversion modeling fournit des estimations, pas des donnees exactes.

Erreurs frequentes (et comment les eviter)

Confondre Consent Mode et blocage de tags. Le Consent Mode est un mecanisme de signalement, pas un outil de blocage. Meme en mode advanced, si vous voulez bloquer les tags tiers (Facebook, LinkedIn), vous devez configurer le blocage separement dans votre CMP ou via les Additional Consent Checks dans GTM.

Activer le mode advanced sans validation juridique. Le mode advanced envoie des donnees a Google avant consentement. Sans validation juridique prealable, vous prenez un risque de non-conformite. Correction : consultez votre DPO avant d'activer le mode advanced pour les utilisateurs dans l'EEE.

Croire que le mode basic = pas de Consent Mode. Ne pas implementer le Consent Mode du tout et ne pas charger les tags avant consentement n'est pas la meme chose que le mode basic. Le mode basic envoie quand meme les signaux de consentement "granted" a Google quand l'utilisateur accepte, ce qui permet a Google de verifier que le consentement existe. Sans Consent Mode, Google ne peut pas verifier le consentement.

Surestimer la precision du conversion modeling. Le conversion modeling est une estimation statistique. Il fonctionne mieux avec un volume de trafic eleve et un taux de consentement suffisant (generalement 20 % minimum). Sur un petit site, les estimations peuvent etre peu fiables. Correction : evaluez la fiabilite du modeling en comparant les donnees modelisees aux donnees reelles sur une periode test.

Utiliser le meme mode pour tous les pays. Le Consent Mode permet de definir des comportements par region. Vous pouvez utiliser le mode basic pour l'EEE et le mode advanced pour les pays ou la reglementation est moins stricte. Correction : configurez des regions dans votre implementation GTM pour adapter le comportement par zone geographique.

Oublier de tester le comportement reel. Le mode preview de GTM ne simule pas toujours correctement le Consent Mode. Correction : testez en navigation privee, verifiez avec un scanner de cookies et inspectez les requetes reseau pour confirmer qu'aucun cookie n'est depose avant consentement en mode basic.

Checklist : choisir et configurer le bon mode

1. Definir votre priorite : conformite stricte (basic) ou couverture de donnees etendue (advanced).
2. Obtenir une validation juridique de votre DPO si vous envisagez le mode advanced pour l'EEE.
3. Configurer l'etat par defaut sur "denied" pour les quatre parametres dans GTM.
4. En mode basic, ajouter des conditions de consentement explicites sur chaque tag Google.
5. En mode advanced, verifier que les built-in consent checks sont actifs sur les tags Google.
6. Configurer des regions si vous utilisez des modes differents selon les pays.
7. Bloquer les tags tiers (Facebook, LinkedIn, etc.) separement, quel que soit le mode choisi.
8. Tester le comportement en navigation privee et avec un scanner de cookies.
9. Verifier que le conversion modeling s'active correctement en mode advanced (minimum 700 clics sur 7 jours par pays).
10. Documenter votre choix de mode dans votre registre des traitements.

Conclusion

Le choix entre Consent Mode basic et advanced n'est pas un detail technique. C'est une decision qui engage votre conformite RGPD et la qualite de vos donnees marketing. Le mode basic garantit qu'aucune donnee n'est transmise avant consentement. Le mode advanced offre plus de donnees grace au conversion modeling mais necessite une validation juridique.

La regle par defaut pour les sites ciblant l'EEE devrait etre le mode basic. Le mode advanced peut etre envisage apres validation juridique et si les besoins en donnees publicitaires le justifient.

Pour verifier que votre implementation bloque correctement les tags avant consentement, scannez votre site gratuitement avec FlowConsent.