Vos préférences de cookies

Choisissez les catégories que vous acceptez. Votre choix est conservé 6 mois.

Nécessaires

Mémorisent votre choix de consentement. Toujours actifs.

Toujours actifs

Data

GA4 et Consent Mode v2 : mesurer votre site en règle avec la CNIL

Par l’équipe DigitalEst, pôle Data & analytics · · 10 min de lecture

Illustration en pixel art : un bandeau de consentement stylisé dont deux boutons de même taille ouvrent ou ferment un flux de pixels vers un tableau de bord

Pour mesurer votre site en règle avec la CNIL, aucune balise d’analyse ou de publicité ne doit déposer de cookie avant l’accord du visiteur, et refuser doit être aussi simple qu’accepter. Le Consent Mode v2 de Google transmet ensuite ce choix à GA4 et à Google Ads. Pour une PME, la bonne architecture tient en quatre briques : Google Tag Manager comme point unique de balisage, un bandeau opt-in conforme, le Consent Mode bien paramétré et quelques événements clés alignés sur vos objectifs commerciaux.

Ce guide s’adresse aux dirigeants et responsables marketing qui veulent des chiffres fiables pour décider, sans exposer l’entreprise à une mise en demeure. Il détaille la règle, l’architecture, le choix entre les deux modes du Consent Mode et les erreurs que nous rencontrons le plus souvent lors d’un audit.

Ce que dit la règle : le consentement d’abord

Le cadre français repose sur l’article 82 de la loi Informatique et Libertés, qui transpose la directive européenne ePrivacy. La CNIL le résume ainsi : le stockage d’informations sur le terminal de l’internaute exige son consentement préalable. Ce consentement doit être libre, spécifique, éclairé et univoque. La simple poursuite de la navigation ne vaut plus accord.

Trois conséquences concrètes pour votre site :

  • Rien avant le choix. Tant que le visiteur n’a pas accepté, aucun cookie de mesure ou de publicité soumis à consentement ne doit être déposé ni lu.
  • Refuser aussi simplement qu’accepter. La CNIL demande que l’utilisateur puisse accepter ou refuser « avec le même degré de simplicité ». Elle cite comme moyen clair deux boutons « Tout accepter » et « Tout refuser » présentés au même niveau et sous le même format.
  • Pouvoir changer d’avis. Retirer son consentement doit être aussi simple que le donner, par exemple via un lien « Gérer les cookies » accessible en pied de page.

L’exemption « mesure d’audience » : possible, mais étroite

Certains outils de mesure d’audience peuvent être dispensés de consentement. La CNIL fixe des conditions strictes : une finalité limitée à la seule mesure d’audience pour le compte exclusif de l’éditeur, des statistiques anonymes uniquement, aucun recoupement avec d’autres traitements et aucune transmission de données non anonymes à des tiers. Elle recommande une durée de vie des traceurs de treize mois et une conservation des données de vingt-cinq mois au maximum.

La CNIL précise aussi que certaines offres sortent du périmètre de l’exemption, notamment quand le fournisseur réutilise les données pour son propre compte. Dès que GA4 est relié à Google Ads ou sert à construire des audiences publicitaires, on s’éloigne d’une mesure strictement limitée. Par prudence, nous recommandons donc de traiter GA4 comme un outil soumis à consentement, sauf analyse juridique contraire propre à votre configuration.

L’architecture recommandée pour une PME

Un seul point de balisage : Google Tag Manager

Google Tag Manager (GTM) centralise toutes vos balises : GA4, Google Ads, pixels des réseaux sociaux. Son intérêt pour la conformité est direct. Chaque balise y porte ses propres conditions de consentement, et la vue « Consent Overview » affiche, selon Google, l’ensemble des réglages de consentement du conteneur sur un seul écran.

GTM propose aussi un déclencheur « Consent Initialization », qui s’exécute avant toutes les autres balises, y compris celles liées aux déclencheurs d’initialisation. C’est là que votre bandeau pose l’état de consentement par défaut. Pour les balises qui n’intègrent pas de vérification native, l’option « Require additional consent for tag to fire » empêche leur déclenchement tant que les types de consentement requis ne sont pas accordés.

Un bandeau opt-in qui respecte les règles

Que vous utilisiez une plateforme de gestion du consentement (CMP) ou un développement sur mesure, votre bandeau doit cocher ces cases :

  1. Deux boutons « Tout accepter » et « Tout refuser » de même taille, même couleur, même niveau.
  2. Un choix par finalité (mesure d’audience, publicité) pour ceux qui veulent affiner.
  3. Une information claire sur les finalités et les partenaires.
  4. Un lien permanent pour modifier son choix.
  5. Une durée de conservation du choix raisonnable : la CNIL considère que six mois constituent généralement une bonne pratique.
  6. Une preuve du consentement conservée, en cas de contrôle.

Le Consent Mode est l’interface qui transmet le choix du visiteur aux balises Google. Sa version 2 compte quatre types de consentement, décrits dans la documentation Google :

SignalCe qu’il contrôle
analytics_storageLe stockage lié à l’analyse, par exemple la durée de visite
ad_storageLe stockage lié à la publicité (cookies, identifiants)
ad_user_dataL’envoi à Google de données utilisateur à des fins publicitaires
ad_personalizationLa personnalisation des annonces

Les deux derniers signaux sont ceux que la v2 a ajoutés. Pour le trafic de l’Espace économique européen, Google demande aux annonceurs de recueillir le consentement et de lui transmettre ces signaux pour la mesure, la personnalisation et le remarketing, dans le cadre de sa politique relative au consentement de l’utilisateur dans l’UE. Un bandeau qui ne remonte que les deux premiers signaux est donc incomplet.

Côté technique, Google demande de définir l’état par défaut sur chaque page, avant toute commande qui envoie des données de mesure, puis de le mettre à jour dès que le visiteur interagit avec le bandeau. Il est possible de définir des états par défaut différents selon la région du visiteur.

Mode basic ou mode advanced : le vrai choix

Google distingue deux façons d’implémenter le Consent Mode. La différence porte sur ce qui se passe avant et après le refus.

Mode basicMode advanced
Avant le choixLes balises Google ne se chargent pasLes balises se chargent, consentement refusé par défaut
En cas de refusAucune donnée envoyéeDes signaux sans cookies sont envoyés à Google
Modélisation des conversionsModèle généralModèle propre à l’annonceur
Lecture conformitéLa plus simple à défendreÀ valider avec votre DPO ou votre conseil

En mode basic, selon Google, aucune donnée n’est envoyée avant le consentement, pas même l’état de consentement par défaut. En mode advanced, les signaux envoyés en cas de refus contiennent, d’après l’aide Google Analytics, des informations comme l’agent utilisateur, la résolution d’écran et l’adresse IP. Google s’en sert pour modéliser le comportement et les conversions des visiteurs qui ont refusé.

Notre position : le mode basic est le point de départ le plus sûr pour une PME. Google indique de son côté qu’en mode basic, aucune donnée modélisée ne vient combler les manques dans GA4, et que bloquer les balises jusqu’à l’interaction avec le bandeau peut entraîner une perte de données. C’est un arbitrage entre complétude des chiffres et exposition juridique. Il se tranche avec votre responsable des données personnelles, pas par un réglage par défaut dans une CMP.

Définir des événements clés utiles

Une mesure conforme ne sert à rien si elle suit les mauvais signaux. Dans GA4, les « événements clés », anciennement appelés conversions, désignent les actions importantes pour votre activité. Google en limite le nombre à 30 par propriété standard. Ce plafond est une bonne discipline : choisissez peu d’événements, mais ceux qui annoncent du chiffre d’affaires.

Pour un site B2B, une base solide ressemble à ceci :

  • generate_lead : l’envoi d’un formulaire de contact ou de demande de devis. C’est l’événement recommandé par Google pour la génération de leads.
  • file_download : le téléchargement d’une plaquette ou d’une fiche technique, remonté automatiquement par les mesures améliorées de GA4.
  • Le clic sur votre numéro de téléphone ou votre adresse e-mail.
  • La prise de rendez-vous en ligne, si vous la proposez.

Prenons l’exemple d’un cabinet de services B2B de vingt personnes. Il n’a pas besoin de suivre la profondeur de défilement comme objectif. Il a besoin de savoir quelles sources amènent des demandes de devis qualifiées. GA4 prévoit d’ailleurs des événements recommandés pour suivre le lead jusqu’à la signature, comme qualify_lead et close_convert_lead, alimentés depuis votre CRM. Les événements clés peuvent ensuite servir de base à vos conversions Google Ads, pour piloter les enchères sur des actions réelles.

Les erreurs fréquentes, et comment les repérer

Le double balisage

C’est l’erreur la plus courante sur les sites refaits plusieurs fois : le code GA4 est collé en dur dans le gabarit du site et, en parallèle, une balise GA4 est déclenchée par GTM. Google est explicite : il faut utiliser soit la balise Google, soit Tag Manager, pas les deux, sous peine de surcompter les données. Symptôme typique : des pages vues qui doublent du jour au lendemain. Vérifiez le code source de vos pages et le contenu de votre conteneur.

La balise qui part avant le consentement

Deuxième classique : une balise se déclenche sur toutes les pages dès le chargement, avant que le bandeau ait posé l’état par défaut. Résultat : des cookies déposés sans accord, précisément ce que la réglementation interdit. Pour le vérifier :

  1. Ouvrez votre site en navigation privée.
  2. Sans cliquer sur le bandeau, ouvrez les outils de développement du navigateur, onglet Application, rubrique Cookies.
  3. Aucun cookie _ga ni cookie publicitaire ne doit apparaître.
  4. Cliquez sur « Tout refuser », visitez deux ou trois pages, puis vérifiez de nouveau.
  5. Dans le mode Aperçu de GTM, contrôlez l’état du consentement au moment où chaque balise se déclenche.

Les cookies _ga d’une ancienne propriété

Les propriétés Universal Analytics standard ont cessé de traiter les données le 1er juillet 2023, et Google a coupé l’accès aux données historiques à partir de juillet 2024. Pourtant, beaucoup de sites portent encore l’ancien code, ou celui d’une première propriété GA4 abandonnée. Ces scripts peuvent continuer à déposer des cookies _ga, dont la durée de vie par défaut est de deux ans selon Google, souvent hors du contrôle du bandeau. Faites l’inventaire de tous les identifiants de mesure présents dans votre code et votre conteneur, supprimez ceux qui ne servent plus, et mettez votre politique cookies à jour avec les cookies réellement déposés.

Les autres pièges

  • Un bandeau sans bouton « Tout refuser » au premier niveau.
  • Des signaux ad_user_data et ad_personalization jamais transmis.
  • Des dizaines d’événements clés déclarés, dont aucun ne correspond à une demande commerciale.
  • Une recette faite une fois au lancement, puis plus jamais, alors que chaque nouvelle balise ajoutée au conteneur peut casser la conformité.

La checklist de mise en conformité

  1. Inventoriez les balises et les cookies présents sur le site : code source, conteneur GTM, modules tiers.
  2. Supprimez les doublons et les anciens identifiants de mesure.
  3. Installez un bandeau opt-in conforme, avec refus au premier niveau.
  4. Paramétrez le Consent Mode v2 : état par défaut « refusé » posé au déclencheur Consent Initialization, mise à jour au clic, quatre signaux transmis.
  5. Choisissez le mode basic ou advanced, et documentez ce choix.
  6. Définissez trois à six événements clés liés à votre cycle de vente.
  7. Testez en navigation privée dans les trois cas : aucun choix, refus, acceptation.
  8. Mettez à jour votre politique cookies et planifiez une vérification chaque trimestre.

En résumé

  • Aucune balise soumise à consentement ne doit se déclencher avant l’accord du visiteur.
  • Refuser doit être aussi simple qu’accepter, avec deux boutons équivalents au premier niveau.
  • Le Consent Mode v2 transmet quatre signaux, dont ad_user_data et ad_personalization, attendus par Google pour le trafic européen.
  • Le mode basic est le plus simple à défendre, le mode advanced apporte de la modélisation mais mérite une validation juridique.
  • Peu d’événements clés, mais reliés à vos demandes commerciales.
  • Une seule méthode de balisage par site, et plus aucun code d’une ancienne propriété.

Passer à une mesure fiable et conforme

Une mesure propre change la qualité de vos décisions : vous savez quels canaux amènent des demandes, et vous pilotez vos budgets sur des faits plutôt que sur des impressions. Notre pôle Data & analytics audite votre balisage, corrige les écarts et met en place GA4, Tag Manager et le Consent Mode v2 : découvrez notre accompagnement analytics et tracking. Si vous investissez dans Google Ads, cette base conditionne aussi le pilotage de vos campagnes de publicité en ligne. Pour un premier échange de 30 minutes, sans engagement, contactez-nous.

Sources

À lire ensuite

Besoin d’un regard sur votre situation ?

30 minutes pour faire le point et identifier vos priorités, sans engagement.

Parler de votre projet