Consent Mode v2 et RGPD : ce qu’une boutique en ligne peut envoyer

Consent Mode v2 est la façon dont un site web indique à ses balises Google si un visiteur a accepté les cookies et l’utilisation de ses données à des fins publicitaires. Il repose sur quatre signaux : ad_storage, analytics_storage, ad_user_data et ad_personalization. Il ne demande pas le consentement lui-même. C’est votre bandeau de cookies qui le demande, et Consent Mode transmet la réponse à Google.

Ce guide explique les quatre signaux, le Consent Mode basique et avancé, ce que le droit européen exige d’une boutique en ligne dans les grandes lignes, comment le suivi côté serveur s’intègre, et comment ROASaurus gère le consentement.

Qu’est-ce que Consent Mode v2 ?

Consent Mode est une fonctionnalité de Google pour les sites web et les applications. Le site définit un état de consentement par défaut pour chaque visiteur, généralement refusé, et le met à jour quand le visiteur répond au bandeau de cookies. Les balises Google lisent cet état et adaptent leur comportement. Avec consentement, elles fonctionnent normalement. Sans consentement, elles ne lisent ni n’écrivent de cookies publicitaires, et elles envoient des données limitées ou aucune, selon votre configuration.

La version 2 a ajouté deux signaux, ad_user_data et ad_personalization. Google les a introduits en renforçant l’application de sa politique de consentement des utilisateurs de l’UE. Pour les visiteurs de l’Espace économique européen (EEE), les annonceurs qui veulent utiliser la personnalisation des annonces et la mesure doivent recueillir le consentement et partager les signaux de consentement avec Google. La politique elle-même couvre les visiteurs de l’EEE, du Royaume-Uni et de la Suisse.

Les quatre signaux de consentement

Un bandeau de cookies associe ses propres catégories à ces signaux. Une correspondance courante : la catégorie marketing ou publicité définit ad_storage, ad_user_data et ad_personalization, et la catégorie analytique ou statistiques définit analytics_storage. Vérifiez comment votre outil de consentement procède, car une seule erreur de correspondance envoie la mauvaise réponse à chaque balise Google de votre site.

Consent Mode basique et avancé

Google propose deux façons de mettre en œuvre Consent Mode. La différence tient à ce qui se passe avant le consentement et sans lui.

Techniquement, Consent Mode fonctionne avec deux commandes. La commande default définit l’état de consentement avant qu’une balise Google envoie des données. La commande update le modifie quand le visiteur répond au bandeau.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Les plateformes de gestion du consentement envoient généralement ces commandes à votre place. Vérifiez qu’elles le font, et qu’elles envoient la mise à jour sur chaque page après la réponse du visiteur, pas seulement sur la page où le bandeau s’est affiché.

Ce que le droit européen exige d’une boutique en ligne

Deux lois européennes comptent surtout pour le suivi publicitaire, et Google ajoute sa propre politique par-dessus. Voici un résumé dans les grandes lignes.

Les règles ePrivacy sur les cookies

La directive ePrivacy couvre le stockage d’informations sur l’appareil d’un visiteur, comme les cookies, et leur relecture. Les cookies strictement nécessaires à un service demandé par le visiteur, comme le panier ou une connexion, n’ont pas besoin de consentement. Les cookies de suivi à des fins publicitaires, si. Selon les recommandations de l’UE pour les entreprises, le consentement passe en premier : de tels cookies ne peuvent pas être déposés à l’ouverture de la page. Le consentement doit être donné par finalité, et le retirer doit être aussi simple que le donner.

Le RGPD et les données personnelles

Le RGPD s’applique à tout usage de données personnelles, comme une adresse e-mail, un numéro de téléphone ou les détails d’une commande. Chaque usage nécessite l’une des six bases légales, par exemple le consentement, un contrat ou l’intérêt légitime. Vous ne pouvez traiter que les données nécessaires à la finalité. Un service qui traite des données personnelles pour vous, comme un outil de suivi, exige un contrat écrit avec vous.

La politique de consentement des utilisateurs de l’UE de Google

Si vous utilisez les produits publicitaires de Google, cette politique ajoute une obligation contractuelle. Pour les visiteurs de l’EEE, du Royaume-Uni et de la Suisse, vous devez obtenir un consentement valide pour les cookies là où la loi l’exige, et pour l’utilisation de données personnelles afin de personnaliser les annonces. Vous devez conserver les preuves du consentement, expliquer comment le retirer et nommer clairement chaque partie qui reçoit les données.

Le suivi côté serveur a-t-il besoin du consentement ?

Le suivi côté serveur change l’endroit d’où un événement est envoyé : votre serveur au lieu du navigateur du visiteur. Il ne change pas ce que vous avez le droit d’envoyer. Deux points l’expliquent.

Premièrement, la plupart des configurations côté serveur commencent quand même dans le navigateur. Un script lit l’identifiant de clic dans l’URL d’arrivée et le stocke sur l’appareil : les règles ePrivacy s’appliquent donc à cette étape. Deuxièmement, envoyer un achat avec un e-mail haché, une adresse IP ou un identifiant de clic à une plateforme publicitaire est un traitement de données personnelles. Il exige une base légale au titre du RGPD, quel que soit le chemin emprunté par les données. Notre guide sur ce qu’est le suivi côté serveur explique le volet technique.

Minimisation des données et hachage

Envoyez ce dont la plateforme a besoin pour associer et compter la conversion, pas toute la commande. Les plateformes publicitaires demandent que les champs personnels comme l’e-mail et le téléphone soient normalisés et hachés avec SHA-256 avant l’envoi. Le hachage protège la valeur brute sur son trajet vers la plateforme, mais ce n’est pas de l’anonymisation : la plateforme compare le hash à ses propres données d’utilisateurs pour trouver une correspondance. Traitez les données hachées comme des données personnelles.

Ce qu’une boutique en ligne envoie avec et sans consentement

Pour illustrer où un outil place la limite, voici ce que fait ROASaurus sur Shopify avec Respect visitor consent activé, ce qui est le réglage par défaut.

Savoir si la commande payée d’un visiteur qui a refusé peut être envoyée est une question juridique, et la réponse peut varier selon la boutique et le pays. ROASaurus l’envoie par défaut. Si votre conseil juridique indique que les événements d’achat exigent eux aussi un consentement préalable, contactez ROASaurus avant d’activer les achats côté serveur. Consentement et confidentialité donne les détails pour Shopify et les autres boutiques en ligne.

Comment ROASaurus gère le consentement et les signaux Consent Mode

ROASaurus ne définit pas les signaux Google Consent Mode de vos balises Google. Il lit le choix du visiteur depuis une source différente selon votre boutique en ligne :

• Sur Shopify, le script de la boutique et les pixels de checkout lisent la Customer Privacy API de Shopify, que votre bandeau de cookies renseigne. Le pixel de checkout suit aussi un choix que l’acheteur modifie pendant le checkout. Le guide du suivi côté serveur sur Shopify montre le fonctionnement pas à pas.
• Sur les autres boutiques en ligne, le script ROASaurus lit OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, les bandeaux IAB TCF, les commandes consent de Google Consent Mode et la WP Consent API. Avec Google Consent Mode, le consentement marketing signifie que ad_storage et ad_user_data sont accordés, et vous pouvez associer d’autres catégories pour chaque outil. Avec un autre bandeau, appelez tlq('consent', true) ou tlq('consent', false) quand le visiteur fait son choix.
• Les conversions Google Ads ne sont envoyées que depuis le checkout Shopify. ROASaurus y charge la balise Google uniquement pour les acheteurs qui autorisent les cookies marketing, mais n’envoie pas de signaux Consent Mode avec elle.
• Depuis le serveur, ROASaurus transmet le choix dans les champs de consentement propres à Google : les événements Google Analytics 4 portent ad_user_data et ad_personalization, accordés pour les visiteurs qui ont consenti et refusés pour les commandes envoyées comme ventes anonymes, et les envois de leads vers Google Ads portent le consentement ad_user_data.

Vos propres balises Google ont toujours besoin de Consent Mode. Si vous exécutez des balises Google Ads ou Google Analytics sur votre site, votre bandeau ou votre outil de consentement doit leur envoyer les signaux. Si vous faites de la publicité auprès de visiteurs de l’EEE, vérifiez auprès du fournisseur de votre outil de consentement ou de votre développeur que votre configuration complète, y compris les conversions Google Ads du checkout, répond aux exigences de Google pour votre compte.

Une liste de contrôle du consentement pour les boutiques en ligne

1. Installez un bandeau de cookies

   Il doit bloquer les cookies marketing, et les cookies d’analyse là où votre droit l’exige, jusqu’à ce que le visiteur accepte. Sur Shopify, utilisez un bandeau qui écrit dans la Customer Privacy API.

2. Reliez le bandeau à Consent Mode

   Définissez les quatre signaux sur « refusé » par défaut et mettez-les à jour depuis le bandeau, afin que vos balises Google suivent le choix du visiteur.

3. Réglez votre outil de suivi pour respecter le consentement

   Dans ROASaurus, gardez Respect visitor consent activé dans Store settings. Sur les boutiques en ligne autres que Shopify, vérifiez que ROASaurus lit votre outil de consentement, ou transmettez le choix avec tlq('consent', …).

4. Décidez des achats côté serveur

   Demandez à votre conseiller juridique si les commandes payées des visiteurs qui ont refusé peuvent être envoyées, et sur quelle base légale.

5. Mettez à jour votre politique de confidentialité et vos contrats

   Nommez chaque plateforme publicitaire qui reçoit des données, expliquez comment retirer son consentement et signez un accord de traitement des données avec chaque sous-traitant.

6. Testez les deux réponses

   Refusez les cookies dans une fenêtre de navigation privée et vérifiez dans les outils de développement qu’aucun pixel publicitaire ne se charge et qu’aucun cookie d’identifiant visiteur n’est défini. Acceptez ensuite, et vérifiez que les deux apparaissent.

Sources

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

Dans ROASaurus

• Aide : consentement et confidentialité
• Le suivi côté serveur dans ROASaurus
• Intégration Google Ads
• Intégration Shopify

À lire aussi