Consent Mode v2 et bandeau cookies : la checklist d'une PME

Le Consent Mode v2 transmet aux balises Google le choix exprimé dans votre bandeau cookies, avec deux paramètres ajoutés en novembre 2023 : ad_user_data et ad_personalization. Il ne remplace pas le bandeau. Selon la CNIL, refuser doit rester aussi simple qu’accepter, et en cas de refus, aucune opération de lecture ou d’écriture soumise au consentement ne peut légalement avoir lieu.

Cet article ne constitue pas un avis juridique. Pour votre cas, voyez votre DPO ou votre conseil.

Ce que dit la CNIL sur les bandeaux cookies

La CNIL a publié le 16 janvier 2026 une version consolidée de sa recommandation sur les cookies et autres traceurs. Les points qui concernent directement un bandeau :

• Un acte positif clair. Le consentement se manifeste par une action de l’utilisateur. Toute inaction, ou toute action autre qu’un acte positif de consentement, doit être interprétée comme un refus.
• Un refus aussi simple que l’accord. La CNIL recommande fortement que le refus soit accessible sur le même écran et avec la même facilité que l’acceptation. Elle cite comme moyen simple et clair deux boutons au même niveau et au même format, par exemple « tout accepter » et « tout refuser ».
• Pas de design trompeur. Boutons et police de même taille, même facilité de lecture, même mise en évidence.
• Le choix par finalité peut être proposé, par exemple via un bouton « personnaliser mes choix » placé au même niveau.
• La conservation du choix. La CNIL considère, de manière générale, que conserver le consentement comme le refus pendant 6 mois constitue une bonne pratique.
• Le retrait à tout moment. Il doit être aussi simple de retirer son consentement que de le donner, par exemple via un lien ou une icône « gérer mes cookies » accessible sur tout le site.

Ce qu’est le Consent Mode v2

Le Consent Mode est une API de Google : vos balises reçoivent l’état du consentement et ajustent leur comportement. Google indique qu’il ne conserve pas lui-même les choix : c’est votre solution de consentement qui les enregistre et les renvoie à chaque page.

Les quatre paramètres principaux, d’après l’aide Google Ads :

Paramètre	Ce qu’il contrôle
ad_storage	le stockage (comme les cookies) lié à la publicité
analytics_storage	le stockage lié à l’analyse, par exemple la durée des visites
ad_user_data	l’envoi à Google de données utilisateur liées à la publicité
ad_personalization	la publicité personnalisée

Côté code, la documentation Google demande de définir un état par défaut avant toute commande de mesure, puis de le mettre à jour quand l’utilisateur fait son choix :

gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});

Google précise que ces valeurs sont un exemple et qu’il revient à chaque site de les fixer selon sa politique.

Mode de base et mode avancé

Google propose deux implémentations. Voici ce que chacune fait, d’après l’aide Google Ads.

Mode de base : balises bloquées avant le choix

Les balises Google ne se chargent pas tant que l’utilisateur n’a pas interagi avec le bandeau. Rien n’est envoyé à Google avant ce moment, pas même l’état du consentement. Si l’utilisateur accepte, les balises se chargent et transmettent l’état par défaut puis l’état modifié. S’il refuse, aucune donnée n’est transmise. Pour la modélisation des conversions, Google Ads s’appuie alors sur un modèle général.

Mode avancé : pings sans cookies tant que le consentement est refusé

Les balises Google se chargent dès l’arrivée sur le site. Le consentement est refusé par défaut, sauf configuration contraire. Tant qu’il est refusé, les balises envoient l’état du consentement et des pings sans cookies. Quand l’utilisateur accepte, des cookies sont posés et toutes les données de mesure sont transmises. Google indique que cette implémentation permet un modèle de conversions propre à l’annonceur, plus détaillé que le modèle général du mode de base.

D’après Google, un ping sans cookie envoyé à Google Analytics ne lit ni n’écrit de cookie, mais les communications HTTP standard du navigateur peuvent inclure l’user-agent, la résolution d’écran et l’adresse IP.

Ma recommandation : le mode avancé

Je recommande le mode avancé, pour une raison technique : tant que le consentement est refusé, il permet à Google de recevoir des pings sans cookies, et donc de construire un modèle de conversions propre à votre compte, plutôt que le modèle général utilisé avec le mode de base (documentation Google).

Ce choix ne change rien aux obligations du bandeau. Le mode avancé ne dispense pas du consentement : les cookies publicitaires et d’analyse ne sont posés qu’après l’accord de l’utilisateur, et le refus doit rester aussi simple que l’accord. La CNIL ne s’est pas prononcée sur le mode avancé dans les documents que j’ai consultés, et ce choix n’est pas validé par elle. Faites-le valider par votre DPO ou votre conseil juridique avant la mise en place.

Ce que le refus change pour Google Ads

D’après l’aide Google Ads :

• ad_personalization refusé : la publicité personnalisée est désactivée, et le remarketing dans Google Ads ne reçoit plus de données.
• ad_user_data refusé : l’usage de données personnelles pour la publicité est désactivé ; les pings de conversion partent en pings sans cookie, et l’export vers Google Ads des conversions liées à un identifiant de clic est limité.
• ad_storage refusé : aucun cookie publicitaire n’est écrit ni lu, et les adresses IP sont tronquées par les produits Google Ads.

Une partie des conversions n’est donc plus observée directement. Google peut en modéliser une partie, selon le mode choisi. Je ne donne pas de proportion : elle dépend de chaque site et de son taux de consentement.

Pourquoi Google Ads, GA4 et le CRM ne montrent pas les mêmes conversions

Plusieurs causes s’additionnent : les refus de consentement, les modèles d’attribution différents d’un outil à l’autre, les délais de remontée et les conversions modélisées. Un écart n’est donc pas forcément une panne. Il devient un problème quand on ne sait plus l’expliquer.

Un audit du tracking et du Consent Mode part de là : ce que chaque outil compte, et pourquoi. Pour aller jusqu’aux ventes, il faut rapprocher conversions et CRM. Et c’est cette mesure qui alimente les enchères automatiques et conversions de Google Ads.

Et la mesure d’audience exemptée ?

La CNIL admet que certains traceurs de mesure d’audience soient exemptés de consentement, sous conditions. Elle recommande notamment d’informer les utilisateurs, de limiter la durée de vie des traceurs (elle cite treize mois) et de conserver les informations collectées vingt-cinq mois au maximum.

Elle publie un guide de configuration de Matomo Analytics en mode exempté. Il demande notamment d’anonymiser les adresses IP, de ne pas utiliser de cookies tiers ni le suivi inter-domaines, de ne pas mesurer d’identifiant utilisateur ni le e-commerce, et de désactiver cartes de chaleur et enregistrements de session.

Limite à connaître : une mesure d’audience exemptée sert à mesurer la fréquentation. Elle ne nourrit ni la publicité ni le suivi des conversions dans Google Ads, qui passent par les balises Google et le consentement.

Checklist en 8 points

1. Le bandeau propose « tout refuser » au même niveau et au même format que « tout accepter ».
2. Aucun traceur soumis au consentement n’est déposé avant le choix.
3. Le choix est conservé, et renouvelé à intervalle approprié (6 mois en général selon la CNIL).
4. Un lien ou une icône permet de retirer son consentement à tout moment.
5. Le Consent Mode v2 est actif, avec les quatre paramètres, y compris ad_user_data et ad_personalization.
6. L’état par défaut est défini avant toute commande de mesure, et mis à jour sur la page où l’utilisateur fait son choix.
7. Le mode retenu (de base ou avancé) est documenté et validé avec votre DPO ou votre conseil.
8. L’état du consentement est vérifié dans l’onglet « Diagnostics sur les conversions » de Google Ads.

Sources (consultées le 22/10/2026)

• CNIL, recommandation « cookies et autres traceurs », version consolidée publiée le 16/01/2026 (PDF) : https://www.cnil.fr/sites/default/files/2026-01/recommandation_cookies_consolidee.pdf
• CNIL, guide de configuration Matomo Analytics en mode exempté (PDF) : https://www.cnil.fr/sites/cnil/files/atoms/files/matomo_analytics_-_exemption_-_guide_de_configuration.pdf
• CNIL, « Cookies et traceurs : comment mettre mon site web en conformité ? » : https://cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/comment-mettre-mon-site-web-en-conformite (en maintenance le 22/10/2026, non utilisée)
• CNIL, « Bannières cookies trompeuses : mises en demeure » : https://www.cnil.fr/fr/bannieres-cookies-trompeuses-la-cnil-met-en-demeure-des-editeurs-de-sites-web (en maintenance le 22/10/2026, non utilisée)
• Google for Developers, « Set up consent mode on websites » (mise à jour du 13/10/2026) : https://developers.google.com/tag-platform/security/guides/consent
• Aide Google Ads, « Configurer le mode Consentement » : https://support.google.com/google-ads/answer/14009635?hl=fr
• Aide Google Ads, « À propos du mode Consentement » : https://support.google.com/google-ads/answer/13802165?hl=fr
• Aide Google Ads, « Modifications apportées au mode Consentement pour le trafic dans l’EEE » : https://support.google.com/google-ads/answer/13695607?hl=fr