Consent Mode v2 : conformité RGPD et CNIL (2026)

Depuis le 15 juin 2026, le paramètre ad_storage de Consent Mode est devenu le seul juge de ce que Google Ads reçoit de votre site. Si votre bandeau cookies et votre configuration Google ne sont pas parfaitement synchronisés, vous perdez de la donnée de conversion — et vous vous exposez à un contrôle CNIL. Voici ce que Consent Mode v2 change réellement, ce que la CNIL en pense, et comment vérifier votre installation.

Consent Mode v2 : de quoi parle-t-on exactement

Consent Mode (ou « mode de consentement ») est un mécanisme technique de Google. Il sert de traducteur entre le choix que fait l’internaute sur votre bandeau cookies et le comportement des balises Google — Google Analytics 4, Google Ads, Floodlight, etc. Concrètement, votre plateforme de gestion du consentement (CMP) transmet à Google, via des signaux, l’état du consentement, et Google adapte la collecte en conséquence.

La version 2, obligatoire depuis le 6 mars 2024 pour tout annonceur diffusant vers l’Espace économique européen (EEE), le Royaume-Uni et la Suisse, ajoute deux signaux aux deux existants. Un annonceur qui utilise Google Ads, GA4 ou Google Marketing Platform pour un public européen sans Consent Mode v2 correctement implémenté perd l’accès à la publicité personnalisée et à une partie de la mesure : les listes de remarketing cessent de croître et la modélisation des conversions se dégrade.

Un point de vocabulaire important pour éviter les contresens juridiques : Consent Mode n’est pas un outil de recueil du consentement. Il ne remplace ni votre bandeau, ni votre CMP. C’est un outil de transmission du consentement déjà recueilli. Cette distinction est au cœur de l’analyse de conformité, comme nous le verrons.

Les 4 signaux de Consent Mode v2

Consent Mode v2 conserve les deux signaux historiques et en ajoute deux nouveaux, imposés par le Digital Markets Act (DMA) :

• analytics_storage — autorise ou non le stockage des cookies de mesure d’audience (Google Analytics 4).
• ad_storage — autorise ou non le stockage des cookies publicitaires (y compris _gcl_au), la lecture d’identifiants d’appareil et la transmission de données au niveau utilisateur vers Google Ads.
• ad_user_data — autorise ou non l’envoi de données personnelles à Google à des fins publicitaires (notamment pour le matching des Enhanced Conversions).
• ad_personalization — autorise ou non l’utilisation des données pour la personnalisation publicitaire, remarketing inclus.

Chaque signal prend la valeur granted (accordé) ou denied (refusé). Dans un contexte RGPD, la règle est simple et non négociable : les quatre signaux doivent être positionnés par défaut sur denied, et ne passer à granted qu’après une action positive de l’internaute. Une valeur par défaut granted avant toute interaction avec le bandeau constitue déjà, en soi, un manquement.

Une installation ancienne qui ne transmet que ad_storage et analytics_storage — c’est-à-dire restée en Consent Mode v1 — est aujourd’hui incomplète. C’est l’une des erreurs les plus fréquentes que je constate lors d’audits : la CMP a été posée en 2022 et personne n’a mis à jour les appels gtag('consent', …) depuis.

Basic vs Advanced : la vraie question de conformité

Consent Mode se décline en deux modes d’implémentation, et c’est là que se joue l’essentiel du débat juridique en France.

Le mode basic (de base)

En mode basic, les balises Google sont entièrement bloquées tant que l’internaute n’a pas donné son consentement. Elles ne se chargent qu’après acceptation. Si l’utilisateur refuse, aucune requête n’est envoyée à Google, aucun ping. C’est le comportement le plus proche d’un blocage classique par CMP.

Le mode advanced (avancé)

En mode advanced, les balises Google se chargent dès l’arrivée sur la page, mais en état « restreint ». Même lorsque le consentement est refusé, elles envoient à Google des pings sans cookies : des requêtes qui ne déposent ni ne lisent d’information sur le terminal, mais transmettent des données techniques (horodatage, user-agent, referrer, résolution, données de navigation agrégées). Ces pings alimentent la modélisation des conversions : Google estime statistiquement les conversions des utilisateurs non consentants à partir du comportement des utilisateurs consentants.

Le mode advanced est commercialement attractif — il limite la perte de mesure — mais c’est lui qui pose les vraies questions au regard de l’article 82 de la loi Informatique et Libertés.

La position de la CNIL

En France, le dépôt et la lecture de traceurs sont régis par l’article 82 de la loi n° 78-17 du 6 janvier 1978 (transposition de la directive ePrivacy 2002/58/CE), et non directement par le RGPD. Le RGPD intervient en amont pour définir ce qu’est un consentement valable : libre, spécifique, éclairé et univoque (art. 4(11) et art. 7 RGPD).

La CNIL a indiqué que le mode basic, tel que décrit dans la documentation technique accessible, ne semble pas soulever de difficulté particulière : sans consentement, rien ne part vers Google. Le mode advanced appelle plus de vigilance : dès lors que des données techniques sont transmises à Google même en l’absence de consentement, il faut s’assurer que ces pings n’impliquent aucun accès en lecture ou en écriture au terminal de l’internaute — sans quoi l’article 82 s’appliquerait et exigerait le consentement préalable. La transmission d’une donnée comme l’adresse IP, même sans cookie, mérite en outre une analyse au titre du RGPD.

Ma lecture, après vingt ans de pratique en droit des technologies : le mode advanced n’est pas illégal par nature, mais il déplace la charge de la preuve. Vous devez être en mesure de démontrer que, en état denied, aucune information n’est ni déposée ni lue sur le terminal, et documenter la nature exacte des données transmises dans les pings. En cas de doute, le mode basic offre une sécurité juridique supérieure, au prix d’une perte de mesure. C’est un arbitrage risque/performance qui doit être tracé, idéalement dans votre registre des activités de traitement.

Ce que le changement du 15 juin 2026 a modifié

Le 15 juin 2026, Google a restructuré la circulation de la donnée publicitaire entre Analytics et Google Ads. Trois évolutions sont à retenir.

1. ad_storage devient l’autorité unique. Auparavant, deux réglages contrôlaient conjointement le partage de données vers Google Ads : le paramètre Google Signals dans GA4, et ad_storage dans Consent Mode. Désormais, ad_storage est le seul levier. Google Signals est réduit à un usage purement analytique (associer des sessions à des utilisateurs connectés pour le reporting interne). Conséquence pratique : couper Google Signals ne protège plus rien côté publicitaire. Si votre documentation de conformité — voire votre DPA — reposait sur la désactivation de Google Signals comme mesure de protection, elle est à revoir d’urgence.

2. La personnalisation publicitaire se consolide. Google a annoncé que le signal ad_personalization de Consent Mode v2 deviendra le point de décision unique pour l’usage des données Analytics à des fins de personnalisation. La date précise n’est pas encore fixée, mais la direction est claire : votre CMP devient l’interface centrale entre le choix de l’utilisateur et l’ensemble de la stack Google.

3. L’adresse IP est chiffrée avant transmission. Les balises Analytics continuent de collecter l’adresse IP, mais Google la chiffre avant de la transmettre aux comptes Ads liés. C’est une amélioration côté protection des données, sans pour autant vider la question du consentement de sa substance.

Le résultat concret est un choix devenu binaire : soit ad_storage est accordé et Google exploite tous les signaux disponibles (y compris le rattachement à un compte Google connecté), soit il est refusé et Google ne dispose plus que des paramètres d’URL, comme le gclid. Sur des marchés à fort taux de refus comme la France, cette bascule pénalise mécaniquement les petits comptes, dont le volume de sessions consenties peut passer sous le seuil nécessaire à une modélisation fiable.

Consent Mode n’exonère pas d’un bandeau conforme

C’est le message que je veux marteler, parce qu’il est à l’origine de la majorité des non-conformités que je rencontre : installer Consent Mode v2 ne rend pas votre site conforme. Google fournit un tuyau ; c’est à vous de garantir que ce qui entre dans le tuyau — le consentement — a été recueilli dans les règles.

Un bandeau conforme, au sens de la CNIL, suppose notamment :

• un choix aussi simple pour refuser que pour accepter (un bouton « Tout refuser » au même niveau que « Tout accepter ») ;
• l’absence de dépôt de traceurs non essentiels avant le choix de l’internaute ;
• une information claire sur les finalités avant le recueil ;
• la possibilité de retirer son consentement aussi facilement qu’il a été donné (art. 7(3) RGPD) ;
• la preuve du consentement conservée et horodatée (art. 7(1) RGPD).

Ces exigences découlent des lignes directrices (délibération n° 2020-091 du 17 septembre 2020) et de la recommandation « cookies et autres traceurs » (délibération n° 2020-092 du 17 septembre 2020) de la CNIL. Consent Mode v2 est l’aval technique de cette chaîne ; le bandeau et la CMP en sont l’amont. Si l’amont est défaillant, aucun réglage Google ne vous sauvera lors d’un contrôle.

La CNIL a d’ailleurs annoncé une vague de vérifications de sites français à compter de la mi-2026, en s’appuyant précisément sur l’articulation entre bandeau, CMP et signaux transmis à Google. Pour rappel, les sanctions en matière de cookies ne sont pas théoriques : la CNIL a infligé 150 millions d’euros à Google et 60 millions à Facebook fin 2021 sur le fondement de l’article 82, pour des mécanismes de refus rendus plus difficiles que l’acceptation.

Checklist : auditer votre configuration Consent Mode v2

Voici la procédure que j’applique en audit. Elle se fait en navigation privée, avec l’outil Google Tag Assistant ou le mode Aperçu de Google Tag Manager.

1. État par défaut sur visite « froide ». Ouvrez le site sans toucher au bandeau. Pour le trafic soumis au RGPD (EEE, Royaume-Uni, Suisse), ad_storage et analytics_storage doivent être sur denied avant tout déclenchement de balise. Un granted par défaut est un manquement à corriger immédiatement.

2. Présence des quatre signaux. Vérifiez que les appels par défaut et de mise à jour incluent bien ad_storage, analytics_storage, ad_user_data et ad_personalization. Les intégrations anciennes n’en transmettent souvent que deux.

3. Couverture de toutes les pages. Le signal doit se charger avant les balises sur chaque type de page. Les pages de confirmation de commande, les sous-domaines et les applications monopage (SPA) sont les oublis les plus fréquents — et ceux qui créent des chutes de conversions inexpliquées.

4. Test de l’appel de mise à jour. Après acceptation, l’appel gtag('consent', 'update', …) doit se déclencher avant que les balises Ads ne partent. La « race condition » classique : GTM a déjà envoyé les balises sous l’état par défaut avant que le callback de la CMP n’arrive. Testez aussi les visites de retour, où le choix stocké doit être relu correctement.

5. Liaison GA4 ↔ Google Ads. Le nouveau modèle d’autorité unique ne s’applique qu’aux propriétés liées. Vérifiez le lien dans GA4 (Admin > Liens Google Ads) et l’activation du balisage automatique (le gclid est le seul signal restant en état denied).

6. Diagnostic et preuve. Utilisez le hub de consentement de GA4 (Admin > Consentement > Diagnostics des balises) pour repérer les signaux manquants. Attention : ces outils accusent 48 à 72 heures de latence. Documentez le résultat de l’audit : en cas de contrôle, c’est votre traçabilité qui fera la différence.

Ce travail de vérification technico-juridique — s’assurer que le consentement réellement recueilli correspond aux signaux transmis, et le documenter — est exactement le type de contrôle continu que les équipes conformité peinent à tenir dans la durée. C’est ce que Legiscope aide à structurer et à piloter côté gouvernance RGPD.

Ce qu’il faut retenir

• Consent Mode v2 est obligatoire depuis le 6 mars 2024 pour tout annonceur ciblant l’EEE, le Royaume-Uni ou la Suisse via Google Ads, GA4 ou Google Marketing Platform. Il transmet quatre signaux : ad_storage, analytics_storage, ad_user_data, ad_personalization.
• Ce n’est pas un outil de recueil du consentement. Il transmet un consentement qui doit avoir été obtenu, en amont, via un bandeau et une CMP conformes à l’article 82 de la loi Informatique et Libertés et aux recommandations CNIL de 2020.
• En RGPD, les quatre signaux se positionnent par défaut sur denied et ne passent à granted qu’après action positive de l’internaute.
• Le mode basic offre la meilleure sécurité juridique ; le mode advanced est exploitable mais suppose de démontrer qu’aucun accès au terminal n’a lieu en état refusé et de documenter les données transmises.
• Depuis le 15 juin 2026, ad_storage est l’autorité unique sur la donnée publicitaire : couper Google Signals ne protège plus rien côté Ads.

FAQ

Consent Mode v2 est-il obligatoire en France ?

Oui, pour tout annonceur qui utilise Google Ads, Google Analytics 4 ou Google Marketing Platform en ciblant l’EEE (dont la France), depuis le 6 mars 2024. Sans lui, la publicité personnalisée et une partie de la mesure de conversion cessent de fonctionner. Attention : l’obligation vient de Google, mais elle ne dispense en rien des obligations légales de recueil du consentement au titre de l’article 82 de la loi Informatique et Libertés.

Consent Mode remplace-t-il mon bandeau cookies ?

Non, et c’est une confusion fréquente. Consent Mode transmet à Google le consentement déjà recueilli par votre bandeau et votre CMP. Si votre bandeau n’est pas conforme (bouton de refus absent ou moins accessible, traceurs déposés avant le choix, information insuffisante), Consent Mode ne corrige rien. La conformité se joue d’abord sur le bandeau et la CMP.

Le mode advanced est-il conforme au RGPD ?

Il n’est pas illégal par nature, mais il exige des précautions. En état de refus, le mode advanced envoie des pings sans cookies contenant des données techniques. Il faut pouvoir démontrer qu’aucune information n’est déposée ni lue sur le terminal (article 82) et documenter la nature des données transmises. En cas de doute, le mode basic est plus sûr. La CNIL considère que le mode basic ne pose pas de difficulté particulière.

Qu’est-ce qui a changé le 15 juin 2026 ?

Le paramètre ad_storage est devenu le seul contrôle de la donnée publicitaire transmise à Google Ads pour les propriétés GA4 liées. Le réglage Google Signals, jusque-là utilisé par certaines organisations pour limiter le partage de données, ne joue plus ce rôle : il est réduit à un usage analytique interne. Les organisations qui s’appuyaient sur Google Signals comme mesure de protection doivent revoir leur configuration ad_storage.

Que se passe-t-il si un internaute refuse les cookies ?

En mode basic, aucune balise Google ne se charge. En mode advanced, seuls des pings sans cookies partent, et Google modélise statistiquement les conversions manquantes à partir des sessions consenties. Dans les deux cas, avec ad_storage sur denied, Google ne dispose plus que des paramètres d’URL comme le gclid. Sur un marché à fort taux de refus comme la France, cela réduit sensiblement la fiabilité de la mesure pour les petits comptes.