Utiliser Google Tag Manager de façon conforme au RGPD

Google Tag Manager (googletagmanager.com) ne charge pas lui-même de traceurs, il les gère. Le véritable enjeu de protection des données, ce sont les balises qu'il diffuse.

L'erreur la plus fréquente avec Tag Manager est de supposer qu'un outil de consentement bloqué dans le conteneur suffit. Tant que le snippet du conteneur se trouve dans le <head>, une connexion vers googletagmanager.com est établie au chargement de la page et l'adresse IP est transmise à Google, avant qu'aucune balise ne se déclenche. Pour le conteneur lui-même, cela ne peut être évité qu'en le chargeant après le consentement ou en le servant côté serveur.

Google Consent Mode v2 est pratiquement obligatoire depuis mars 2024 pour les fonctions publicitaires dans l'EEE si des données de conversion doivent affluer vers Google Ads. Mais il ne remplace pas un outil de consentement : Consent Mode adapte seulement le comportement des balises Google à l'état de consentement — l'état lui-même doit être recueilli par un bandeau qui satisfait aux exigences d'un consentement.

Avec le marquage côté serveur, l'exécution des balises migre vers un point de terminaison propre (souvent un sous-domaine). Cela améliore le temps de chargement et le contrôle des données, mais ne déplace pas l'obligation de consentement : les balises déclenchées côté serveur qui accèdent à des identifiants définis côté client nécessitent aussi un consentement préalable.

Est-ce un risque ?

Si le Tag Manager charge des balises soumises à consentement (Analytics, Ads, pixel) avant ou malgré un refus, il n'y a pas de base légale pour celles-ci selon § 25 al. 1 TDDDG. L'appel du conteneur transmet déjà l'IP à Google (États-Unis).

Ce que vous pouvez faire

• Utiliser le mode Consentement ou une condition de déclenchement pour que les balises ne se déclenchent qu'après consentement.
• Affecter chaque balise du conteneur à une catégorie et la vérifier par rapport au statut de consentement.
• Envisager le marquage côté serveur, mais reprendre la logique de consentement de façon cohérente.
• Après la configuration, vérifier dans l'onglet « Réseau » ce qui se charge avant le premier clic.

Questions fréquentes

Google Tag Manager lui-même requiert-il un consentement ?

L'appel du conteneur ne charge pas de traqueurs, mais transmet l'adresse IP à Google (États-Unis) au chargement de la page. Strictement parlant, c'est déjà un accès sans nécessité technique — de manière conservatrice, le conteneur n'est donc chargé qu'après le consentement.

Consent Mode v2 suffit-il à la place d'un bandeau cookies ?

Non. Consent Mode contrôle uniquement la manière dont les balises Google réagissent à l'état de consentement. L'état doit être recueilli par un outil de consentement distinct qui offre un choix réel entre acceptation et refus.

Comment m'assurer que les balises ne se déclenchent qu'après le consentement ?

Donnez à chaque balise du conteneur une exception de déclencheur ou une condition de consentement qui vérifie l'état de consentement de la catégorie concernée. Vérifiez ensuite en mode aperçu et dans l'onglet Réseau ce qui se charge avant le premier clic.

Le marquage côté serveur aide-t-il pour le consentement ?

Il améliore les performances et le contrôle des données, mais ne remplace pas le consentement. Les balises côté serveur qui traitent des données personnelles nécessitent la même base juridique que celles côté client.

Comment consentglass aide

L'analyse gratuite vérifie le HTML livré et montre quels services sont intégrés, si une bannière cookies est détectée et si les liens vers la confidentialité et les mentions légales sont présents — avec un éclairage pour chaque constat. Elle ne remplace pas un conseil juridique.