Attrilab

ESSAYEZ GRATUITEMENT

Faut-il implémenter le Google Consent Mode V2 de toute urgence ?

Via le Digital Marketing Act (DMA), l’Union Européenne va contraindre, en mars prochain, six grandes « gatekeepers »du secteur numérique – Google, Meta, Tiktok, Apple, Amazon et Microsoft – à obtenir le consentement des internautes pour la collecte de données à des fins publicitaires, entre autres.

Pour se conformer au calendrier du DMA, Google met en place le Consent Mode v2 et demande aux utilisateurs de signaler d’ici le 6 mars que les données transmises ont été recueillies avec le consentement des visiteurs de leur site. Le retard dans cette démarche pourrait entraîner l’interruption de certaines fonctionnalités au sein de Google Ads, telles que la création d’audiences ou le reciblage.

Le Google Consent Mode V2 a 2 rôles distincts pour Google :

  • Aider à la mise en conformité du DMA,
  • Activer la modélisation des conversions liée au refus de consentement dans Google Ads (donc augmenter les conversions dans les rapports Google Ads), donc améliorer la performance des campagnes, mais au détriment de la compréhension du modèle de calcul du ROAS
 

Google présente donc deux versions du Google Consent Mode v2 :

  • Le Consent Mode V2 basique, qui nécessite le partage de données avec Google Ads uniquement après avoir obtenu le consentement des internautes. L’implémentation de cette version implique simplement l’ajout d’une information dans les tags Google Ads pour confirmer le consentement.
  • Le Consent Mode V2 avancé, similaire (identique?) au Consent Mode V1, qui collecte des données avec et sans consentement, sans utiliser de cookies, et les exploite à diverses fins.
 

Google Consent Mode v2 Basique vs Avancé

  • Le Consent Mode Basique présente l’avantage de ne collecter aucune donnée sans le consentement préalable, au détriment de la précision des données.
  • Le Consent Mode Avancé est plus précis, mais très incertain juridiquement.
 
Malgré le nom, le Consent Mode V2 avancé n’apporte rien de plus par rapport aux exigences du DMA. Le DMA n’impose pas la collecte de données sans consentement (au contraire!), ce qui soulève des questions sur la réintroduction par Google de ce mode avancé au moment de l’application d’une des obligations du DMA.
 
Le Consent Mode v1 a n’a été que peu mis en place. Les principales préoccupations soulevées par les DPO tournent autour du partage de données personnelles sans consentement, telles que l’adresse IP, l’identifiant de transaction et l’ID CRM, l’utilisation de traceurs pour suivre le parcours de l’internaute, le transfert de données aux États-Unis, et le rôle de responsable de traitement de Google Ads, permettant à Google d’exploiter ces données à ses propres fins.
 
Tous ces problèmes demeurent d’actualité avec le Consent Mode v2 Avancé, malgré quelques garanties supplémentaires. On voit par exemple dans la documentation de Google que le GCLID est transmis même si pas de consentement utilisateur.
google-consent-mode-v2-description

Pour rappel, la CNIL ne parle pas de cookies mais de traceurs, terme bien plus large qui regroupe n’importe quel identifiant pouvant permettre de remonter à l’utilisateur (et le GCLID en fait partie)

En résumé :

L’Union Européenne exige des « gatekeepers » qu’ils garantissent l’obtention du consentement des internautes pour la collecte de données publicitaires. En parallèle, Google propose la mise en place du Consent Mode v2, qui comprend le mode avancé, qui ne répond pas à cette obligation.

Opter pour le mode avancé signifie désormais envoyer des données à Google (Google Ads & GA4) – y compris des données permettant de le reconnaître – sans consentement de l’utilisateur.

L’esprit du DMA et de son objectif de renforcer les obligations des grandes entreprises du secteur numérique n’est clairement pas là. Même si le Consent Mode avancé n’est pas dénué d’utilité, l’association de ce mode avec le calendrier du DMA et sa date limite en mars peut prêter à confusion (à dessein ?).

Et étonnament, Google dans sa documentation vous incite fortement à faire valider au préalable le concept par votre service juridique (« and confirm on any necessary additional approvals ») :

google-consent-mode-v2