Tracking et RGPD : consentement, Consent Mode et conformité
Le « cookieless » n'aura pas lieu dans les termes annoncés. Le vrai sujet de 2026, c'est le consentement — comment le recueillir proprement, le brancher à votre mesure, et l'étendre jusqu'aux pixels email.
Article mis à jour en juillet 2026
Pendant des années, le récit de la mesure marketing a tourné autour d'une échéance : la disparition des cookies tiers dans Chrome. Ce récit est caduc. En avril 2025, Google a renoncé à les supprimer ; en octobre 2025, le Privacy Sandbox a été retiré.
Le vrai sujet de 2026 n'est donc pas la technique de remplacement des cookies : c'est le consentement. Sa conformité au RGPD et aux exigences de la CNIL est devenue la condition première d'une mesure à la fois légale et exploitable.
Pourquoi le consentement est LE sujet de 2026 (et pas le cookieless)
L'abandon de la Privacy Sandbox a un effet contre-intuitif : il replace le consentement au centre.
Puisque les cookies tiers survivent dans Chrome, la ligne de partage entre ce qui est autorisé et ce qui ne l'est pas ne passe plus par une contrainte technique du navigateur, mais par le cadre juridique — l'accord de l'internaute.
La CNIL a durci sa doctrine
Un bandeau approximatif ne suffit plus, et les contrôles se multiplient sur les sites qui déposent des cookies publicitaires avant tout choix de l'utilisateur.
Google exige un signal
L'usage des services publicitaires Google dans l'EEE est conditionné à la transmission d'un signal de consentement. Votre conformité devient une condition de fonctionnement.
La séquence logique
Sécuriser d'abord le recueil du consentement, puis fiabiliser la mesure autour de lui — plutôt qu'investir contre une hypothétique fin des cookies.
Les 4 exigences d'une CMP conforme
Une plateforme de gestion du consentement (CMP) affiche le bandeau et mémorise les choix. Pour être conforme aux attentes de la CNIL, elle doit respecter quatre exigences cumulatives.
Un consentement libre : l'utilisateur doit pouvoir refuser sans subir de dégradation de service ni de pression. Un consentement spécifique et éclairé : il se donne par finalité — mesure d'audience, publicité personnalisée, réseaux sociaux — et non en bloc. Un refus aussi simple que l'acceptation : s'il existe un « Tout accepter » au premier niveau, un bouton de refus équivalent doit exister au même niveau. Un consentement traçable et révocable : vous devez pouvoir prouver le consentement (horodatage, périmètre, version) et l'utilisateur revenir sur son choix à tout moment.
Ces quatre exigences se vérifient d'abord dans le paramétrage de la CMP, pas dans le choix de l'éditeur. Une CMP réputée mais mal configurée reste non conforme.
Consent Mode v2 : ce que c'est, v1 contre v2
Consent Mode est le mécanisme par lequel vos outils Google adaptent leur comportement selon le choix de l'internaute : votre CMP transmet l'état du consentement, et les balises Google (Ads, GA4) ajustent ce qu'elles collectent. Depuis mars 2024, Consent Mode v2 est requis pour continuer à utiliser les services publicitaires de Google auprès des internautes de l'EEE.
| Signal | Rôle | Version |
|---|---|---|
ad_storage | Autorisation de stockage lié à la publicité (cookies publicitaires) | v1 |
analytics_storage | Autorisation de stockage lié à la mesure d'audience | v1 |
ad_user_data | Autorisation d'envoyer des données utilisateur à Google à des fins publicitaires | v2 |
ad_personalization | Autorisation d'utiliser ces données pour de la publicité personnalisée (remarketing) | v2 |
Chaque signal vaut granted ou denied, et la valeur reflète directement le choix exprimé dans la CMP. Le rôle de votre implémentation : garantir que ces quatre signaux partent bien vers Google, dans le bon état, à chaque page — ni plus permissifs que le choix réel, ni bloquants au point de perdre toute mesure.
Basic contre Advanced : deux façons de brancher le consentement
Consent Mode se décline en deux modes d'implémentation, dont le choix a des conséquences directes sur le volume de données mesurables.
Mode Basic
Les balises Google ne se chargent pas tant que le consentement n'est pas accordé. Aucun ping avant le choix. Le plus prudent, mais le plus coûteux en données : tout refus est une perte sèche.
Mode Advanced
Les balises se chargent dès le départ mais, sans consentement, n'envoient que des pings anonymes et sans cookie. Ces signaux dépersonnalisés servent de matière première à la modélisation.
Le mode Advanced offre une mesure plus riche, mais exige que les pings anonymes soient réellement dépourvus d'identifiant et de cookie pour rester conformes. Un arbitrage à poser explicitement, en cohérence avec votre politique de confidentialité — pas un réglage par défaut.
La modélisation des conversions : récupérer la donnée manquante
Lorsqu'un internaute refuse le dépôt de cookies, ses conversions ne sont plus observables directement. La modélisation des conversions est la réponse de Google : à partir des signaux anonymes remontés par Consent Mode (en mode Advanced) et de ses propres données, Google estime statistiquement les conversions non observées et les réintègre dans vos rapports.
Cette modélisation n'invente pas de données au hasard : elle s'appuie sur des corrélations mesurées entre trafic consenti et trafic refusé pour combler les écarts. Elle explique pourquoi un compte correctement configuré affiche souvent plus de conversions que le tracking « brut » n'aurait pu observer — la part refusée est reconstruite, pas perdue.
Le paradoxe apparent de 2026 : plus le consentement est rigoureusement recueilli, mieux la modélisation fonctionne, et plus votre mesure reste fiable dans la durée. À l'inverse, une collecte qui triche sur le consentement fragilise à la fois la conformité et la qualité de la modélisation.
Note de terrain — cas client (anonymisé)
Audit d'un site dont le bandeau affichait un « Tout accepter » proéminent et un refus relégué derrière deux clics de « préférences » — et dont plusieurs balises publicitaires partaient avant tout choix, visibles uniquement dans les requêtes réseau. Double problème : risque CNIL et donnée juridiquement fragile.
Après remise à plat du bandeau (symétrie refus/acceptation), blocage strict des balises avant consentement et passage en Consent Mode v2 Advanced, la conformité a été rétablie et la mesure s'est améliorée : la modélisation a reconstruit une partie des conversions auparavant perdues. La leçon : conformité et performance ne s'opposent pas — un consentement propre nourrit une meilleure mesure.
Les erreurs fréquentes qui rendent le tracking non conforme
- Les balises qui se déclenchent avant le consentement. La faute la plus lourde. Un pixel, une balise GA4 ou un script tiers exécuté au chargement dépose des traceurs sans base légale. Souvent invisible à l'œil nu : une balise mal séquencée dans GTM passe inaperçue tant qu'on n'inspecte pas le réseau. Pour l'installation pas à pas, voir notre guide sur l'installation et configuration de Google Tag Manager.
- Le bandeau non conforme. Sans bouton de refus au premier niveau, refus caché derrière un menu, cases pré-cochées, ou consentement global qui ne distingue pas les finalités. Le test simple : le refus doit être aussi rapide et visible que l'acceptation.
- Les dark patterns. « Accepter » vert et proéminent face à un « Refuser » gris et minuscule, formulations culpabilisantes, réapparition insistante du bandeau. Un consentement arraché par la manipulation n'est pas un consentement.
S'ajoute une erreur d'architecture : croire que déplacer la collecte côté serveur dispense du consentement. La base légale s'apprécie sur la finalité du traitement, pas sur l'endroit où la donnée transite. Ce sujet est traité dans notre article sur le tracking server-side. La localisation effective des données, elle, se décide au niveau de l'infrastructure : nous détaillons cet arbitrage dans notre comparatif des options d'hébergement du conteneur serveur.
Le cas de la mesure d'audience exemptée
Toute mesure ne requiert pas systématiquement un consentement. La CNIL prévoit une exemption pour la mesure d'audience, à des conditions strictes : finalité limitée à la seule statistique anonyme du site, absence de recoupement avec d'autres traitements, pas de suivi inter-sites, et données non transmises à des tiers. Certaines solutions, comme Matomo correctement configuré, entrent dans ce périmètre et peuvent mesurer l'audience sans bandeau de consentement.
Google Analytics, à l'inverse, ne bénéficie pas de cette exemption : son utilisation reste conditionnée au consentement, car les données remontées à Google sortent du périmètre strictement anonyme et local exigé par la CNIL. Les conditions exactes de l'exemption et la comparaison des outils sont détaillées dans notre analyse consacrée à l'analytics souverain, GA4 et Matomo.
Le cas des pixels de tracking dans les emails
Le cadre du consentement ne s'arrête pas à la navigation web : il encadre aussi les pixels de tracking dans les emails. Un pixel de tracking est une image invisible, souvent large d'un seul pixel, insérée dans le corps d'un email marketing. Son chargement, déclenché à l'ouverture, permet de savoir si l'email a été lu, sa date et son heure d'ouverture, et parfois d'identifier le terminal. Techniquement, il fonctionne exactement comme un traceur web classique — simplement chargé depuis un serveur distant plutôt que déposé dans un navigateur.
Le cadre juridique est le même que celui des cookies : RGPD et directive ePrivacy soumettent le dépôt ou la lecture de toute information sur le terminal à un consentement préalable, sauf exception stricte. Les lignes directrices de la CNIL assimilent les pixels email aux cookies : même exigence de recueil du consentement, même information du destinataire, même droit d'opposition à garantir.
Concrètement, un annonceur qui souhaite mesurer l'ouverture de ses emails doit : donner une information claire sur l'existence et la finalité du pixel, recueillir un consentement explicite, préalable, éclairé et univoque avant tout suivi — le plus souvent à l'inscription, via une case à cocher dédiée et non pré-cochée — et garantir un droit d'opposition simple et permanent, aussi accessible que le lien de désinscription et rappelé à chaque envoi.
En pratique, cette exigence reste rarement respectée : la majorité des plateformes d'emailing activent le pixel d'ouverture par défaut, sans information ni recueil du consentement dédié — une zone grise qui expose à un contrôle CNIL au même titre qu'une CMP mal paramétrée. Une conformité complète suppose d'auditer aussi bien les traceurs de vos sites que les pixels de vos campagnes.
Checklist de mise en conformité de votre tracking marketing
Votre dispositif est-il conforme ?
Cochez chaque action réalisée pour transformer les principes en conformité vérifiable.
FAQ sur le tracking et le RGPD
Le « cookieless » rend-il le consentement obsolète ?
C'est l'inverse. Puisque les cookies tiers survivent dans Chrome (Google y a renoncé en avril 2025), la ligne de partage passe désormais par le consentement, pas par une contrainte technique du navigateur.
Consent Mode v1 suffit-il encore ?
Non. Depuis mars 2024, Consent Mode v2 est requis dans l'EEE : il ajoute ad_user_data et ad_personalization aux deux signaux v1. Sans eux, les services publicitaires Google ne restent pas exploitables.
Basic ou Advanced : lequel choisir ?
Advanced offre une mesure plus riche (pings anonymes → modélisation) à volume de refus égal, mais exige que ces pings soient réellement sans identifiant ni cookie. Un arbitrage à poser explicitement selon votre politique de confidentialité.
Peut-on mesurer l'audience sans bandeau ?
Oui, sous l'exemption CNIL : statistique anonyme, pas de recoupement, pas de suivi inter-sites, pas de transmission à des tiers. Matomo correctement configuré y entre ; Google Analytics non.
Les pixels dans les emails sont-ils concernés ?
Oui. La CNIL les assimile aux cookies : information du destinataire, consentement préalable et droit d'opposition simple à chaque envoi. La plupart des plateformes les activent par défaut — une zone grise à auditer.
Un tracking conforme, sans sacrifier la donnée
CMP, Consent Mode v2, séquencement des balises, audit web et email : nous articulons conformité RGPD et qualité de la mesure, de bout en bout.
Sécuriser ma conformité tracking