Depuis mars 2024, tout annonceur qui utilise les solutions Google auprès d’utilisateurs de l’Espace économique européen (EEE) doit recueillir le consentement et transmettre les signaux de consentement à Google via le Consent Mode v2, sous peine de perdre la mesure des conversions, la personnalisation des annonces et le remarketing sur ces audiences. Reste une question rarement tranchée : mode basic ou mode advanced ?
Le choix engage à la fois votre conformité RGPD et la performance de vos campagnes Google Ads. Et la réponse honnête à « que dit la CNIL ? » est déjà une information : à notre connaissance, au 2 octobre 2026, elle n’a publié aucune position officielle sur le Consent Mode. Ce que l’on sait passe par des échanges informels rapportés par des juristes et par le cadre légal général.
Cet article reste descriptif et ne remplace pas un conseil juridique adapté à votre situation.
Qu’est-ce que le Consent Mode v2 et pourquoi est-il obligatoire depuis mars 2024 ?
Selon la documentation officielle de Google, le Consent Mode permet de communiquer à Google l’état du consentement de vos utilisateurs concernant les cookies ou les identifiants d’application, les tags ajustant leur comportement en conséquence. Point capital, rappelé par le juriste Thiébaut Devergranne comme par l’éditeur de CMP Didomi : ce n’est pas un outil de recueil du consentement, il ne remplace ni votre bandeau ni votre CMP.
La v2 repose sur quatre signaux de consentement, contre deux en v1 :
- ad_storage : stockage lié à la publicité (cookies, identifiants app) ;
- analytics_storage : stockage lié à la mesure d’audience ;
- ad_user_data : envoi de données utilisateur à Google à des fins publicitaires (nouveau en v2) ;
- ad_personalization : publicité personnalisée et remarketing (nouveau en v2).
Côté calendrier, Google indique que depuis « début mars 2024 », sans signaux affirmatifs sur ad_user_data et ad_personalization, seuls les utilisateurs hors EEE restent inclus dans les audiences publicitaires. Le « 6 mars 2024 » souvent cité correspond à l’échéance du DMA, Google ayant été désigné « gatekeeper ». Selon la presse spécialisée, depuis le 15 juin 2026, ad_storage fait seul autorité pour les données publicitaires transmises de GA4 vers Google Ads. Google a par ailleurs annoncé, selon les mêmes sources spécialisées, deux évolutions prévues « plus tard en 2026 », sans dates précises communiquées au 2 octobre 2026 : ad_personalization deviendra le contrôle exclusif de l’utilisation des données GA4 pour la personnalisation des annonces dans un compte Google Ads lié, et les adresses IP collectées par le tag Google seront chiffrées avant leur transmission aux comptes Google Ads liés.
Mode basic ou mode advanced : quelle est la différence exacte ?
La distinction figure noir sur blanc dans la documentation développeurs de Google :
- Mode basic : les tags Google sont bloqués tant que l’utilisateur n’a pas interagi avec la bannière. En cas de refus, aucune donnée n’est transmise à Google, pas même l’état du consentement.
- Mode advanced : les tags se chargent dès l’ouverture de la page avec un état par défaut « denied ». Tant que le consentement est refusé, ils envoient des pings sans cookies aux serveurs de Google. Après acceptation, les cookies sont écrits et toutes les données sont envoyées.
La contrepartie se joue sur la modélisation des conversions. En basic, vous n’avez accès qu’au modèle général, moins détaillé. En advanced, Google construit un modèle propre à votre compte annonceur : les pings sans cookie sont, écrit Google dans son aide sur la modélisation, « essentiels pour générer des facteurs de calibrage personnalisés pour chaque annonceur ». Côté GA4, l’aide officielle précise que le behavioral modeling (modélisation comportementale) n’est disponible qu’en implémentation advanced ; le conversion modeling (modélisation des conversions) existe dans les deux implémentations, mais s’appuie en basic sur un modèle général moins détaillé.
Que contiennent les pings envoyés sans consentement en mode advanced ?
C’est le point juridiquement sensible. Google documente trois types de pings (état du consentement, conversions, pings Analytics) pouvant contenir : horodatage, user agent, referrer, booléens d’état du consentement, présence d’un identifiant de clic publicitaire (GCLID) dans l’URL, et nombre aléatoire généré à chaque chargement de page. L’aide Google Ads en français y ajoute l’URL de provenance et l’identifiant de la CMP. En cas de refus, aucun cookie publicitaire ne peut être écrit ni lu.
L’aide Google Analytics précise toutefois que, via la communication HTTP normale, ces pings peuvent inclure la résolution d’écran et l’adresse IP, plus des dimensions grossières utilisées pour la modélisation. À retenir : Google documente lui-même que l’adresse IP transite dans les pings, et c’est ce qui fonde les réserves juridiques françaises sur l’advanced.
Que dit vraiment la CNIL sur le Consent Mode v2 ?
Aucune position officielle publiée
Au 2 octobre 2026, ni la CNIL ni le CEPD n’ont, à notre connaissance, publié de position officielle sur le Consent Mode v2 : aucune page ni délibération dédiée n’a été identifiée sur cnil.fr. Pour France générosités (analyse de la juriste Anouk Marchaland, 24 juin 2024), un échange informel avec la CNIL indiquerait que « le mode basique ne semble pas poser de difficulté », tandis que l’advanced pose question : des pings contenant l’adresse IP et l’URL consultée partent sans consentement, en tension avec la directive ePrivacy. Sa recommandation : attendre un positionnement officiel ou implémenter le basic par défaut.
Thiébaut Devergranne, docteur en droit, aboutit le 25 juillet 2026, dans un article mis à jour le 27 septembre 2026, à la même analyse : le basic ne semblerait pas soulever de difficulté, tandis que l’advanced « appelle plus de vigilance » car il déplace la charge de la preuve. C’est à l’éditeur de démontrer que les pings n’impliquent aucun accès en lecture ou écriture au terminal, faute de quoi l’article 82 de la loi Informatique et Libertés s’applique. Dès mars 2022, avant la v2, Brian Clifton, ancien responsable Web Analytics de Google EMEA, jugeait ce mécanisme de pings contraire au RGPD, l’adresse IP partant même après un refus explicite. Le mécanisme est toujours présent en v2.
Un contexte répressif bien réel sur les cookies
La CNIL ne s’est pas prononcée sur le Consent Mode, mais elle sanctionne lourdement les manquements liés aux cookies : selon son bilan publié le 9 février 2026, en 2025, elle a prononcé 83 sanctions pour 486 839 500 euros d’amendes, dont 21 organismes sanctionnés pour des manquements liés aux cookies. Les amendes Google (325 millions d’euros, 1er septembre 2025) et Shein (150 millions d’euros, annoncée le 3 septembre 2025) visent des manquements liés au consentement (publicités affichées dans Gmail sans consentement préalable et parcours de consentement cookies non conforme pour Google ; cookies déposés sans consentement pour Shein), pas le Consent Mode. Les cookies ne figurent pas aux contrôles prioritaires 2026, mais le plan d’action engagé en 2019 se poursuit.
Quel est l’impact du consentement sur vos conversions Google Ads ?
Premier réflexe à corriger : on ne peut pas extrapoler linéairement les conversions perdues à partir du taux de refus. Selon l’aide Google Ads sur la modélisation, les utilisateurs consentants convertissent en général 2 à 5 fois plus que les non-consentants. Dans l’exemple pédagogique de Google, un annonceur avec 50 % de consentement ne perd que 19 % de ses conversions observées et récupère 18 % de conversions supplémentaires grâce à la modélisation : une illustration, pas une statistique de marché.
Le seul chiffre officiel de récupération date d’avril 2021 : selon les premiers résultats observés par Google sur Google Ads, la modélisation via le Consent Mode récupérait en moyenne plus de 70 % des parcours clic-conversion perdus à cause des refus, Google précisant que les résultats varient fortement selon les annonceurs. La fourchette avancée par l’agence française Elorion (15 à 30 % de conversions récupérées en passant du basic à l’advanced) est une estimation sans étude publique vérifiable. Surtout, la modélisation a des seuils d’activation :
- Conversion modeling Google Ads : Consent Mode correctement implémenté et au moins 700 clics d’annonces sur 7 jours, par pays et groupement de domaines ;
- Behavioral modeling GA4 : implémentation advanced obligatoire, plus des seuils quotidiens élevés : 1 000 événements par jour avec analytics_storage refusé pendant 7 jours, et 1 000 utilisateurs quotidiens consentants sur 7 des 28 derniers jours, sans garantie d’éligibilité.
Conclusion factuelle : pour un petit site sous ces seuils, l’avantage data de l’advanced est largement théorique, alors que la zone grise juridique demeure. Dans notre accompagnement Google Analytics 4, nous commençons par cette analyse de seuils.
Comment implémenter le Consent Mode v2 sans casser ses données ?
La vraie perte de données ne vient généralement pas du choix entre basic et advanced, mais d’une CMP mal branchée : tags qui tournent malgré le refus (risque de sanction) ou tags bloqués même après consentement (données perdues). Le consultant Cédric Duma (Elorion, 7 juin 2026) estime, d’après ses audits, qu’au moins un compte sur deux a une CMP « décorative » qui ne bloque rien réellement. Les étapes qui font consensus :
- Commencez par la CMP : une CMP compatible Consent Mode, par exemple parmi celles citées comme certifiées Google par les sources spécialisées (Axeptio, Didomi, Cookiebot), connectée via un template officiel Google Tag Manager ; c’est le cœur de notre offre CMP et gestion du consentement ;
- Valeurs par défaut sur « denied » : les quatre signaux refusés par défaut, passage à « granted » uniquement après une action positive de l’utilisateur ;
- Implémentez le Consent Mode via Google Tag Manager ou gtag.js, puis, sous GTM, conditionnez vos déclencheurs au statut « granted » explicite sur les paramètres concernés ;
- Vérifiez techniquement : les paramètres GCS et GCD dans les requêtes réseau (outils développeur du navigateur), et le blocage effectif des scripts par la CMP ;
- Réglez l’identité de reporting GA4 sur « blended » pour la modélisation, et documentez l’ensemble dans un plan de taggage à jour ;
- Auditez la chaîne consentement-tags au moins une fois par trimestre ; le server-side (sGTM) est un complément d’expert, pas une exigence ;
- Si vous choisissez l’advanced, documentez la décision : nature des pings, analyse au regard de l’article 82, avis du DPO, mise à jour de la politique de confidentialité.
Piste complémentaire : déployer une solution de mesure d’audience exemptée de consentement (la CNIL publie un guide de configuration pour Piano Analytics), en appui de GA4, pour garder une mesure de trafic sans bannière. Google Analytics n’est pas cité parmi les solutions exemptables.
Basic ou advanced : que décider pour votre site ?
L’arbitrage qui ressort des sources est net :
- Choisissez le basic si vous privilégiez la sécurité juridique ou si votre trafic est sous les seuils : la modélisation avancée ne s’activerait de toute façon pas ;
- L’advanced est envisageable pour les annonceurs au-dessus des seuils, à condition de documenter l’analyse juridique et d’impliquer le DPO. Certains consultants affirment qu’aucune donnée personnelle n’est traitée en cas de refus : position qu’aucune délibération CNIL ne valide et qui se heurte à la transmission de l’adresse IP documentée par Google lui-même.
Dans les deux cas, la priorité reste une chaîne CMP, Consent Mode et tags réellement étanche, vérifiée requête par requête. C’est ce que nous auditons chez Atypicom, agence data et analytics à Bordeaux depuis 2007 : réservez un rendez-vous pour vérifier votre implémentation, chiffrer ce que vous perdez réellement et trancher entre basic et advanced sur la base de vos volumes, pas d’un article de blog.
