Tags qui partent avant le consentement : le double risque (et comment le corriger)

En bref : un tag qui se déclenche avant le consentement peut poser un double problème : collecte sans base légale côté RGPD, ou conversions perdues si le consent mode est mal réglé. Attention toutefois : avec le mode avancé du consent mode v2, il est normal que les balises Google partent avant le consentement, sous forme de pings sans cookie. Tout dépend donc de la configuration, et l'onglet Réseau permet de faire la part des choses.

Voici une scène que je vois souvent. On arrive sur un site, le bandeau de cookies s'affiche, on n'a encore rien cliqué, et pourtant, dans la console, des requêtes partent déjà vers Google Analytics et Meta. Faute de conformité, ou comportement parfaitement normal ? La réponse, vous allez le voir, est : ça dépend, et c'est précisément là que beaucoup d'équipes se trompent, dans un sens comme dans l'autre.

Le consentement, c'est le point où le juridique et la technique se rencontrent. Mal géré, il vous expose à la CNIL d'un côté, et vous fait perdre des conversions de l'autre. Dans cet article, je vais vous expliquer pourquoi un tag qui part trop tôt est un double risque, comment le repérer simplement, et comment le corriger. On en parle.

Pourquoi un tag qui part avant le consentement est un double problème

On parle rarement des deux côtés du sujet en même temps. Pourtant, ils comptent autant l'un que l'autre.

Le côté juridique. Le RGPD et la CNIL sont clairs : les cookies et traceurs non essentiels, ainsi que les données personnelles qu'ils collectent, ne doivent se déclencher qu'après un consentement explicite. Un tag qui dépose un cookie ou remonte de la donnée personnelle avant ce consentement, c'est de la collecte sans base légale, et un motif de sanction en cas de contrôle. Nuance importante que je détaille plus bas : un hit sans cookie ni donnée personnelle, comme les pings du consent mode avancé, ne tombe pas sous cette interdiction.

Le côté données. À l'autre extrême, quand on serre trop la vis ou qu'on configure mal le consent mode, on peut faire disparaître des conversions : les plateformes ne reçoivent plus rien, ou reçoivent une donnée dégradée. Vous êtes conforme, mais vos rapports sous-comptent.

La ligne à retenir : un traceur qui collecte trop tôt, c'est illégal ; un consent mode trop restrictif ou mal réglé, c'est de la donnée perdue. Tout l'enjeu est de collecter au bon moment, avec la bonne configuration.

Pourquoi ça arrive

Un tag qui part avant le consentement n'est presque jamais volontaire. C'est un problème d'ordre et de timing. Les causes les plus fréquentes :

• L'ordre de chargement. Votre CMP (la plateforme de gestion du consentement : Didomi, OneTrust, Axeptio, Cookiebot…) doit se charger et communiquer l'état du consentement avant que les tags se déclenchent. Si un tag démarre avant que la CMP ait donné le signal, il part sans attendre. C'est la même logique de séquence que pour le dataLayer, qui doit être initialisé avant GTM pour que les balises trouvent leurs données.
• La CMP trop lente. Le bandeau s'affiche avec un léger retard, et pendant ce court instant, des tags ont déjà eu le temps de partir.
• Le tag figé en dur. Un pixel posé directement dans le code du site, hors GTM, qui ne respecte aucune règle de consentement parce qu'il n'est relié à rien.
• Le consent mode mal réglé. Le consent mode de Google (dans sa version v2) doit poser un état par défaut « refusé » puis le mettre à jour au consentement. Mal configuré, il laisse passer ou bloque au mauvais moment.
• La mise en production qui casse l'ordre. Une refonte ou un nouveau script change la séquence de chargement, et le consentement se retrouve à passer après les tags. Ça marchait hier, plus aujourd'hui.

Comment repérer un tag qui part avant le consentement

Bonne nouvelle : le test le plus fiable est aussi le plus simple, et vous n'avez besoin d'aucun outil payant.

L'onglet Réseau, avant le clic. Ouvrez la console de développement de votre navigateur, allez dans l'onglet Réseau (Network), puis arrivez sur la page sans rien cliquer sur le bandeau de consentement. Regardez les requêtes qui partent. Vous verrez peut-être déjà des hits vers Google Analytics (/g/collect), Meta (/tr) ou d'autres traceurs. Mais avant de crier au loup, une nuance capitale : tout hit avant le consentement n'est pas une faute.

La nuance qui change tout : mode basique ou mode avancé. Depuis le consent mode v2 de Google, il existe deux façons de l'implémenter, et elles ne se comportent pas du tout pareil.

• Le mode basique (basic). Les balises Google sont carrément bloquées tant que le consentement n'est pas donné. Dans ce cas, voir un hit Google partir avant le clic est bien une anomalie.
• Le mode avancé (advanced). Les balises Google se chargent et se déclenchent quand même, mais tant que le consentement n'est pas accordé, elles n'envoient que des pings sans cookie : aucune donnée personnelle, aucun cookie déposé, juste un signal indiquant l'absence de consentement (les paramètres gcs et gcd dans le hit). C'est voulu, et c'est conforme.

Concrètement, dans l'onglet Réseau, une requête /g/collect ou Google Ads avant le clic n'est donc pas forcément un problème : il faut vérifier si le hit dépose des cookies et s'il porte bien le signal de consentement « refusé ». En revanche, un tag non-Google (le pixel Meta /tr, un pixel TikTok, un tag maison) qui part avant le consentement reste une vraie anomalie : ces traceurs n'ont pas de mode sans cookie, ils collectent réellement, sans base légale.

Le consent mode dans GTM. Le mode Preview de Google Tag Manager montre l'état du consentement (granted ou denied) au moment où chaque tag se déclenche. Si un tag non-Google part alors que le consentement est encore à denied, c'est un signal clair.

Le debug de la CMP. La plupart des CMP, Axeptio et Didomi en tête, proposent un mode debug qui affiche l'état du consentement en temps réel. Pratique pour confirmer que la CMP donne bien le bon signal, au bon moment.

Une précision utile : savoir quand un hit part ne dit pas encore ce qu'il contient. Une fois le consentement accordé, il reste à vérifier que les hits arrivent bons dans GA4, Meta ou Segment — c'est l'autre moitié du travail, et elle se joue plus loin dans la chaîne.

Comment le corriger

Une fois le problème repéré, la correction tient en quelques principes :

• Chargez la CMP en premier. Elle doit être le plus haut possible dans le chargement de la page, avant vos tags, pour être en mesure de donner le signal de consentement à temps.
• Conditionnez vos déclencheurs. Dans GTM, les tags concernés ne doivent se déclencher que si l'état de consentement le permet. On s'appuie pour cela sur le consent mode et sur des déclencheurs conditionnés à l'état de consentement.
• Choisissez le bon mode de consent mode. Le mode basique bloque tout tant qu'il n'y a pas de consentement, le mode avancé laisse partir des pings sans cookie qui préservent une mesure modélisée. Le mode avancé récupère davantage de signal, à condition d'être correctement paramétré.
• Réglez le consent mode proprement. État par défaut « refusé », mise à jour au moment où l'utilisateur accepte. C'est la base d'une configuration conforme qui, bien faite, préserve quand même une partie de la mesure via la modélisation.
• Traquez les tags en dur et les traceurs non-Google. Repérez les pixels posés directement dans le code, hors GTM, et les traceurs sans mode sans cookie (Meta, TikTok…). Faites-les passer sous le contrôle de la CMP. Ce sont eux les fauteurs de troubles les plus discrets.

Gardez à l'esprit qu'une CMP bien intégrée (peu importe laquelle, Axeptio, Didomi, OneTrust ou Cookiebot) résout la grande majorité des cas. Le choix de l'outil compte moins que la qualité de son intégration.

Le vrai piège : l'ordre se recasse à chaque mise en prod

Voilà le point que presque personne n'anticipe. Vous pouvez régler l'ordre à la perfection aujourd'hui, tout vérifier, être parfaitement conforme. Et puis une refonte arrive, un développeur ajoute un script, une balise change de place, et l'ordre se recasse. Sans bruit.

Le problème, c'est que ce contrôle ne se fait pas une fois pour toutes. Il faudrait, à chaque mise en production, rouvrir l'onglet Réseau, arriver sur la page sans cliquer, et vérifier qu'aucun tag ne part avant le consentement, sur mobile comme sur desktop. C'est un point de contrôle de plus à ajouter à la recette du dataLayer — autant dire que personne ne le fait à la main de façon systématique.

C'est exactement ce que le monitoring du dataLayer de MayIA° surveille : l'agent rejoue les parcours et vérifie en continu l'ordre des déclenchements par rapport à la CMP, pour vous alerter dès qu'un tag se met à partir avant le consentement. La conformité n'est pas une case qu'on coche une fois, c'est un état à maintenir à chaque évolution du site.

Pour conclure

Si vous ne devez retenir qu'une chose : le consentement se joue sur la configuration. Un traceur qui collecte trop tôt vous met en faute juridiquement ; un consent mode mal réglé vous coûte des conversions. Et tout hit avant le consentement n'est pas une faute : en mode avancé, les pings sans cookie des balises Google sont normaux. Entre les deux, il y a une CMP chargée en premier et des déclencheurs bien conditionnés.

Et comme pour le reste du tracking, le vrai risque n'est pas de bien le régler une fois, c'est de le voir se recasser en silence à la prochaine mise en prod.

Vous voulez vérifier que votre site ne collecte rien avant le consentement, ou sécuriser votre conformité avant une refonte ? Parlez-en à l'équipe MayIA°, on regarde ça ensemble.

FAQ

Un tag qui part avant le consentement est-il illégal ?

Ça dépend de ce qu'il fait. S'il dépose un cookie non essentiel ou remonte de la donnée personnelle avant consentement, oui : le RGPD et la CNIL imposent un consentement explicite au préalable, et c'est un motif de sanction. En revanche, un hit sans cookie ni donnée personnelle, comme les pings du consent mode avancé, ne tombe pas sous cette interdiction.

Est-ce normal que GA4 ou Google Ads se déclenchent avant le consentement ?

Oui, si vous utilisez le mode avancé du consent mode v2. Dans ce mode, les balises Google se déclenchent quand même avant le consentement, mais n'envoient que des pings sans cookie qui signalent l'absence de consentement, sans collecter de donnée personnelle. En mode basique, à l'inverse, les balises Google sont bloquées jusqu'au consentement : là, un hit avant le clic serait bien une anomalie.

Comment vérifier que mes tags respectent le consentement ?

La méthode la plus simple est l'onglet Réseau du navigateur : arrivez sur la page sans cliquer sur le bandeau et vérifiez qu'aucun hit ne part. En complément, le mode Preview de GTM montre l'état du consentement au déclenchement de chaque tag, et le mode debug de votre CMP confirme le signal envoyé.

Qu'est-ce que le consent mode de Google ?

Le consent mode est un mécanisme qui ajuste le comportement des tags Google selon le choix de consentement de l'utilisateur. Dans sa version v2, il pose un état par défaut, généralement « refusé », puis le met à jour dès que l'utilisateur accepte. Bien configuré, il permet de rester conforme tout en conservant une mesure partielle par modélisation.

Le consent mode fait-il perdre des conversions ?

Il peut, s'il est mal configuré ou en cas de refus massif du consentement. Quand l'utilisateur refuse, les plateformes reçoivent une donnée dégradée ou modélisée plutôt que réelle. C'est le prix de la conformité, mais un consent mode bien réglé limite la casse et évite de perdre des conversions inutilement.

Quelle CMP choisir pour gérer le consentement ?

Didomi, OneTrust, Axeptio et Cookiebot sont parmi les plus répandues, et toutes font correctement le travail. Le choix dépend surtout de votre contexte (langue, budget, écosystème). Gardez en tête que le point critique n'est pas l'outil, mais la qualité de son intégration : une CMP bien chargée et bien reliée à vos tags vaut mieux que la plus réputée mal configurée.