Qu'est-ce qu'une CMP et que doit-elle faire ?

Qu'est-ce qu'une Consent Management Platform ?

Une Consent Management Platform, ou CMP, est le logiciel qui recueille le consentement des visiteurs de votre site, le conserve, en garde la preuve et le transmet à tous les services intégrés. Seule la bannière de cookies (témoins) est visible. Le vrai travail se fait en arrière-plan : la CMP veille à ce que Google Analytics, Google Ads, le pixel Meta et les autres services ne déposent des cookies ou n'envoient des données qu'une fois que le visiteur l'a autorisé. On parle aussi de gestionnaire de consentement ou d'outil de gestion des consentements. Il s'agit toujours de la même chose.

En Allemagne, la base légale est l'article 25 du TDDDG (loi allemande sur la protection des données dans les télécommunications et les services numériques), appelé TTDSG jusqu'en mai 2024. Il encadre l'accès à l'appareil de l'utilisateur, c'est-à-dire le dépôt ou la lecture de cookies. Pour tout ce qui n'est pas strictement nécessaire, un consentement est en règle générale requis. Le RGPD européen exige en outre, à son article 7, que vous puissiez prouver ce consentement et que le retirer soit aussi simple que le donner. Cet article ne constitue pas un conseil juridique, il explique la technique.

Quelles sont les tâches d'un gestionnaire de consentement ?

Un gestionnaire de consentement remplit six tâches étroitement liées. Si l'une d'elles échoue, cela crée soit des problèmes de protection des données, soit des lacunes dans vos statistiques.

• Recueil : la bannière explique clairement les finalités et offre « Accepter » et « Refuser » sur un pied d'égalité.
• Enregistrement : le choix est stocké dans le navigateur, pour que la bannière ne réapparaisse pas à chaque page consultée.
• Preuve : chaque consentement est journalisé avec l'horodatage, la version de la bannière et les finalités choisies.
• Transmission : le choix est transmis au Google Consent Mode et à toutes les autres balises qui en dépendent.
• Retrait : les visiteurs peuvent modifier leur choix en tout temps, par exemple au moyen d'un lien dans le pied de page.
• Balayage : un balayage des cookies montre quels cookies et services sont réellement présents sur le site.

→ Bannière cookies avec Consent Mode v2 : conforme, sans licence mensuelle

Gestion des consentements et Google Consent Mode v2

Pour Google, la tâche la plus importante de la CMP est la transmission au Google Consent Mode v2, l'interface par laquelle les balises Google sont informées du choix du visiteur. Il connaît quatre signaux : ad_storage et analytics_storage indiquent si des cookies publicitaires et d'analyse peuvent être déposés. ad_user_data indique si des données utilisateur peuvent être envoyées à Google à des fins publicitaires, et ad_personalization si la publicité personnalisée est autorisée. Au chargement de la page, la CMP définit une valeur par défaut pour les quatre, habituellement « denied » dans l'UE. Après le clic sur un bouton, elle envoie une mise à jour avec le choix réel.

Depuis mars 2024, Google s'attend à ce que ces signaux soient transmis pour les visiteurs de l'Espace économique européen dès que des données doivent servir à la publicité et au remarketing. S'ils manquent, Google Ads ne peut utiliser les audiences et les conversions que de façon limitée. Google distingue deux variantes : avec l'implémentation simple, les balises Google ne se chargent qu'après le consentement. Avec l'implémentation avancée, elles se chargent immédiatement avec la valeur par défaut « denied » et, sans consentement, n'envoient que des pings sans cookies, à partir desquels Google estime les valeurs manquantes. Le choix de la variante est un arbitrage à faire en connaissance de cause.

D'autres services ont leurs propres mécanismes. Microsoft Advertising prend en charge un signal de consentement propre pour son Universal Event Tracking (UET). Pour Meta, LinkedIn, TikTok ou Pinterest, la balise est généralement configurée dans Google Tag Manager pour ne se déclencher qu'après le consentement au marketing. Une bonne CMP fournit un événement ou une variable propre dans le conteneur Google Tag Manager, auquel les déclencheurs peuvent se référer.

Le balayage des cookies est une autre tâche de la CMP. Il parcourt automatiquement vos pages et dresse la liste des cookies, du stockage local et des services qui y sont réellement présents. C'est important, car un site évolue sans cesse : un nouveau plugiciel intègre une carte, une vidéo provient d'une plateforme, une fenêtre de clavardage dépose ses propres cookies. Si un service apparaît dans le balayage mais pas dans la bannière, la bannière ne demande pas l'autorisation pour quelque chose qui se produit quand même. Les résultats du balayage ont aussi leur place dans le tableau des cookies de votre politique de confidentialité, pour que les visiteurs puissent voir à quoi ils consentent.

Comment reconnaître une bonne CMP

On reconnaît une bonne CMP à sa technologie et à son comportement au quotidien, pas à l'apparence de la bannière. Ces points aident à la sélection, que vous utilisiez un outil de gestion des consentements prêt à l'emploi ou fassiez installer une solution.

• Le Consent Mode v2 est intégré directement et définit la valeur par défaut avant que toute balise ne se déclenche.
• « Tout refuser » est offert sur un pied d'égalité dès le premier niveau, pas caché dans les paramètres.
• La bannière se charge vite : peu de fichiers, pas de ressources chargées depuis de nombreux serveurs tiers.
• Les preuves sont stockées de manière économe en données, idéalement sans adresse IP.
• L'intégration avec Google Tag Manager est documentée et fonctionne sans code personnalisé.
• Les textes sont disponibles dans les langues de votre site.

Le temps de chargement d'une CMP est souvent oublié lors du choix. Comme la CMP doit se charger très tôt pour que la valeur par défaut soit définie avant toutes les autres balises, chaque fichier supplémentaire retarde le début de la mesure et souvent le chargement de la page. Vérifiez donc sur une page de test combien de fichiers la bannière charge et quand elle devient visible. Une bannière qui n'apparaît qu'après plusieurs secondes sur mobile coûte des visiteurs et dégrade les Core Web Vitals.

→ Configurer correctement le mode de consentement Google v2 : aucun avertissement dans Tag Assistant

Erreurs typiques et comment les repérer

Une erreur fréquente est une bannière qui s'affiche mais ne pilote rien. Les balises dans Google Tag Manager se déclenchent au chargement de la page, quel que soit le choix du visiteur. Vous le constatez si, dans une fenêtre de navigation privée, vous cliquez sur « Tout refuser » et trouvez malgré tout des cookies comme _ga ou _fbp dans les outils de développement, sous Application. Une deuxième erreur est l'absence de valeur par défaut : le Consent Mode ne reçoit un signal qu'après le clic, et les premiers hits partent sans statut de consentement.

Il arrive aussi que le consentement soit enregistré mais jamais transmis comme mise à jour au Consent Mode. Tout reste alors sur « denied », et Google Analytics montre peu de données, bien que beaucoup de visiteurs consentent. Les catégories mal attribuées sont aussi fréquentes : le Meta Pixel est rattaché à « Statistiques » au lieu de « Marketing », ou un service n'est pas listé dans la bannière. Dans l'aperçu de Google Tag Manager, l'onglet Consentement montre quel statut était en vigueur à quel moment.

Exemple pratique : petite boutique en ligne avec WooCommerce

Une boutique d'accessoires pour le café utilise WooCommerce, Google Analytics 4, Google Ads et le pixel Meta. La bannière a été installée il y a des années au moyen d'un plugiciel, les balises ont été ajoutées plus tard dans Google Tag Manager. Le test montre que la bannière recueille correctement le consentement, mais que le pixel Meta est en plus codé en dur dans le thème et se charge toujours. En parallèle, la valeur par défaut du Consent Mode manque, si bien que Google Ads ne voit presque aucune conversion provenant de l'UE.

La solution comporte trois étapes. Le pixel est retiré du thème et ne se déclenche plus que dans Google Tag Manager avec un déclencheur pour le consentement marketing. La CMP définit la valeur par défaut « denied » au tout début. Ensuite, chaque parcours est testé : sans décision, avec refus, avec acceptation. C'est seulement quand le bon comportement se produit dans les trois cas que la modification est mise en ligne.

Faire configurer la gestion des consentements

Trackum configure le consentement pour qu'il s'applique réellement dans le Google Tag Manager de votre entreprise : Consent Mode v2 avec valeur par défaut, déclencheurs pour chaque plateforme publicitaire et test dans l'aperçu avec et sans consentement avant toute mise en ligne. La configuration avec Google Analytics 4 et Consent Mode v2 coûte 150 € en paiement unique. La bannière de cookies de Trackum, un seul fichier de 6,6 Ko qui ne charge rien d'autre, s'ajoute en option pour 50 € plus 4,90 € par mois et est incluse dans l'abonnement à 19 € par mois. Tous les prix s'entendent taxes en sus.

Si vous voulez d'abord savoir si votre CMP actuelle fonctionne correctement, la vérification gratuite, à 0 € et sans inscription, teste le site dans un vrai navigateur avec et sans consentement et vous montre les problèmes détectés avec un prix fixe pour les corriger.