Consentement Google Analytics : vérifier les choix réels

8 min de lecture

Pour vérifier le consentement Google Analytics, testez ce que le navigateur fait avant tout choix, après refus, après accord puis après retrait. Une bannière visible ou un état « denied » dans un outil ne prouve pas à lui seul l’absence de requêtes ni la validité juridique du dispositif. Google distingue un mode de consentement basic qui bloque les balises jusqu’au parcours de consentement et un mode advanced qui peut envoyer des mesures sans cookies lorsque le consentement est refusé.^[32] Examinez donc balises, stockages et réseau ensemble, puis faites valider le cadre applicable. Le contrôle technique démontre un comportement, pas une conformité générale.

À retenir : distinguer interface, état et collecte

Le visiteur exprime un choix dans une interface. La solution transmet un état aux balises. Les balises et intégrations exécutent ensuite leur comportement. Ces étapes peuvent diverger. Votre recette doit vérifier toute la chaîne plutôt que de se limiter à l’apparence de la bannière ou au paramètre affiché dans le gestionnaire de balises.

Cadrer le consentement Google Analytics selon votre installation

Inventoriez le conteneur de balises, les scripts installés directement, les extensions du site et les intégrations externes. Une seule page peut charger plusieurs chemins de mesure. La bannière peut piloter l’un tout en laissant un autre démarrer indépendamment.

Décrivez les finalités et les outils réellement présents. La CNIL rappelle le principe du consentement préalable pour le stockage ou l’accès à certaines informations du terminal, avec des exceptions encadrées, et les conditions de retrait.^[31] Ne présumez pas qu’un outil de mesure bénéficie d’une exemption à partir de son seul nom.

Le guide du plan de mesure GA4 de 4SYSTEM aide à définir les événements utiles. Cette sélection ne remplace pas le cadre de collecte. Une mesure sobre doit aussi disposer d’un comportement adapté aux choix et d’une documentation cohérente avec les traitements réellement réalisés.

Comprendre basic et advanced sans raccourci juridique

Dans la version basic décrite par Google, les balises sont empêchées de charger avant l’interaction avec la bannière ; lorsque la personne ne consent pas, aucune donnée n’est transmise à Google par ces balises, pas même l’état de consentement.^[32] Vérifiez que votre installation correspond réellement à cette description.

Dans la version advanced, les balises chargent avec des états par défaut et peuvent envoyer des mesures sans cookies lorsque le consentement est refusé. Après accord, elles adaptent leur comportement pour la collecte prévue.^[32] « Sans cookie » ne signifie donc pas nécessairement « sans requête réseau ».

Ces options décrivent une architecture technique. Elles ne déterminent pas à elles seules le fondement juridique, l’information nécessaire ou la conformité de votre site. Faites examiner le mode choisi et les données effectivement transmises par la personne compétente. Ne présentez pas le consent mode comme un certificat de conformité obtenu en activant une option.

Préparer une recette propre et reproductible

Utilisez un profil de navigateur propre ou un contexte de test dont les stockages sont maîtrisés. Notez la page, la version du site, le navigateur et les réglages. Ouvrez les outils de développement avant la navigation pour observer les premières requêtes, pas seulement celles envoyées après affichage de la bannière.

Examinez les cookies et autres stockages pertinents, les scripts chargés et les requêtes de mesure. Conservez les noms de domaines et les comportements utiles sans exporter des identifiants personnels inutiles. Une preuve doit permettre de rattacher une requête à un état et à un moment du parcours.

Préparez des pages représentatives : arrivée, navigation interne, formulaire et confirmation lorsque ces étapes existent. Certains scripts ne se chargent qu’après une action ou sur une route particulière. Un contrôle de la page d’accueil ne valide pas les pages qui disposent d’intégrations différentes.

Vérifier avant choix et après refus

Avant de cliquer, observez ce qui démarre. Comparez ce comportement à l’architecture validée. Pour une installation censée bloquer toute collecte Google avant accord, une requête inattendue doit être examinée même si aucun cookie analytics n’apparaît.

Choisissez ensuite le refus et naviguez. Vérifiez que le choix reste appliqué et que les scripts directement installés ne contournent pas le conteneur. Google précise qu’il faut communiquer les choix et s’assurer que les balises Google et tierces se comportent selon ceux-ci ; toutes les balises ne disposent pas des mêmes contrôles intégrés.^[32]

Ne concluez pas seulement à partir d’un nom de requête. Examinez le moment, le domaine, les paramètres pertinents et la configuration active. Un ping sans cookie prévu par advanced et une collecte complète déclenchée malgré refus ne décrivent pas le même comportement. La qualification juridique de l’architecture reste séparée de cette observation technique.

Vérifier l’accord, le retrait et la navigation suivante

Après accord, vérifiez la mise à jour de l’état et les événements attendus, sans duplication due à plusieurs chemins de chargement. Un site peut respecter le blocage initial mais charger deux installations lors de l’acceptation. La recette doit donc examiner la justesse de la mesure autant que son démarrage.

Testez ensuite le retrait depuis l’accès prévu. La CNIL rappelle que l’utilisateur doit pouvoir retirer le consentement à tout moment avec la même simplicité qu’il l’a accordé.^[31] Vérifiez l’interface, la nouvelle valeur transmise et le comportement des balises après modification.

Naviguez sur une autre page et rechargez. Le système doit appliquer la règle de persistance définie, sans rétablir silencieusement un accord retiré. Examinez aussi les stockages et ce que l’implémentation prévoit pour eux. Le retrait n’efface pas automatiquement toutes les données déjà traitées ; ce sujet demande une analyse et des démarches distinctes.

Matrice de contrôle du navigateur

Ajoutez un verdict précis par case : comportement attendu, écart observé ou preuve insuffisante. Une ligne non observée ne devient pas verte parce que la bannière porte le logo d’un fournisseur connu.

Exemple fictif : un refus respecté par un conteneur, pas par une extension

Une entreprise imaginaire configure un blocage basic dans son gestionnaire de balises. La recette commence sur un navigateur propre. Aucun événement ne part depuis le conteneur avant accord, mais une page de confirmation charge une autre installation Analytics ajoutée par une extension.

Dans ce scénario illustratif, l’équipe identifie ce second chemin et le rattache au dispositif validé ou le supprime selon la décision technique. Elle refait ensuite les essais avant choix, après refus, après accord et après retrait sur les pages concernées. Le seul contrôle du conteneur n’aurait pas révélé le problème.

Un autre essai porte sur une configuration advanced. Des requêtes sans cookies sont observées après refus. L’équipe ne les classe pas automatiquement comme bug ni comme conformité : elle vérifie leur nature, la documentation Google et l’analyse applicable. Aucun audit juridique réel ni résultat de client n’est fabriqué ; l’exemple montre pourquoi réseau et stockages doivent être lus ensemble.

Limites et conservation de la preuve

Gardez les réglages et la version du site correspondant aux captures. Une preuve ancienne ne valide pas une extension ajoutée ensuite. Retestez après un changement de bannière, de conteneur, de thème ou de parcours instrumenté. Les responsabilités de mise à jour doivent être explicites.

La recette ne couvre pas à elle seule toutes les obligations de protection des données, les contrats, les transferts ou l’information complète. Elle fournit des observations techniques pour l’examen. Une absence de cookie dans un panneau ne démontre pas l’absence de traitement ; une requête observée demande une qualification adaptée.

Questions fréquentes

Le consent mode recueille-t-il le consentement ?

Il adapte le comportement des balises à des états, mais ne remplace pas votre interface de choix ni l’information nécessaire. Google demande de recueillir les choix, de les communiquer et de vérifier le comportement des balises.^[32] La qualité du recueil et son cadre juridique doivent être examinés séparément de l’option technique.

Un refus doit-il toujours supprimer toute requête Google ?

Le comportement dépend notamment du mode décrit par Google : basic bloque la transmission en absence de consentement, tandis qu’advanced peut envoyer des mesures sans cookies.^[32] Vérifiez le mode réellement installé et faites valider son usage. Ne déduisez ni conformité ni violation à partir de ce seul contraste sans examiner le dispositif.

Une bannière correctement affichée suffit-elle pour valider ?

Non. Elle prouve seulement une partie de l’interface. Testez les états transmis, les scripts, les stockages et le réseau sur les pages pertinentes. Contrôlez aussi le retrait et la navigation suivante. Une intégration ajoutée directement au site peut ignorer le conteneur alors que la bannière paraît fonctionner normalement pour le visiteur.

Prochaine étape : tester les quatre états

Préparez une recette avant choix, refus, accord et retrait sur un navigateur propre. Pour cadrer les raccords entre site, balises et mesure, consultez les services de 4SYSTEM. Conservez les observations exactes et faites traiter les questions juridiques par une personne compétente, sans transformer la recette en certificat.

Sources

• Cookies et traceurs : que dit la loi ? | CNIL (consulté le 2026-10-08)
• Consent mode overview  |  Tag Platform  |  Google for Developers (consulté le 2026-10-08)