Comment implémenter le consentement utilisateur en Server-Side ?

Le RGPD (Règlement Général sur la Protection des Données), instauré en mai 2018, a pour objectif de protéger la vie privée des citoyens, de garantir une utilisation éthique des données personnelles et de responsabiliser les entreprises face à ces enjeux. Il est essentiel pour préserver les droits des individus.

Ne vous y trompez pas : le Server-Side n’est pas un outil de contournement des obligations légales imposées par le RGPD. Avec une migration de votre tracking côté Serveur, vous devez toujours :

• Collecter le consentement utilisateur sur votre site via votre bannière CMP (Consent Management Platform).
• Respecter ce choix en déclenchant ou non les différents tags (Analytics et Média) selon la décision de l’utilisateur.

Mais comment gérer le consentement avec un tracking Server-Side ? Que faire du Google Consent Mode v2 ? Faut-il l’implémenter en mode basique ou avancé ? Comment transporter les informations de consentement vers votre conteneur serveur ? La question du consentement reste complexe, car il existe autant d’implémentations différentes que de bannières CMP (Axeptio, Didomi, Cookiebot…).

Pour configurer le consentement utilisateur en serveur-side, il vous faut :

• Une CMP (Plateforme de gestion du consentement) comme Axeptio, Didomi, Cookiebot, etc., implémentée soit directement sur votre site, soit via GTM Web.
• Un conteneur Google Tag Manager Web.
• Un conteneur GTM Serveur.

Enfin, et pour une meilleure compréhension du sujet, nous allons scinder nos explications sur le consentement avec:

• une première étape pour la gestion du consentement des tags liés aux produits Google (Google Ads, Google Analytics 4, Floodlight)
• puis nous verrons en étape 2 comment déclencher les autres tags (Facebook, Pinterest, LinkedIn…)

Première étape : paramétrer le consent mode V2 pour les tags Google

Le Consent Mode V2 vous permet de recueillir le consentement utilisateur, et de l’envoyer à Google pour qu’il puisse traiter les données sur ses différents outils (Google Analytics, Google Ads, Floodlight).

Le fonctionnement est simple :

• La bannière de consentement sur votre site web collecte les choix de consentement des utilisateurs et les transmet à la balise Google située dans votre conteneur WEB.

• Cette balise Google communique ensuite les préférences des utilisateurs au conteneur serveur en intégrant des paramètres de consentement dans la requête HTTP.

Les préférences des utilisateurs sont envoyés à Google via 4 paramètres clés :

• analytics_storage : permet le stockage des données nécessaires à l’analyse d’audience (sur un outil comme Google Analytics 4)
• ad_storage : permet le stockage des informations utilisées à des fins publicitaires.
• ad_personalization : définit le consentement de l’utilisateur pour la diffusion de publicités personnalisées.
• ad_user_data : définit le consentement de l’utilisateur pour le partage de données avec Google en vue du ciblage publicitaire.

Enfin, sachez que le Consent Mode v2 existe sous deux versions : Basic ou Advanced. Nous allons détailler ci-dessous les différences de ces 2 versions pour que vous puissiez implémenter celle qui vous convient le mieux.

Mode de consentement Basic

Dans cette version du Consent mode, les tags sont bloqués si l’utilisateur refuse le consentement. Dans ce cas, aucune donnée n’est envoyée aux plateformes partenaires. Seule la donnée consentie par l’utilisateur est donc envoyée. Pour bien comprendre l’impact sur les données envoyées, prenons l’exemple ci-dessous.

Dans ce cas, des restrictions doivent être ajoutées dans l’implémentation côté GTM SERVER sur le déclenchement des tags Google Ads et Google Analytics. Dans notre exemple, l’utilisateur n’a pas consenti aux publicités (le paramètre ad_storage a donc la valeur “denied”), mais il a donné son accord pour le suivi analytics. Grâce à la restriction, aucune donnée n’est envoyée à Google Ads.

Mode de consentement Advanced

Dans cette version du Consent Mode V2, les balises Google se déclenchent toujours côté Web et côté Serveur, que l’utilisateur ait consenti ou non. En cas de non-consentement, elles envoient donc toujours de la donnée, mais via des pings anonymisés et sans cookies.

Une fois le Consent Mode V2 implémenté, un paramètre supplémentaire (GSC) est envoyé dans vos requêtes, indiquant à Google si les données doivent être anonymisées ou non.

Ci-dessous un tableau qui vous permet de décoder ce paramètre GSC et de savoir si les cookies marketing et/ou analytics ont été consentis :

En mode Advanced, vous ne faites donc aucune configuration supplémentaire côté GTM Serveur. Vous ne bloquez plus aucun tag Google vous-même, puisque Google reçoit le paramètre GSC et gère en autonomie la façon dont il traite les données de son côté. S’il n’y a pas de consentement sur le marketing par exemple (ad_storage a pour valeur “denied”), les données sont toujours envoyées à Google Ads, mais elles sont anonymisées par Google avant d’être traitées.

Deuxième étape : gestion du consentement pour les tags hors produits Google

Pour les tags hors Google (Facebook, Pinterest, LinkedIn ou autres), il vous faut toujours :

• Collecter le consentement utilisateur pour les produits hors Google sur votre site via votre bannière CMP. La collecte du consentement s’effectue donc côté Web.
• Envoyer les paramètres de consentement à votre GTM Serveur via votre balise Google.
• Respecter le choix en déclenchant ou non les différents tags côté Serveur selon la décision de l’utilisateur.

Si vous rencontrez une difficulté durant ces étapes, n’hésitez pas à contacter notre équipe support.