Bannières de consentement et angle mort de la mesure

Au Royaume-Uni, les cookies et technologies similaires relèvent de la regulation 6 des Privacy and Electronic Communications (EC Directive) Regulations 2003 (PECR), le texte britannique sur la vie privée et les communications électroniques. Le Data (Use and Access) Act 2025 a substitué une nouvelle regulation 6 avec effet au 5 février 2026. La règle générale reste inchangée. Sous réserve de l'annexe A1 (Schedule A1), nul ne peut stocker d'informations, ni accéder à des informations stockées, dans l'équipement terminal d'un abonné ou d'un utilisateur. Le nouveau texte précise que le fait de provoquer ce stockage ou cet accès est également visé, et que l'accès inclut la collecte d'informations émises automatiquement par l'appareil.

L'Information Commissioner's Office (ICO), l'autorité britannique de protection des données, a finalisé le 29 avril 2026 ses lignes directrices sur les technologies de stockage et d'accès. Elles couvrent les cookies, les pixels de suivi, la décoration de liens, le stockage local, l'empreinte numérique des appareils (fingerprinting), les scripts et les balises. Elles énoncent cinq exceptions à l'obligation de consentement : la communication, la stricte nécessité, les finalités statistiques, l'apparence et l'assistance en cas d'urgence.

Pour le reporting de direction, l'exception des finalités statistiques est la plus importante. Selon les lignes directrices de l'ICO, une organisation peut recourir à des outils d'analytics sans consentement lorsque leur unique finalité est de recueillir des informations statistiques sur l'utilisation de son service, en vue de l'améliorer. Les informations obtenues doivent être agrégées, les visiteurs doivent recevoir une information claire et complète, et il doit exister un moyen simple et gratuit de s'y opposer. Un prestataire d'analytics tiers peut intervenir, mais il doit agir en tant que sous-traitant et ne doit pas combiner ces données avec des informations provenant d'autres sources.

L'exception a des limites nettes. L'ICO indique que les finalités de publicité en ligne « ne sont pas exemptées des exigences de consentement de PECR et ne l'ont jamais été », et range parmi elles la mesure et la performance publicitaires. Relier un identifiant de visiteur à des achats afin de partager les conversions avec des partenaires publicitaires exige toujours un consentement.

Le Data (Use and Access) Act ne modifie que le droit britannique. Les organisations qui reçoivent des visiteurs de l'Union européenne doivent mener un examen distinct au regard des règles applicables là où se trouvent ces visiteurs.

Les sites qui utilisent des balises Google leur transmettent les choix de consentement par l'intermédiaire de Google Consent Mode. La documentation pour les développeurs de Google décrit deux modes de mise en œuvre, et ce choix modifie ce que l'entreprise peut voir.

En mode de consentement de base, les balises Google sont bloquées jusqu'à ce que le visiteur interagisse avec la bannière. S'il refuse, aucune donnée n'est envoyée à Google, pas même le statut de consentement. La modélisation des conversions dans Google Ads se rabat alors sur un modèle général.

En mode de consentement avancé, les balises se chargent avec un consentement réglé par défaut sur « denied » (refusé). Tant que le consentement est refusé, elles envoient des mesures sans cookies, et la mesure complète ne commence qu'une fois le consentement accordé par le visiteur. Google indique que ce mode permet un modèle propre à l'annonceur plutôt qu'un modèle général.

Chaque type de consentement a des effets précis. Avec analytics_storage refusé, Google Analytics ne lit ni n'écrit ses cookies propriétaires. Avec ad_storage refusé, aucun nouveau cookie publicitaire n'est écrit et les adresses IP sont tronquées dès la collecte. Avec ad_user_data refusé, les données propriétaires hachées destinées aux conversions améliorées ne sont pas envoyées. Chacun de ces réglages réduit la part de l'activité qui peut être observée et rattachée à un même visiteur au cours d'une session ou lors d'une visite ultérieure.

Google Analytics 4 comble une partie de l'écart grâce à la modélisation comportementale, qui estime le comportement des visiteurs ayant refusé les cookies d'analytics à partir de celui de visiteurs similaires qui les ont acceptés. Le centre d'aide de Google en fixe les conditions. Consent Mode doit être déployé sur chaque page, dans sa mise en œuvre avancée. La propriété doit collecter au moins 1 000 événements par jour avec analytics_storage refusé, pendant au moins 7 jours. Elle doit aussi compter au moins 1 000 utilisateurs quotidiens envoyant des événements avec analytics_storage accordé, sur au moins 7 des 28 jours précédents. Atteindre ces seuils ne garantit pas l'éligibilité.

Une propriété au trafic modeste peut rester en dessous, et Google est explicite sur la conséquence. Si le trafic consenti ne suffit pas à entraîner le modèle, les événements des visiteurs qui ont refusé le consentement ne sont pas comptabilisés dans les rapports.

Là où la modélisation fonctionne, elle s'arrête à certaines fonctionnalités. Google indique que les audiences, l'explorateur d'utilisateurs, les explorations de cohortes et de valeur vie, les segments de séquence, les rapports de fidélisation, les métriques prédictives et l'export de données, y compris l'export BigQuery, ne sont pas pris en charge. Un entrepôt de données alimenté par l'export BigQuery ne contient donc que des données observées, alors que l'interface GA4 avec l'identité de reporting mixte (Blended) affiche les données observées et modélisées. Lorsque le tableau de bord de l'entrepôt et l'écran GA4 donnent des nombres d'utilisateurs différents pour la même semaine, c'est l'une des raisons documentées à vérifier en premier.

L'exception de 2026 permet à un analytics qui en remplit les conditions de fonctionner sans consentement, alors que la mesure publicitaire en dépend toujours. Une organisation qui fait passer son analytics sous le régime de l'exception peut voir les sessions et les utilisateurs augmenter dans ses rapports d'analytics, tandis que les conversions déclarées par ses plateformes publicitaires restent au même niveau. Cet écart tiendrait à ce que chaque système est autorisé à observer, et non à une évolution de la demande.

Considérez la date de toute modification de la configuration du consentement comme une rupture de série. Inscrivez-la dans le calendrier de reporting, conservez des courbes de tendance distinctes avant et après, et évitez de comparer des taux de conversion de part et d'autre de la rupture sans ajustement explicite. Prenez le nombre de commandes issu de la plateforme e-commerce ou de l'ERP comme série de référence : il ne dépend d'aucun stockage dans le navigateur et ne change pas lorsqu'une bannière est redessinée.

Le CTO doit savoir quelle plateforme de gestion du consentement est utilisée, si Google Consent Mode est mis en œuvre dans sa forme de base ou avancée, et si chaque balise du site, y compris celles d'autres fournisseurs, respecte le choix du visiteur.

Le responsable de la protection des données doit pouvoir indiquer sur quelle exception de PECR repose chaque technologie non publicitaire, où se trouve le moyen simple dont dispose le visiteur pour s'opposer, et si le contrat du prestataire d'analytics lui confère la qualité de sous-traitant.

Le CMO et le CFO doivent savoir quels indicateurs présentés au conseil sont observés et lesquels intègrent des données modélisées, si la propriété GA4 atteint les seuils de la modélisation comportementale, et quelle série fait référence lorsque les systèmes divergent. Chaque réponse doit avoir un responsable nommément désigné et être revue à chaque modification de la bannière, de la plateforme de consentement ou de l'ensemble des balises.