Bannière de témoins conforme à la Loi 25 sans perdre vos données Google Ads

Oui, on peut respecter la Loi 25 sans aveugler ses campagnes Google Ads. La loi exige que les technologies qui permettent d'identifier, de localiser ou de profiler un visiteur soient désactivées par défaut, jusqu'à ce que la personne les active. Le mode Consentement de Google (Consent Mode v2) est conçu pour ça : vos balises Google respectent le refus, n'écrivent aucun témoin publicitaire, mais envoient des signaux anonymes qui permettent à Google d'estimer une partie des conversions perdues. Vous perdez quand même des données, surtout le reciblage et le suivi individuel des visiteurs qui refusent. L'objectif réaliste n'est pas de tout garder, mais de garder ce qui est légitime et de mesurer correctement le reste.

Ce que la Loi 25 exige vraiment

Depuis septembre 2023, la Commission d'accès à l'information (CAI) résume ainsi l'obligation : une organisation qui recueille des renseignements personnels à l'aide d'une technologie permettant d'identifier une personne, de la localiser ou d'en faire le profilage doit d'abord l'en informer, ainsi que des moyens d'activer ces fonctions. Ces fonctions ne peuvent pas être activées par défaut. C'est la personne qui doit poser un geste pour les activer.

Deux précisions utiles :

• La loi ne parle pas de « témoins » en tant que tels. Ce qui compte, c'est ce que fait la technologie. Un témoin qui garde un panier d'achat ou une session de connexion n'identifie ni ne profile personne au sens visé.
• La CAI précise que l'obligation d'offrir par défaut le plus haut niveau de confidentialité pour les produits et services technologiques ne vise pas les paramètres de témoins. Ce sont les fonctions d'identification, de localisation et de profilage qui doivent être désactivées.

Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial. Peu de PME risquent ce plafond, mais une plainte d'un client ou d'un concurrent peut mener à une enquête.

Quels outils sont visés sur un site typique

Pour Google Analytics, l'interprétation varie. Certains juristes considèrent une mesure d'audience de base comme peu intrusive; d'autres la classent avec la publicité. Dans le doute, la prudence consiste à la traiter comme les autres et à compter sur le mode Consentement pour combler une partie de l'écart.

Comment fonctionne le mode Consentement

Votre bannière (ou plateforme de gestion du consentement) transmet aux balises Google le choix du visiteur à l'aide de quatre signaux :

• ad_storage : témoins et identifiants publicitaires;
• analytics_storage : témoins de mesure d'audience;
• ad_user_data : envoi à Google de données d'utilisateurs à des fins publicitaires;
• ad_personalization : publicité personnalisée et reciblage.

Au chargement de la page, on déclare un état par défaut, avant toute autre commande Google :

``js gtag('consent', 'default', { 'ad_storage': 'denied', 'ad_user_data': 'denied', 'ad_personalization': 'denied', 'analytics_storage': 'denied', 'wait_for_update': 500 }); ``

Quand le visiteur accepte, la bannière envoie une commande update avec les signaux à granted. Le paramètre wait_for_update laisse à une bannière qui se charge un peu tard le temps de répondre avant que les balises n'envoient quoi que ce soit.

Si vous servez aussi des visiteurs ailleurs qu'au Québec, Google permet de cibler l'état par défaut par région avec le paramètre region (par exemple 'region': ['CA-QC']). La géolocalisation par adresse IP reste approximative; pour une entreprise dont la clientèle est surtout québécoise, appliquer le même défaut à tout le monde est plus simple et plus sûr.

Mode de base ou mode avancé

• Mode de base : les balises Google sont bloquées jusqu'au choix du visiteur. S'il refuse, rien n'est envoyé à Google. La modélisation des conversions repose alors sur un modèle général.
• Mode avancé : les balises se chargent avec le consentement refusé par défaut. En cas de refus, elles envoient des pings sans témoins : l'état du consentement, le fait qu'une conversion a eu lieu, l'heure, le navigateur, la page d'origine. Google peut alors bâtir un modèle propre à votre compte.

Le mode avancé récupère plus de données, mais il envoie quelque chose à Google avant le consentement. Ces pings ne contiennent pas de témoins ni d'identifiant persistant, et plusieurs organisations jugent qu'ils ne permettent pas d'identifier ou de profiler quelqu'un. D'autres préfèrent le mode de base par prudence. C'est une décision à prendre consciemment, idéalement avec la personne responsable de la protection des renseignements personnels de votre entreprise.

Ce que vous gardez, ce que vous perdez

Quand un visiteur refuse :

Vous gardez

• les clics, les impressions et les coûts dans Google Ads, qui ne dépendent pas des témoins de votre site;
• les conversions des visiteurs qui ont accepté;
• avec le mode avancé, des conversions modélisées, si vous atteignez les seuils.

Vous perdez

• ce visiteur dans vos listes de reciblage;
• son parcours détaillé dans GA4;
• la conversion observée liée à son clic, remplacée au mieux par une estimation.

Les seuils comptent. Pour la modélisation des conversions dans Google Ads, Google exige 700 clics publicitaires par jour sur une période de 7 jours, par pays et par groupe de domaines. Pour la modélisation du comportement dans GA4, il faut au moins 1 000 événements par jour avec analytics_storage refusé pendant 7 jours, et au moins 1 000 utilisateurs quotidiens ayant accepté pendant 7 des 28 jours précédents. Une PME qui reçoit quelques centaines de clics par semaine n'y arrivera pas. Pour elle, le mode Consentement sert surtout à rester conforme sans casser le suivi des visiteurs qui acceptent.

Attendez-vous donc à une baisse des conversions déclarées après l'installation d'une bannière correcte. Ce ne sont pas des clients perdus : ce sont des données que vous n'aviez pas le droit de recueillir. Ajustez vos attentes de coût par conversion en conséquence, plutôt que de maquiller la bannière pour pousser les visiteurs à accepter.

Mise en place, étape par étape

1. Faites l'inventaire. Ouvrez votre site en navigation privée, refusez tout, puis regardez les témoins et les requêtes réseau dans les outils de développement du navigateur. On trouve presque toujours un pixel oublié ou une vidéo intégrée.
2. Choisissez un outil de gestion du consentement qui s'intègre à Google Tag Manager et transmet les quatre signaux. Vérifiez qu'il est offert en français, puisque la bannière doit l'être aussi.
3. Classez chaque témoin selon sa fonction réelle : nécessaire, mesure d'audience, publicité, préférences.
4. Concevez la bannière. Un texte court en français, des boutons « Accepter », « Refuser » et « Paramètres » de même poids visuel, et un lien vers la politique de confidentialité.
5. Mettez à jour la politique de confidentialité. La CAI demande d'indiquer le recours à ces technologies et la façon d'activer leurs fonctions.
6. Branchez le mode Consentement avec les quatre signaux refusés par défaut, déclarés avant les balises Google.
7. Bloquez aussi les autres outils. Le mode Consentement ne gère que les balises Google. Pour le pixel Meta, Meta prévoit la commande fbq('consent', 'revoke') avant l'initialisation, puis fbq('consent', 'grant') après l'acceptation.
8. Testez les deux chemins. Refus : aucun témoin publicitaire, aucun pixel. Acceptation : les conversions apparaissent dans Google Ads et GA4.
9. Permettez de changer d'avis. Un lien « Gérer mes témoins » dans le pied de page, toujours accessible.

Les erreurs qu'on voit le plus

• Une bannière qui informe sans rien bloquer : le pixel se charge avant même que le visiteur ait lu le texte.
• Un bouton « Refuser » caché dans un deuxième écran, alors qu'« Accepter » est en gros et en couleur.
• Une bannière en anglais seulement, ou une version française moins accessible : la Charte de la langue française s'applique aussi à votre site.
• Un mode Consentement installé dans GTM, mais des balises Google codées en dur dans le thème du site qui l'ignorent.
• Aucune vérification après une mise à jour du site ou l'ajout d'un nouvel outil.

L'approche de PNE

Notre service d'analytique et de suivi de performance commence par un audit de ce qui se déclenche réellement sur votre site, puis installe GA4, Google Tag Manager, le mode Consentement et le suivi des conversions dans le bon ordre. C'est la configuration que nous utilisons sur notre propre site : tous les signaux refusés par défaut, mis à jour seulement après le choix du visiteur. Le but est simple : des chiffres fiables pour vos décisions publicitaires, et une bannière que vous pouvez défendre devant la CAI.

Sources

• Principaux changements apportés par la Loi 25 — Commission d'accès à l'information du Québec
• À propos du mode Consentement — Aide Google Ads
• Set up consent mode on websites — Google for Developers
• Behavioral modeling for consent mode — Aide Google Analytics
• About consent mode modeling — Aide Google Ads
• Meta Pixel: consent — Meta for Developers