Ouvrir l'espace

Guide · Réglementation européenne

DMA : pourquoi Google a commencé à exiger Consent Mode v2

Le Digital Markets Act (DMA) est une règle européenne pour les grandes plateformes, comme Google. Il ne s'adresse pas directement à votre site, mais il a changé la façon dont Google reçoit le consentement des visiteurs européens. Ce guide explique ce qu'est le DMA, ce qu'il exige de Google et ce qui change pour les éditeurs et les annonceurs.

Auditer mon site maintenantLire le guide
  • ✓Basé sur le site officiel du DMA de la Commission européenne
  • ✓Explique le lien avec les signaux ad_user_data et ad_personalization
  • ✓Lecture du site sans rien modifier
7entreprises désignées comme contrôleurs d'accès (gatekeepers) par la Commission européenne
8services d'Alphabet, propriétaire de Google, dans la liste du DMA
10%du chiffre d'affaires mondial, plafond des amendes, ou 20% en cas de récidive
2024année où les gatekeepers ont commencé à respecter toutes les obligations

Définition

Une loi pour les grandes plateformes numériques

Le Digital Markets Act (DMA) est le Règlement (UE) 2022/1925. Il est entré en vigueur le 1er novembre 2022 et est devenu applicable le 2 mai 2023.

L'objectif est de rendre les marchés numériques plus équitables et plus ouverts. Pour cela, le DMA crée une liste de devoirs et d'interdictions pour les gatekeepers, ou contrôleurs d'accès : des entreprises très grandes qui servent de porte d'entrée entre les entreprises et les consommateurs.

Le DMA ne remplace ni le GDPR ni les règles de concurrence. Il ajoute des obligations à celles qui existent déjà. Et, contrairement au GDPR, il ne vise pas les sites ordinaires : ce sont les gatekeepers qui doivent s'y conformer.

Pourtant, l'effet touche tout site avec des publicités Google. Pour respecter le DMA, Google a dû changer la façon dont il reçoit et utilise le consentement des visiteurs européens, et a répercuté cette exigence sur les éditeurs et les annonceurs.

Checklist

Ce que vous devez respecter

Le DMA s'impose aux gatekeepers, mais Google transmet à votre site l'obligation de recueillir et d'envoyer le consentement des visiteurs de l'EEE.

  1. Demandez aussi le consentement pour Google

    La politique de consentement de Google exige un consentement valide pour les cookies, lorsque la loi le demande, et pour l'utilisation de données personnelles dans les annonces personnalisées. Cela vaut pour tout site qui utilise des produits Google avec des visiteurs de l'EEE.

    Exemple

    Google figure dans la liste des partenaires du bandeau, avec les finalités publicitaires.

  2. Envoyez les quatre signaux de Consent Mode v2

    Pour continuer à utiliser la mesure, les annonces personnalisées et le remarketing avec des visiteurs de l'EEE, Google demande que le site envoie les signaux ad_user_data et ad_personalization, en plus de ad_storage et analytics_storage.

    Exemple

    Dans la CMP, activez l'intégration avec Consent Mode et vérifiez que les quatre signaux apparaissent.

  3. Définissez la valeur par défaut avant toute balise

    Google demande que la commande de consentement par défaut s'exécute sur toutes les pages avant toute commande qui envoie des données. Ainsi, rien ne part avant le choix du visiteur.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});

  4. Utilisez une CMP certifiée avec TCF pour les annonces

    Pour les annonces personnalisées Google dans l'EEE, au Royaume-Uni et en Suisse, AdSense et Ad Manager exigent une CMP certifiée par Google et intégrée à l'IAB TCF.

  5. Autorisez les finalités dont Google a besoin

    Dans le TCF, Google a besoin du consentement pour les finalités 1, 3 et 4 pour les annonces personnalisées et pour la finalité 1 pour les non personnalisées. Sans consentement pour la finalité 1, le site ne doit pas appeler la balise d'annonces Google.

    Exemple

    Dans la CMP, activez Google comme fournisseur et marquez les finalités 1, 3 et 4 comme disponibles.

  6. Transmettez le consentement lors de l'envoi de listes de clients

    Depuis mars 2024, les listes de clients de l'EEE envoyées à Google Ads doivent porter les deux consentements comme accordés. Sans eux, ces données ne sont pas utilisées pour la personnalisation.

  7. Conservez des registres et expliquez comment révoquer

    La politique de Google demande que le site conserve un registre des consentements et donne des instructions claires pour retirer son choix.

    Exemple

    Un lien fixe dans le pied de page, Préférences de confidentialité, rouvre le bandeau.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Le DMA n'a pas de liste propre de CMP, donc la liste des CMP certifiées de Google et le guide officiel de Consent Mode font foi.

Gatekeepers

Qui a été désigné par la Commission européenne

Six entreprises ont été désignées le 6 septembre 2023. Booking les a rejointes en mai 2024. Au total, la liste officielle compte 23 services de plateforme essentiels.

Alphabet (Google)

Recherche, YouTube, Android, Chrome, Google Play, Google Maps, Google Shopping et le service de publicité en ligne.

Meta

Facebook, Instagram, WhatsApp, Messenger et Meta Ads.

Amazon et Apple

Marketplace et publicité d'Amazon. App Store, iOS, iPadOS et Safari d'Apple.

ByteDance, Microsoft et Booking

TikTok, LinkedIn, Windows et la plateforme de réservation de Booking.

La règle du consentement

Le point du DMA qui touche les publicités

Parmi les règles du DMA, une affecte directement la publicité : le gatekeeper ne peut pas traiter à des fins publicitaires les données personnelles d'utilisateurs provenant de services tiers, ni combiner ou croiser des données entre ses services, sans que l'utilisateur l'ait choisi et ait donné son consentement au sens du GDPR.

Les considérants du règlement expliquent ce que doit être ce consentement. La personne doit pouvoir choisir librement. Ne pas donner son consentement ne peut pas être plus difficile que le donner. Le retirer doit être aussi facile que le donner. Et le gatekeeper ne peut pas redemander plus d'une fois par an à celui qui a déjà refusé.

Celui qui refuse doit aussi avoir accès à une alternative moins personnalisée, mais équivalente. Le service ne peut pas être conditionné au consentement.

Pour Google, cela veut dire : quand les données d'un visiteur arrivent par les balises installées sur des sites et applications tiers, comme celles de Google Ads, Analytics, AdSense et Ad Manager, Google doit savoir si ce visiteur européen a consenti. C'est là qu'interviennent les nouveaux signaux de Consent Mode.

Chronologie

Du règlement aux nouveaux signaux de Google

Les dates qui expliquent pourquoi 2024 a été l'année du changement.

  1. 1er novembre 2022

    Le DMA entre en vigueur

    Le Règlement (UE) 2022/1925 existe officiellement.

  2. 2 mai 2023

    Le DMA devient applicable

    Les entreprises qui atteignent les seuils ont deux mois pour prévenir la Commission.

  3. 6 septembre 2023

    Gatekeepers désignés

    Alphabet, Amazon, Apple, ByteDance, Meta et Microsoft sont désignés, avec jusqu'à six mois pour respecter les obligations.

  4. Octobre 2023

    Google prévient les développeurs

    Google publie des changements dans les API publicitaires pour soutenir le DMA, avec un objet de consentement pour les conversions et les listes de clients.

  5. 16 janvier 2024

    CMP certifiée pour les éditeurs

    AdSense, Ad Manager et AdMob exigent désormais une CMP certifiée par Google et intégrée au TCF pour les publicités personnalisées dans l'EEE et au Royaume-Uni.

  6. 7 mars 2024

    Les obligations du DMA s'appliquent pleinement

    Les gatekeepers doivent respecter toutes les obligations. Google renforce la politique de consentement de l'UE et les listes de clients sans consentement commencent à perdre en portée.

Consent Mode v2

Les deux signaux nés pour répondre au DMA

Avant 2024, Consent Mode avait deux signaux principaux : ad_storage, pour les cookies publicitaires, et analytics_storage, pour les cookies de mesure. Ils disaient si le navigateur pouvait enregistrer des cookies, mais ne disaient pas si la personne acceptait que ses données soient utilisées par Google pour la publicité.

La version 2 a apporté deux nouveaux signaux. ad_user_data indique si les données du visiteur peuvent être envoyées à Google à des fins de publicité en ligne. ad_personalization indique si la personne accepte les publicités personnalisées, comme le remarketing.

Grâce à ces signaux, Google peut prouver qu'il a le consentement exigé par le DMA pour utiliser les données qui arrivent par les balises. Sans eux, Google cesse d'utiliser les données des visiteurs de l'EEE pour créer des audiences, faire du remarketing et personnaliser les publicités.

Consent Mode n'est pas une bannière. C'est la CMP qui interroge le visiteur. Consent Mode ne fait que transmettre la réponse aux balises de Google.

Ce qui change pour chaque camp

Éditeurs et annonceurs ressentent le DMA différemment

Le même visiteur européen passe par les deux côtés : par le site qui affiche la publicité et par le site de l'annonceur qui mesure la conversion.

Éditeurs (AdSense et Ad Manager)

Le signal principal pour les publicités est la string du TCF envoyée par une CMP certifiée par Google.

  • La CMP certifiée transmet déjà le consentement à Google via le TCF
  • Celui qui refuse peut encore recevoir des publicités non personnalisées ou limitées
  • Consent Mode complète la configuration quand le site utilise Analytics
  • Sans CMP certifiée, le trafic de l'EEE perd les publicités personnalisées
  • Une bannière mal configurée fait chuter les revenus européens
  • La personnalisation restreinte apparaît dans le tableau de bord AdSense

Annonceurs (Google Ads et Analytics)

Le signal principal est Consent Mode v2, avec les quatre paramètres.

  • Avec le mode avancé, Google modélise les conversions de ceux qui ont refusé
  • Les audiences et le remarketing continuent pour ceux qui ont accepté
  • Les imports de conversions et de listes transportent le consentement
  • Sans ad_user_data et ad_personalization, perte du remarketing et des audiences dans l'EEE
  • Les listes de clients sans consentement perdent en portée
  • La mesure des conversions devient incomplète

Contrôle

Les sanctions du DMA, qui pèsent sur les gatekeepers

La Commission européenne applique le DMA. Les amendes visent les gatekeepers, mais la pression atteint les partenaires, qui doivent envoyer les bons signaux.

Amende jusqu'à 10%

Du chiffre d'affaires mondial annuel total de l'entreprise en cas de non-respect.

Jusqu'à 20% en cas de récidive

Pour les infractions répétées, le plafond double.

Astreintes journalières

Paiements périodiques allant jusqu'à 5% du chiffre d'affaires journalier moyen pour forcer le respect.

Rapports de conformité

Les gatekeepers remettent des rapports et une description auditée des techniques de profilage des consommateurs.

Que faire

Comment préparer le site au DMA

  1. Utilisez une CMP certifiée par GooglePour les éditeurs avec du trafic de l'EEE, du Royaume-Uni ou de la Suisse, c'est la condition pour les publicités personnalisées. Le Message de confidentialité d'AdSense et d'Ad Manager est l'une des options.
  2. Activez Consent Mode v2 dans la CMPVérifiez que la CMP envoie les quatre signaux : ad_storage, analytics_storage, ad_user_data et ad_personalization.
  3. Définissez le réglage par défaut avant les balisesLa commande de consentement par défaut doit venir en haut de la page, avant gtag.js, Google Tag Manager et le code publicitaire.
  4. Utilisez les régionsRefusez par défaut là où la loi exige un consentement préalable et gardez accordé dans le reste du monde, si la loi locale le permet.
  5. Vérifiez les imports de donnéesSi vous envoyez des conversions hors ligne ou des listes de clients à Google Ads, transmettez le consentement avec elles ou faites la confirmation demandée dans l'interface.
Exemple de réglage refusé par défaut pour quelques régions (la liste complète contient tous les pays de l'EEE, plus le Royaume-Uni et la Suisse)
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied',
  region: ['AT', 'BE', 'DE', 'ES', 'FR', 'IT', 'PT', 'GB', 'CH'],
  wait_for_update: 500
});

Erreurs courantes

Ce qui apparaît le plus sur les sites après le DMA

Toutes ces erreurs laissent la bannière fonctionner en apparence, mais Google reçoit le mauvais signal.

Consent Mode v1 encore sur le site

Le site envoie ad_storage et analytics_storage, mais pas ad_user_data ni ad_personalization. Pour Google, il manque le consentement exigé pour les publicités.

Signaux envoyés après les balises

La CMP se charge après le code publicitaire. Les premières demandes partent sans aucun signal de consentement.

Refus qui n'arrive pas à Google

Le visiteur refuse dans la bannière, mais la mise à jour n'est pas envoyée. Les balises continuent comme si rien n'avait changé.

Tout refusé dans le monde entier

Le réglage refusé vaut pour tous les pays. Les visiteurs du Brésil et des États-Unis perdent des publicités sans nécessité.

Dans ConsentMode

Ce que l'audit vérifie sur le DMA et Consent Mode

  • Ouvre le site comme un visiteur de l'EEE et lit les commandes de consentement dans le code de la page, dans l'ordre où elles apparaissent.
  • Vérifie que les quatre signaux sont présents dans le réglage par défaut et dans la mise à jour après le choix.
  • Identifie la CMP, lit la string du TCF et vérifie que la CMP figure dans la liste des CMP certifiées de Google.
  • Compare la visite européenne avec la visite hors d'Europe pour voir si les régions sont correctes.
  • Montre où corriger, avec capture et le chemin dans la CMP, dans Google Tag Manager ou dans WordPress.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes sur le DMA

Le DMA s'applique-t-il à mon site ?

Pas directement. Le DMA vise les gatekeepers, comme Alphabet. Mais, pour respecter le DMA, Google exige que les éditeurs et les annonceurs envoient le consentement des visiteurs européens. En pratique, qui utilise des produits Google en ressent l'effet.

Quelle est la différence entre le DMA et le GDPR ?

Le GDPR protège les données personnelles et s'applique à toute entreprise qui traite des données de personnes en Europe. Le DMA réglemente le comportement des grandes plateformes sur le marché. Le DMA reprend la définition du consentement du GDPR.

Mon public est uniquement brésilien. Ai-je besoin de Consent Mode v2 ?

Pour les visiteurs du Brésil, Google ne l'exige pas. Si vous avez des visiteurs de l'EEE, l'exigence vaut pour eux. Utilisez les régions pour ne pas refuser le consentement au Brésil.

Consent Mode v2 est-il la même chose que le TCF ?

Non. Le TCF est la norme de l'IAB Europe que les CMP certifiées utilisent pour transmettre le consentement à tous les partenaires publicitaires. Consent Mode est la façon dont Google reçoit le choix dans ses propres balises. Une CMP certifiée gère généralement les deux.

Les nouveaux signaux font-ils chuter les revenus ?

Pas en soi. Ce qui réduit les revenus, c'est de ne pas envoyer les signaux, ou de tout refuser dans le monde entier. Avec les bons signaux et des régions bien définies, ceux qui acceptent gardent des publicités personnalisées.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Vérifiez que votre site envoie les signaux attendus par Google

L'audit lit les commandes de consentement, la CMP et le TCF comme un visiteur européen et montre ce qu'il faut corriger.

Lancer l'audit