RGPD et Google Tag Manager : bien configurer son conteneur

Pourquoi GTM complique l'audit

GTM agit comme une boîte à outils centralisée : chaque tag (Analytics, pixel publicitaire, widget) y est ajouté et configuré indépendamment du code source du site. Cette souplesse a un revers : il est facile d'ajouter un tag qui se déclenche « sur toutes les pages » sans le conditionner au consentement, surtout quand plusieurs personnes interviennent sur le conteneur au fil du temps. Vu de l'extérieur, le résultat est identique à un script codé en dur qui se charge trop tôt : c'est bien le comportement observé qui compte, pas la méthode utilisée pour l'ajouter.

Conditionner les tags au consentement

GTM permet de créer des déclencheurs conditionnés par une variable de consentement, mise à jour par votre gestionnaire de cookies (CMP) lorsque l'internaute fait son choix. Le « mode consentement » de Google va plus loin : il ajuste automatiquement le comportement de certains tags Google (Analytics, Ads) selon l'état du consentement, sans bloquer entièrement leur exécution technique mais en limitant ce qu'ils collectent tant que l'accord n'est pas donné.

La bonne pratique reste néanmoins de bloquer réellement le déclenchement des tags non essentiels avant consentement, plutôt que de compter uniquement sur un ajustement a posteriori — c'est la garantie la plus solide au regard des exigences de la CNIL.

Bonnes pratiques de configuration

• Nommer clairement chaque tag et documenter sa finalité (audience, publicité, réseau social…).
• Systématiquement associer un déclencheur conditionné au consentement pour tout tag non essentiel.
• Passer en revue le conteneur régulièrement pour retirer les tags obsolètes ou inutilisés.
• Limiter le nombre de personnes ayant les droits de publication sur le conteneur en production.
• Tester le comportement du site sans consentement (mode navigation privée) pour vérifier qu'aucun tag ne se déclenche.

Vérifier depuis l'extérieur

Peu importe qu'un traceur soit ajouté directement dans le code ou via GTM : une analyse automatisée observe le comportement réel du site et détecte tout script qui se déclenche avant consentement, quelle que soit la méthode d'intégration utilisée. C'est le moyen le plus fiable de vérifier que la configuration de votre conteneur est effectivement conforme, au-delà de ce qui est visible dans l'interface GTM elle-même.