Google Tag Manager : 7 erreurs qui rendent ton site non conforme au RGPD

Ouvre l’onglet Réseau de ton navigateur sur un site e-commerce au hasard. Dans la plupart des cas, au moins une balise marketing part avant le consentement. Pixel Meta, Google Ads, GA4 mal conditionné, et parfois gtm.js lui-même chargé avant la bannière.

Je le constate à chaque audit de conteneur, y compris sur des sites que je rachète.

Le risque n’est pas théorique : l’amende peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Et c’est ta responsabilité d’éditeur qui est engagée, pas celle de Google.

Depuis le jugement du tribunal administratif de Hanovre de janvier 2025, le simple chargement de gtm.js peut suffire à te placer hors conformité.

Entre les pièges du Consent Mode v2 et les erreurs d’intégration de ta CMP, voici les 7 erreurs de configuration qui exposent ton site en 2026, de la plus banale à la plus risquée, avec la correction pour chacune.

Sommaire

Erreur 1 : laisser Google Tag Manager se charger avant le consentement

La plus banale d’abord. Tu charges gtm.js dans le <head> dès le premier pixel rendu, avant même que la bannière cookies apparaisse. C’est l’erreur la plus répandue sur les sites e-commerce et les sites vitrines que j’audite.

Google Tag Manager, l'outil de gestion des balises de Google, sur son site officiel — L’interface officielle de Google Tag Manager : un conteneur centralise toutes tes balises, mais chacune doit être configurée pour respecter le consentement RGPD avant de se déclencher.

Google Tag Manager collecte-t-il des données personnelles dès le premier affichage ?

Oui, dès le chargement du conteneur.

Pour exécuter ton conteneur, le navigateur du visiteur doit télécharger le fichier gtm.js depuis les serveurs de Google (googletagmanager.com). Cette requête HTTP initiale transmet automatiquement l’adresse IP du visiteur, la chaîne User-Agent (navigateur, système d’exploitation, type d’appareil) et l’URL exacte de la page consultée via l’en-tête Referer.

L’adresse IP est une donnée à caractère personnel selon le RGPD. Un traitement vers un tiers s’effectue donc avant même que ton visiteur ait pu interagir avec la bannière.

Google le présente autrement. Selon sa documentation confidentialité, Tag Manager ne collecte que des données globales de diagnostic sur le déclenchement des balises, sans adresse IP ni identifiant rattaché à une personne. Les journaux de requêtes HTTP standards seraient supprimés sous 14 jours.

La réalité technique reste simple : l’appel à gtm.js crée une connexion sortante vers des serveurs Google, souvent hors UE. Tant que ce script part avant le choix de l’utilisateur, tu traites déjà des données personnelles.

Ce que dit Google vs le jugement de Hanovre et la jurisprudence européenne

Google positionne GTM comme un outil de déploiement de balises, pas comme un tracker. Le conteneur ne déposerait aucun cookie en usage normal (hors mode Preview, réservé aux admins). La conformité dépendrait des balises que tu y places et de ton paramétrage Consent Mode.

Le tribunal administratif de Hanovre (Verwaltungsgericht Hannover) a tranché autrement en janvier 2025. Le chargement de GTM avant consentement viole la section 25 du TTDSG allemand et l’article 6 du RGPD. Motifs retenus :

transmission de l’IP et de données techniques dès le premier affichage ;
absence d’exemption pour « nécessité technique » : GTM sert des finalités marketing et analytics de l’éditeur, pas la fourniture stricte du service demandé par l’internaute ;
transfert potentiel vers les États-Unis sans base légale suffisante au moment du chargement ;
impossibilité pour le visiteur de s’opposer, puisque la requête part avant toute interaction avec la CMP.

Cette décision allemande n’est pas une loi française. Elle pèse sur toute l’Europe : les autorités de contrôle s’alignent de plus en plus sur une lecture stricte du consentement préalable pour les tag managers. Si ton site touche des visiteurs allemands ou si une plainte de type NOYB arrive, tu es exposé.

Zone grise CNIL en France et corrections immédiates

La CNIL n’a pas publié de décision miroir sur GTM seul. Elle a en revanche multiplié les mises en demeure sur Google Analytics et les transferts hors UE. Sa doctrine : tout outil qui lit ou écrit des informations sur le terminal avant consentement entre dans le champ ePrivacy. En cas de contrôle, tu réponds en tant que responsable de traitement : Google n’est que ton sous-traitant.

Deux architectures te permettent de bloquer le risque sans paralyser ton suivi :

Option	Fonctionnement technique	Impact sur la collecte
Séquençage par la CMP	Placer le script de ta CMP (Axeptio, Cookiebot, Tarteaucitron) en dur dans le <head> avant GTM. La CMP injecte gtm.js uniquement après un consentement explicite, ou charge le conteneur en denied par défaut puis envoie un consent update après le choix.	Perte des données de trafic des visiteurs qui refusent la bannière.
Architecture server-side	Faire pointer ton conteneur vers un serveur proxy hébergé dans l’UE (OVH, Hetzner ou Cloud Run en région europe-west9 à Paris). Le navigateur charge le script depuis tracking.ton-site.fr.	Masquage de l’IP, contrôle total du flux sortant, conformité renforcée (en savoir plus).

L’option server-side demande de vraies compétences d’administration serveur.

Applique ensuite le contrôle que je fais systématiquement quand je rachète un site : ouvre une navigation privée, recharge ta home et filtre l’onglet Réseau sur gtm.js et googletagmanager. Si la requête apparaît avant le clic sur la bannière, tu n’es pas conforme.

Documente enfin le flux dans ton registre des traitements : finalité du conteneur, base légale, moment exact du premier appel réseau et preuve que la CMP précède GTM.

Tant que gtm.js part en premier, le reste de ta config Consent Mode v2 ne rattrape pas l’infraction initiale.

Erreur 2 : installer sa CMP directement à l’intérieur de Google Tag Manager

Corriger l’ordre de chargement ne suffit pas. Si ta bannière cookies est chargée via une balise HTML personnalisée dans GTM, tu retombes dans le même travers. La promesse est séduisante : tout centraliser dans le même conteneur sans toucher au code du site. Elle te place pourtant dans une impasse technique et juridique.

Franck Scandolera, qui forme des équipes analytics sur formations-analytics.com, la classe parmi les erreurs les plus fréquentes qu’il croise en audit. Je confirme de mon côté : quand j’audite un site avant de le racheter, c’est l’un des premiers points que je vérifie dans le conteneur.

Pourquoi charger une bannière cookies via GTM crée un cercle vicieux

Pour afficher la CMP, GTM doit déjà être chargé. Tu l’as vu avec l’erreur 1 : ce chargement transmet l’adresse IP et les données techniques de l’appareil vers les serveurs de Google avant tout choix de l’utilisateur.

Le scénario se déroule toujours de la même façon. La page charge gtm.js, GTM déclenche la balise de la CMP, puis la bannière s’affiche et demande le consentement pour un outil déjà actif. La CMP arrive trop tard : elle ne peut pas bloquer ce qu’elle est censée autoriser.

L’alternative n’est pas meilleure. Si tu bloques gtm.js tant que l’utilisateur n’a pas consenti, ta bannière ne s’affiche jamais : aucun consentement recueilli, aucune preuve. Et si un bloqueur de publicités coupe GTM, ta bannière disparaît avec. Tu perds le consentement, la preuve et le contrôle de tes balises marketing.

Ce n’est pas un détail d’implémentation. C’est un cercle vicieux : l’outil qui doit attendre le consentement est celui qui charge l’interface de consentement.

Axeptio, Cookiebot, Tarteaucitron, Didomi : comment bien intégrer ta CMP

La solution consiste à sortir la CMP du conteneur et à poser son script directement dans le code source du site. Voici comment se comportent quatre CMP courantes en France une fois branchées à GTM :

CMP	Intégration recommandée	Interaction avec GTM et le Consent Mode v2
Cookiebot	Snippet JavaScript tout en haut du <head>, avant le script GTM.	Intègre nativement le Consent Mode v2 : il pousse les signaux ad_storage, analytics_storage, ad_user_data et ad_personalization dans le dataLayer sans configuration complexe. Le chemin le plus court si tu restes dans l’écosystème Google Ads / GA4.
Axeptio	Script posé directement dans le <head> de la page.	Fournit des variables et des déclencheurs prêts à l’emploi dans GTM, et pousse un événement personnalisé (ex : axeptio_update) dans le dataLayer. Tu conditionnes chaque balise (Pixel Meta, TikTok, LinkedIn Insight) au choix de l’utilisateur, catégorie par catégorie.
Tarteaucitron	Script gratuit et open source, hébergé localement ou via CDN, placé dans le <head>.	Intégration moins poussée. Comme le signale Alexandre Desse, il peut bloquer par défaut le chargement de GTM lui-même : tu dois personnaliser le paramétrage pour communiquer avec le dataLayer. Utile à budget zéro, plus exigeant en maintenance.
Didomi	Snippet dans le <head>, éditeur français.	CMP certifiée dans le programme partenaire de Google, avec prise en charge native du Consent Mode v2. Option solide si tu veux un support en français et un éditeur soumis au droit européen.

Peu importe l’outil choisi, la règle reste identique : la CMP ne doit jamais être une balise GTM. Elle vit en dehors du conteneur et s’exécute avant le gestionnaire de balises.

RGPD : Comment configurer tes tags RGPD dans GTM avec Didomi.
Active la piste audio ou les sous-titres en français dans les paramètres de la vidéo.

La bonne architecture : snippet dans le head et transmission au dataLayer

Une architecture conforme repose sur un ordre de chargement strict, directement dans la balise <head> de tes pages.

Initialisation du dataLayer et du consentement par défaut : un court script de configuration gtag définit l’état denied sur les 4 signaux du Consent Mode v2, tant que l’utilisateur n’a pas choisi.
Chargement de la CMP : le snippet s’exécute en priorité haute, lit le consentement déjà stocké ou affiche la bannière.
Chargement de Google Tag Manager : gtm.js s’exécute ensuite uniquement. Il lit l’état de consentement par défaut et attend les mises à jour.
Mise à jour du consentement : dès le clic sur « Accepter », « Refuser » ou « Personnaliser », la CMP pousse un consent update dans le dataLayer. GTM débloque ou bloque alors chaque balise marketing.

Concrètement, tes déclencheurs GTM ne se basent plus sur « All Pages », mais sur des conditions du type analytics_storage = granted pour GA4 ou ad_storage = granted pour Google Ads et le Pixel Meta.

Tu sépares ainsi deux rôles : la CMP gère le choix et la preuve du consentement, GTM exécute les balises autorisées. Rien d’autre.

Si ta CMP est encore une balise dans ton conteneur, sors-la. Place le snippet dans le code source, branche le dataLayer, puis reconstruis tes déclencheurs conditionnels. C’est la correction qui débloque à la fois ta conformité et la fiabilité de ton tracking.

Erreur 3 : déclencher des balises marketing avant le choix de l’utilisateur

CMP sortie du conteneur, dataLayer branché : l’architecture est propre. Reste le piège le plus courant, celui des balises qui partent avant même que l’utilisateur ait vu la bannière.

Tu charges ta page en navigation privée. La bannière n’a reçu aucun clic. Pourtant, dans l’onglet Réseau, fbevents.js est déjà parti, avec un hit Google Ads dans la foulée.

C’est l’erreur la plus fréquente que je croise sur les conteneurs GTM : la CMP s’affiche, mais les balises marketing partent en parallèle. Dès le chargement du DOM, le script dépose un cookie, lit l’empreinte du navigateur et transmet l’adresse IP à une régie externe.

Ta bannière peut être parfaite : sans opt-in préalable, ces collectes n’ont aucune base légale, ni au titre du RGPD ni au titre de la directive ePrivacy. C’est le scénario type des mises en demeure de la CNIL sur les cookies.

Les balises à bloquer d’office (Pixel Meta, Google Ads, TikTok)

Bloque par défaut tout ce qui sert la publicité, le remarketing ou le suivi entre sites :

Pixel Meta (Facebook, Instagram) : envoie l’identifiant fbp, l’adresse IP et les en-têtes HTTP aux serveurs de Meta.
Google Ads (conversions, remarketing, Conversion Linker) : dépose les cookies gclid et gcl_au. Le Conversion Linker seul peut déjà écrire des cookies publicitaires : bloque-le aussi.
TikTok Pixel, Pinterest Tag, Snapchat Pixel, LinkedIn Insight Tag : capturent IP, résolution d’écran et identifiants de session.
Floodlight, Criteo, RTB House et tout script de retargeting équivalent.
Outils d’enregistrement de session (Hotjar, Clarity) : enregistrent le parcours exact de l’utilisateur.
Connecteurs CRM marketing qui poussent un email ou un user_id vers une plateforme ads.

GA4 n’est pas un pixel publicitaire, mais sans Consent Mode correctement branché, il se comporte comme un tracker marketing. Même logique : aucun hit complet tant que analytics_storage n’est pas accordé.

Aucune de ces balises ne relève de l’exemption pour nécessité technique. Seuls les scripts strictement indispensables au service demandé (panier, authentification, mémorisation du consentement) peuvent partir sans accord. Tout le reste attend.

Panneau de configuration d'un tag dans Google Tag Manager avec les types de balises Google Ads disponibles — Dans Google Tag Manager, chaque balise doit être associée au bon type (Google Ads, Analytics, HTML personnalisé) et surtout à un déclencheur qui respecte le consentement de l’utilisateur.

Configurer le déclenchement conditionnel et les exceptions dans GTM

Le déclencheur « All Pages » ne doit jamais activer une balise marketing seul. Voici la méthode propre avec le Consent Mode v2 :

Ta CMP pousse l’état de consentement dans le dataLayer dès le choix de l’utilisateur, avec les quatre signaux : ad_storage, analytics_storage, ad_user_data, ad_personalization.
Active les réglages de consentement intégrés sur chaque balise marketing (section Paramètres de consentement de la balise). Exige ad_storage et ad_user_data pour Meta, Google Ads et TikTok. Tant que le signal vaut denied, GTM bloque l’exécution (Consent Mode Basic) ou n’envoie que des pings anonymisés sans cookie (Consent Mode Advanced).
Remplace « All Pages » par un événement personnalisé émis par ta CMP après un choix positif : axeptio_update, l’équivalent Cookiebot ou Tarteaucitron. La balise ne peut plus partir au chargement.
Ajoute un déclencheur d’exception qui cible l’absence d’accord marketing. L’exception prime toujours sur le déclencheur principal : la balise reste inactive même si le déclencheur principal se trompe.

Si ta CMP est Axeptio, Cookiebot ou Didomi, utilise leurs variables dataLayer natives plutôt que des cookies maison. Moins d’erreurs, preuve de consentement plus propre.

Configure Cookiebot sur GTM pour être conforme au RGPD/CCPA et ne déclencher tes suivis qu’après consentement.
Active la piste audio ou les sous-titres en français dans les paramètres de la vidéo.

Audit : vérifier quelles balises partent au chargement de la page

Ne te fie ni à l’interface GTM ni au panneau d’administration de ta CMP. Audite en conditions réelles. C’est le test que je fais tourner en premier quand je reprends un site : il m’a déjà évité d’hériter de conteneurs non conformes.

Contrôle réseau dans Chrome DevTools

Ouvre une fenêtre de navigation privée, vide cache et cookies, puis charge ta page sans toucher la bannière. Dans DevTools (F12), onglet Network, filtre sur :

text
facebook.com/tr
fbevents
googleads
pagead
gtag/js
doubleclick.net
analytics.tiktok
linkedin.com/px

Une seule requête vers ces domaines avant un clic positif sur « Accepter » suffit : ton site collecte sans consentement.

Vérification dans Tag Assistant

Connecte ton site sur tagassistant.google.com. Regarde les étapes Consent Initialization et Container Loaded, onglet Tags Fired. Seuls le script de la CMP et les balises strictement nécessaires doivent y figurer. Vérifie aussi l’état Consent Mode de chaque balise : tu dois lire ad_storage: denied tant que l’utilisateur n’a rien choisi.

Dans l’aperçu GTM, contrôle enfin le dataLayer au premier instant : si consent default n’est pas positionné à denied pour la publicité, corrige ce point avant tout le reste.

Refais cet audit après chaque ajout de balise et chaque mise à jour de CMP. Un pixel oublié d’une vieille campagne Black Friday suffit à te remettre hors conformité.

Mieux vaut un audit payant qu’un pixel publicitaire qui tourne sans base légale.

Bloquer les balises au chargement ne suffit pas : il faut encore indiquer à Google ce qu’il a le droit de faire une fois le choix de l’utilisateur recueilli. C’est précisément le rôle du Consent Mode, et c’est là que beaucoup de conteneurs déraillent.

Le Consent Mode v2 n’est pas une option cosmétique. Depuis mars 2024, Google l’exige pour tout annonceur qui cible l’Espace économique européen, le Royaume-Uni et la Suisse. Sans ces signaux validés, tes listes de remarketing se vident et tes campagnes Google Ads perdent leurs algorithmes d’optimisation.

Beaucoup de conteneurs GTM tournent encore avec l’ancien Consent Mode (deux signaux seulement) ou un default mal posé : analytics_storage à granted par défaut, ad_user_data jamais mis à jour. C’est d’ailleurs le premier réglage que je vérifie quand j’ouvre un conteneur que je n’ai pas configuré moi-même. Tu crois être conforme. Tu ne l’es pas.

Les 4 signaux obligatoires : ad_storage, analytics_storage, ad_user_data, ad_personalization

Le Consent Mode v1 gérait deux paramètres. La v2 en exige quatre, chacun contrôle un traitement distinct :

Signal	Ce qu’il autorise	Si refusé
ad_storage	Stockage de cookies publicitaires (Google Ads, Floodlight)	Aucun cookie publicitaire déposé
analytics_storage	Cookies de mesure d’audience (GA4)	Mesure sans cookies, ou blocage total selon le mode
ad_user_data	Envoi de données utilisateur à Google à des fins publicitaires (email haché, téléphone)	Aucune donnée personnelle transmise pour l’attribution ads
ad_personalization	Personnalisation des annonces (remarketing, audiences similaires)	Annonces non personnalisées uniquement

Les deux derniers signaux sont apparus avec la v2, sous la pression du Digital Markets Act et du RGPD. Si tu ne les déclares pas, Google considère le consentement publicitaire comme incomplet. Résultat : l’alimentation de tes audiences personnalisées dans Google Ads est bloquée, même si le visiteur a cliqué sur « Tout accepter ».

Implémentation technique : consent default et consent update dans le dataLayer

L’ordre compte. Tu poses d’abord un état par défaut avant le chargement de gtm.js, puis tu mets à jour dès que l’utilisateur a choisi.

Dans le <head>, au-dessus du snippet GTM :

<script>
window.dataLayer = window.dataLayer || [];
function gtag(){dataLayer.push(arguments);}
gtag('consent', 'default', {
'ad_storage': 'denied',
'analytics_storage': 'denied',
'ad_user_data': 'denied',
'ad_personalization': 'denied',
'wait_for_update': 500
});
</script>

wait_for_update (en millisecondes) laisse le temps à ta CMP de répondre avant que les balises ne partent en mode refusé. 500 ms convient dans la plupart des cas. Au-delà de 1000 ms, tu freines le rendu de la page.

Si le consent default s’exécute après le script GTM, les balises lisent un état indéterminé et peuvent déclencher un suivi non autorisé avant le choix du visiteur.

Quand l’utilisateur accepte, ta CMP pousse l’update :

javascript
gtag('consent', 'update', {
'ad_storage': 'granted',
'analytics_storage': 'granted',
'ad_user_data': 'granted',
'ad_personalization': 'granted'
});

Si le visiteur refuse les pubs mais accepte la mesure d’audience, tu n’actives que analytics_storage. Les balises Google Ads restent bridées.

Côté GTM, active aussi le Consent Overview (Admin > Paramètres du conteneur). Chaque balise Google doit déclarer les types de consentement requis : analytics_storage pour une balise GA4, ad_storage + ad_user_data + ad_personalization pour une balise de conversion Google Ads. Sans ce mapping, GTM ignore le Consent Mode et déclenche la balise comme avant.

Consent Mode Basic vs Advanced : quel impact sur tes données et ton risque juridique

Deux modes coexistent. Le choix change ce que tu mesures quand l’utilisateur refuse, et ton niveau d’exposition face à la CNIL.

Basic : si le consentement est refusé, la balise ne part pas. Zéro hit. Tes rapports GA4 et Google Ads ne voient que les visiteurs qui ont accepté, soit une perte d’environ 30 à 50 % du trafic mesuré sur les sites français. Simple à auditer, juridiquement solide.

Advanced : même en cas de refus, Google envoie des pings sans cookies (requêtes sans identifiant persistant). GA4 et Google Ads reconstruisent ensuite une partie des conversions par modélisation. Tu récupères de la donnée, mais l’adresse IP du visiteur transite vers les serveurs de Google avant tout consentement. Or, la CNIL considère l’adresse IP comme une donnée personnelle.

Voici les différences concrètes entre les deux modes :

Critère	Basic	Advanced
Chargement des balises	Bloquées tant que l’accord n’est pas donné	Chargées dès l’affichage, en état restreint (denied)
Hit si refus	Aucun	Pings sans cookies (modélisés)
Volume de données	Visiteurs consentants uniquement	Consentants + conversions estimées
Complexité RGPD	Simple à justifier	À documenter (finalité, base légale)
Risque CNIL	Minimal	Réel : l’IP part vers Google avant consentement
Impact campagnes Ads	Perte sèche de signal	Meilleure attribution résiduelle

Sur mes propres sites, je reste en Basic : je préfère perdre une partie de la donnée plutôt que d’avoir à justifier des pings pré-consentement en cas de contrôle. Les équipes qui passent en Advanced le font pour limiter la casse sur le ROAS, mais ce choix doit être documenté et assumé, pas subi par défaut. Pour un risque juridique proche de zéro, le Basic reste le choix recommandé.

Dans les deux cas, le default doit rester à denied tant que l’utilisateur n’a pas choisi. Un default à granted « en attendant la bannière » est une non-conformité classique.

Vérifier la bonne configuration avec Tag Assistant

Une bannière qui s’affiche correctement ne garantit pas que les signaux transmis à Google sont valides. Ne te fie pas à la seule prévisualisation GTM.

Méthode de contrôle avec Google Tag Assistant (tagassistant.google.com) :

Ouvre ton site en navigation privée.
Connecte ton conteneur à Tag Assistant et lance la console de débogage.
Charge la page sans toucher à la bannière.
Clique sur le premier événement Consent dans le panneau de gauche : dans l’onglet Consent, les quatre signaux doivent afficher denied en colonne On-page Default.
Accepte les cookies via la CMP.
Sélectionne le nouvel événement Consent généré : les finalités cochées passent à granted en colonne On-page Update.
Ouvre l’onglet Tags : les balises GA4 et Ads ne doivent se déclencher pleinement qu’après l’update.

Si tu vois un hit GA4 ou un pixel Ads avant toute interaction avec la bannière, ton default arrive trop tard ou ta CMP pousse l’update trop tôt, voire pas du tout.

Dernier contrôle utile : dans GA4, la carte de consentement des paramètres de la propriété affiche le pourcentage de sessions avec signaux analytics et ads accordés. Des valeurs figées à 0 % ou à 100 % signalent presque toujours un bug d’implémentation.

Un Consent Mode v2 mal câblé donne une fausse impression de conformité : les balises semblent sous contrôle alors que les signaux partent incomplets ou trop tôt. Default à denied, quatre paramètres mappés, test Tag Assistant, choix documenté entre Basic et Advanced : c’est à ce prix que GTM cesse d’être un trou dans ta chaîne RGPD.

Erreur 5 : négliger les réglages du compte GTM (avenant DPA et contact DPO)

Ton Consent Mode v2 est validé dans Tag Assistant et tes quatre signaux partent correctement : côté technique, le chantier est propre. Reste le volet administratif. Tu peux avoir un conteneur parfaitement conditionné et une CMP bien configurée, si les paramètres généraux de ton compte GTM ne sont pas remplis, tu restes exposé.

Ce n’est pas un détail administratif : l’article 28 du RGPD exige un contrat écrit entre le responsable de traitement (toi) et le sous-traitant (Google). C’est ce contrat qui formalise le rôle de Google pour les données qui transitent par ton conteneur.

Quand je rachète un site, ces réglages de compte font partie des premières choses que je vérifie. Dans la plupart des cas, l’avenant de traitement des données n’a jamais été ouvert par l’ancien propriétaire. Et un conteneur techniquement propre mais juridiquement non couvert, c’est une non-conformité comme une autre.

Valider les Conditions relatives au traitement des données

Google appelle ça les Conditions relatives au traitement des données Google Ads. Elles couvrent aussi Google Tag Manager.

Si tu as déclaré un établissement dans l’Espace Économique Européen, au Royaume-Uni ou en Suisse lors de la création du compte, l’avenant est déjà intégré aux conditions d’utilisation. Rien à cocher de plus.

Dans les autres cas (compte créé sans sélectionner de pays, ou avec une adresse hors EEE), l’acceptation manuelle est obligatoire :

Connecte-toi à Google Tag Manager.
Clique sur Administration en haut à gauche.
Dans la colonne Compte, ouvre Paramètres du compte.
Dans la section Conditions relatives au traitement des données, clique sur Consulter l’Avenant relatif au traitement des données.
Accepte l’accord, puis clique sur Enregistrer.

Un cas particulier à connaître : les clients Tag Manager 360 qui ont acheté leur licence via un partenaire commercial (revente). Pour eux, le clic dans l’interface ne crée pas de contrat valide avec Google. Il faut un accord de traitement distinct, signé avec Google ou avec le partenaire. Si tu es dans ce cas, ne te contente pas du bouton.

Sans avenant accepté quand il est requis, le cadre de sous-traitance n’existe pas sur le papier. En cas de contrôle, c’est un trou dans ta documentation de conformité.

Configurer les coordonnées du DPO et du représentant EEE

Accepter le contrat ne suffit pas. Google te demande d’identifier les personnes responsables de la donnée au sein de ton organisation.

Dans la même section des paramètres du compte, clique sur Gérer les détails du DPA et complète les 4 champs :

Personne morale : la raison sociale exacte de ton entreprise, celle enregistrée au registre du commerce. Si ton groupe compte plusieurs entités, choisis celle qui porte le site ou le traitement.
Contact principal : une adresse e-mail valide, qui recevra les notifications juridiques et les alertes de confidentialité envoyées par Google.
Délégué à la protection des données (DPO) : l’e-mail de ton DPO, si ton organisation en a un. Sa désignation est obligatoire au-delà de certains seuils ou pour certains traitements, pas pour tout le monde.
Représentant EEE : obligatoire si ton entreprise est établie hors Union européenne et que le RGPD s’applique à tes traitements visant des résidents européens. C’est la personne physique ou morale qui te représente dans l’EEE.

Remplir ces champs prend 2 minutes. Les laisser vides te donne un DPA incomplet. Lors d’un contrôle de la CNIL ou d’un audit privacy avant une levée de fonds ou une revente de site, cet avenant figure parmi les premiers éléments vérifiés. En due diligence de revente, les acheteurs sérieux demandent la preuve que les comptes liés au site sont en règle.

Dernier réflexe : fais le tour de tous tes comptes GTM. Prod, staging, anciens projets clients, environnements de test. Un conteneur oublié avec un DPA non validé ou des contacts vieux de cinq ans, c’est exactement le type de faille qu’un contrôle sort en premier.

Et si tu gères un parc de sites ou des dizaines de comptes clients, ce tour d’horizon devient vite chronophage. Dans ce cas, tu peux contacter une agence web comme Bluetime pour déléguer l’audit de conformité de tes conteneurs et repartir sur une base propre.

Erreur 6 : abandonner son conteneur sans audit régulier de conformité

Une base propre ne le reste pas toute seule. Un conteneur GTM propre le jour de la mise en production devient souvent un cimetière six mois plus tard. Campagne terminée, freelance parti, agence changée : les balises restent.

Sur les sites que je reprends, je fais le même constat presque à chaque fois : le conteneur de l’ancien propriétaire embarque encore des balises de campagnes terminées depuis longtemps, installées par des prestataires qui ne sont plus dans les parages. Personne n’a jugé utile de les retirer, et personne ne savait même qu’elles étaient là.

Chaque script oublié peut continuer à collecter des données sans base légale, sans finalité documentée, parfois sans que tu le saches. La conformité RGPD n’est pas un état figé : sans audit régulier, ton conteneur dérive.

Espace de travail Google Tag Manager avec gestion des versions et suivi de l'historique des modifications du conteneur — L’espace de travail (Workspace) de Google Tag Manager permet de suivre chaque modification et de publier des versions du conteneur : un audit régulier de ces versions évite l’accumulation de balises obsolètes ou non conformes.

Éliminer les balises fantômes et les scripts de campagnes mortes

Ouvre ton conteneur. Compte les balises actives. Pour chacune, pose-toi une question : est-elle encore liée à une campagne, un outil ou un contrat en cours ?

Les cas typiques :

Pixel Meta d’une campagne Black Friday terminée depuis un an
Balise de conversion Google Ads branchée sur une landing page supprimée
Script Hotjar ou Clarity installé « pour tester » et jamais retiré
Balise HTML personnalisée d’un partenaire d’affiliation avec qui tu ne travailles plus
Ancienne balise Universal Analytics encore présente à côté de GA4

Ces balises fantômes posent deux problèmes. Elles envoient des données à des tiers sans consentement à jour. Et elles rendent le conteneur illisible, donc le prochain audit plus long et plus risqué.

Méthode simple :

Exporte la liste complète des balises, déclencheurs et variables (Admin > Conteneur > Exporter le conteneur).
Classe chaque balise dans l’un de ces états : active, à vérifier, morte. Critère concret : aucun événement envoyé depuis 90 jours = morte, sauf saisonnalité assumée.
Mets les balises mortes en pause et observe une semaine. Si rien ne casse, supprime-les avec leur déclencheur dédié et les variables créées uniquement pour elles.
Documente chaque suppression dans les notes de version du conteneur : qui, quoi, pourquoi, quand.

Fais cet exercice au minimum une fois par trimestre. Ajoute un passage ciblé après chaque gros chantier marketing : soldes, lancement produit, refonte.

Bloquer la fuite de données personnelles identifiables (PII) dans le dataLayer

Le dataLayer est le point d’entrée de presque tout ton tracking. Si un développeur y pousse un e-mail, un téléphone ou un nom en clair, GTM peut le transmettre à GA4, à un pixel publicitaire ou à un outil tiers.

L’exemple classique : un formulaire qui redirige vers une page de confirmation avec l’e-mail dans l’URL (/confirmation?email=jean.dupont@gmail.com). Dès que ta balise GA4 se déclenche sur cette page, le paramètre page_location part avec l’adresse e-mail en clair vers les serveurs de Google.

Autres fuites fréquentes :

user.email poussé à la connexion ou à la confirmation de commande
Numéro de téléphone dans un événement de formulaire de lead
Nom et prénom dans une variable de transaction
Adresse postale complète dans un objet e-commerce mal nettoyé

E-mail, téléphone, nom : ce sont des données personnelles. Les envoyer à un sous-traitant sans base légale solide et sans minimisation est une violation directe du RGPD.

Ce que tu mets en place :

Une interdiction par convention, vérifiée en revue de code, de pousser des PII en clair dans le dataLayer.
Une variable JavaScript personnalisée dans GTM qui nettoie les paramètres d’URL (location.search) avant l’envoi.
Pour le matching avancé (Enhanced Conversions, Conversions API Meta), une valeur hachée en SHA-256, côté serveur ou avant le push, selon les specs de la plateforme.
Des variables GTM qui ne lisent que des champs non identifiants.
Un contrôle page par page dans le mode Aperçu de GTM et Tag Assistant sur les tunnels critiques : checkout, compte client, formulaires.

Un seul événement mal formé sur la page de confirmation peut exposer des milliers de commandes. Ce n’est pas théorique : j’ai trouvé ce type de fuite en reprenant des sites, avec des e-mails clients transmis à GA4 à chaque commande, sans que personne ne s’en soit aperçu.

Anonymiser l’adresse IP et documenter la finalité de chaque balise

Même avec un consentement valide, tu restes tenu à la minimisation et à la finalité. Deux gestes manquent presque toujours dans les conteneurs laissés sans audit.

Anonymiser l’IP : GA4 ne stocke plus les adresses IP. En revanche, les balises HTML personnalisées, les outils de chat (Crisp, Tawk.to) ou de heatmaps (Hotjar, Clarity) peuvent encore collecter des IP brutes si tu ne configures aucun filtre. Active explicitement l’option d’anonymisation quand elle existe. Si tu utilises Matomo en parallèle pour viser l’exemption de consentement CNIL sur la mesure d’audience, applique le masquage d’IP recommandé par la CNIL.

Documenter la finalité : Chaque balise doit répondre à une question simple : pourquoi existe-t-elle, pour quel traitement, sur quelle base légale ? Utilise le champ Description de chaque balise et déclencheur pour noter :

l’outil (GA4, Pixel Meta, TikTok Ads…)
la finalité (mesure d’audience, attribution pub, A/B test…)
la catégorie de consentement requise (analytics_storage, ad_storage…)
le responsable métier ou l’agence qui l’a demandée
la date de dernière revue

Ajoute deux réflexes : regroupe tes balises dans des dossiers nommés par type de consentement (01 – Analytics, 02 – Marketing, 03 – Essentiel), et vérifie dans l’onglet « Aperçu du consentement » de GTM qu’aucune balise ne reste dans la catégorie « Consentement non configuré ».

Sans cette trace, tu ne peux rien prouver en cas de contrôle CNIL ou de demande d’accès. Chaque balise du conteneur doit renvoyer à une ligne de ton registre des traitements.

En pratique, bloque 90 minutes par trimestre pour :

passer en revue les balises actives et les déclencheurs « All Pages » ou « Consent Initialization »
scanner le dataLayer sur les tunnels critiques
contrôler les signaux du Consent Mode v2 dans Tag Assistant
mettre à jour descriptions et registre si une balise a changé de finalité

Un conteneur non audité n’est pas « un peu sale ». C’est une dette de conformité qui grossit à chaque campagne.

Erreur 7 : croire que Google Tag Manager suffit à garantir la conformité RGPD

Tu as audité ton conteneur, nettoyé le dataLayer, documenté chaque finalité. Il reste un dernier piège, et c’est le plus répandu.

Google Tag Manager est un conteneur. Pas un bouclier juridique.

Tu peux avoir un Consent Mode v2 bien paramétré et zéro balise fantôme : tu restes en infraction si le reste du dispositif ne suit pas. Le RGPD et la directive ePrivacy ne jugent pas ton outil. Ils jugent ton traitement de bout en bout : bannière, preuve du choix, finalités, outils de mesure, architecture de collecte.

J’ai audité des conteneurs techniquement propres posés sur des sites en infraction complète : tout était carré dans GTM, tout se délitait à l’extérieur.

Installer le conteneur gtm.js ne rend aucun site conforme. GTM exécute du JavaScript quand des déclencheurs s’activent, rien de plus. C’est l’erreur la plus coûteuse de la liste, parce qu’elle donne une fausse impression de sécurité.

Respecter les règles ePrivacy : bannière de consentement et preuve du choix

La directive ePrivacy, transposée en France via la loi Informatique et Libertés et les lignes directrices de la CNIL, impose un consentement préalable pour tout traceur non strictement nécessaire.

GTM ne dépose pas de cookie lui-même (hors mode Preview, réservé aux administrateurs). Mais les balises qu’il charge le font. Pixel Meta, Google Ads, LinkedIn Insight, TikTok : dès qu’un script lit ou écrit un identifiant sur le terminal du visiteur, tu es dans le champ ePrivacy.

GTM ne propose aucune interface native pour recueillir l’accord. Il ne gère ni l’affichage de la bannière, ni le stockage des préférences, ni le retrait du consentement en un clic, ni la conservation de la preuve exigée par l’article 7.1 du RGPD.

La solution passe par une CMP dédiée (Axeptio, Cookiebot, Usercentrics, Didomi) raccordée à ton conteneur. Elle prend en charge quatre fonctions :

Afficher la bannière avant tout dépôt de traceur non essentiel
Proposer un refus aussi simple que l’acceptation, sans dark pattern
Enregistrer la preuve dans un registre horodaté : version de la bannière, choix granulaire, identifiant de session
Transmettre les états de consentement au dataLayer, que GTM lit pour bloquer ou exécuter chaque balise

La CNIL recommande aussi de mémoriser le choix de l’internaute pendant six mois : une acceptation comme un refus ne doit pas être re-sollicitée à chaque visite. Vérifie que ta CMP applique bien cette durée.

GTM intervient uniquement en bout de chaîne. En cas de contrôle CNIL, « j’avais GTM » ne constitue pas une preuve.

Ta politique de confidentialité et ta politique cookies doivent aussi lister les finalités, les destinataires, les bases légales et les durées de conservation. GTM n’écrit pas ces pages à ta place.

Mesure d’audience exemptée : exploiter Matomo ou Piano Analytics selon les règles CNIL

Selon Alexandre Desse, expert analytics cité par Eudonet, la mise en place du consentement fait perdre 25 à 50 % du trafic mesuré selon les secteurs. Sur mes propres sites, j’ai vu l’écart dès la mise en conformité de la bannière : les sessions remontées dans GA4 chutent pendant que le trafic réel ne bouge pas. Pour garder une vision complète, la CNIL prévoit un régime d’exemption pour certains outils de mesure d’audience.

Google Analytics 4 en est exclu : ses fonctionnalités de recoupement et le transfert des données vers les États-Unis imposent un consentement préalable.

Matomo (configuré en mode exempté) et Piano Analytics figurent parmi les solutions reconnues par la CNIL, à condition de respecter un paramétrage strict. Voici les cinq exigences à vérifier :

Exigence CNIL	Paramétrage technique
Finalité stricte	Collecte limitée aux statistiques de fréquentation. Aucun croisement avec d’autres fichiers, aucune cession.
Anonymisation IP	Masquage d’au moins deux octets de l’adresse IP (192.168.x.x) dès la collecte.
Absence de suivi inter-sites	Suivi cross-domain désactivé, aucun identifiant réutilisable sur d’autres sites.
Durées limitées	13 mois maximum pour le cookie, 25 mois pour les données collectées.
Droit d’opposition	Module d’opt-out fonctionnel, accessible depuis la politique de confidentialité.

Côté déploiement, la balise de mesure exemptée part sans attendre le consentement, via un déclencheur dédié dans GTM ou hors conteneur. Attention à ne pas dériver : le jour où tu ajoutes un module de heatmaps non conforme ou un export vers une régie publicitaire, tu sors du cadre d’exemption et tout bascule au consentement préalable.

Résultat : tu mesures 100 % de ton trafic, y compris les visiteurs qui refusent les cookies publicitaires, pendant que GA4 et les pixels ne partent qu’après opt-in.

Tirer parti du suivi Google Tag Manager Server-Side pour renforcer la confidentialité

En configuration classique (client-side), chaque balise déclenchée envoie une requête directe aux serveurs des régies. Ces requêtes transmettent par défaut l’adresse IP brute et le User-Agent du visiteur, souvent vers des serveurs situés hors de l’Union européenne.

Le server-side tagging insère un serveur intermédiaire sous ton propre domaine (par exemple tracking.ton-site.com). Le navigateur ne parle plus aux régies. Il parle à ton endpoint, et tu décides de ce qui repart :

Le navigateur envoie une requête unique à ton serveur sGTM.
Le serveur nettoie le flux : masquage de l’IP, suppression des paramètres d’URL contenant des données personnelles (email, téléphone), filtrage des cookies non essentiels, retrait des identifiants non autorisés.
Il vérifie l’état de consentement transmis via le dataLayer avant tout envoi.
Il transmet uniquement les données nettoyées aux API tierces, comme Meta Conversions API ou GA4.

Héberge ce serveur dans l’Espace économique européen : GCP en région Europe ou Stape.io EU, par exemple. Tu supprimes la fuite directe d’adresses IP vers les serveurs américains et tu reprends le contrôle du flux sortant.

Le server-side ne te dispense ni de la bannière ni du Consent Mode. C’est un levier de minimisation des données, et une preuve que tu maîtrises la chaîne de collecte. Pour un e-commerce ou un site média avec un volume sérieux de balises, c’est le chantier qui suit le Consent Mode v2.

GTM bien configuré est nécessaire. Il n’est jamais suffisant. La conformité se joue sur la bannière, la preuve, les outils exemptés et l’architecture de collecte. Traite GTM comme ce qu’il est : un orchestrateur. La responsabilité reste sur toi, l’éditeur.

Sanctions : ce que tu risques concrètement avec un conteneur GTM non conforme

Cette responsabilité a un prix. Un conteneur Google Tag Manager mal configuré n’est pas un détail technique : c’est un traitement de données personnelles, soumis aux sanctions du RGPD.

La question revient dans presque tous les audits que je mène : « OK, mais concrètement, je risque quoi ? » Voici la réponse, avec les chiffres réels.

Les grilles d’amendes du RGPD : jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial

L’article 83 du RGPD fixe deux niveaux de plafonds selon la gravité du manquement :

Manquements organisationnels ou techniques secondaires : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.
Violations des principes fondamentaux (absence de consentement, défaut de base légale, transferts illégaux vers des pays tiers) : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

Dans les deux cas, le régulateur retient le montant le plus élevé entre le plafond fixe et le pourcentage.

Un Pixel Meta ou un tag Google Ads qui part avant le choix de l’utilisateur tombe directement dans la deuxième catégorie. Même logique si gtm.js lui-même se charge avant tout consentement : le tribunal administratif de Hanovre (début 2025) a jugé que ce simple chargement constituait un traitement illicite, car l’adresse IP part vers les serveurs de Google sans base légale. La CNIL n’a pas encore publié de décision miroir strictement identique sur GTM seul, mais la jurisprudence européenne oriente ses contrôles.

Bonne nouvelle relative : la CNIL prononce rarement l’amende maximale d’emblée. Elle suit une montée en charge : rappel à l’ordre, mise en demeure avec délai de 30 à 60 jours, injonction sous astreinte (pénalité par jour de retard), limitation temporaire ou définitive du traitement, puis sanction pécuniaire. Mais même sans amende, une mise en demeure publique t’expose : correction sous pression, suspension possible de tes flux marketing, perte de confiance des clients et partenaires.

Mises en demeure et jurisprudence CNIL : des Big Tech aux PME françaises

Les gros montants font les titres. Google a écopé de 150 millions d’euros, Facebook (Meta) de 60 millions d’euros, pour leur gestion du consentement. AG2R La Mondiale a été sanctionnée à hauteur de 1,75 million d’euros pour des manquements à l’information des personnes et aux durées de conservation. Ces dossiers ne portent pas tous exclusivement sur GTM, mais ils illustrent la même logique : traceurs déposés sans consentement valide, information insuffisante, refus rendu impossible en pratique.

Les PME ne sont pas hors radar. Sergic, une société immobilière française, a reçu une amende de 400 000 €. La taille du site ne protège pas. Un conteneur GTM chargé trop tôt, une CMP injectée via GTM elle-même ou des balises marketing sans condition de consentement suffisent à ouvrir un dossier.

Et les déclencheurs ne manquent pas : plaintes d’internautes, vagues de signalements coordonnées par l’association NOYB, ou simple contrôle automatisé des agents de la CNIL sur ton domaine.

Au-delà de l’amende : le coût réel d’un contrôle

Je le vois aussi par l’autre bout de la lorgnette : quand je rachète un site pour l’ajouter à mon portefeuille, je passe son conteneur GTM au crible avant de signer. Un setup non conforme, c’est un passif juridique que tu achètes en même temps que le domaine.

Ce que tu risques concrètement, même si ça ne va pas jusqu’à la sanction financière :

Une mise en demeure publique avec un délai court pour te mettre en conformité.
L’obligation de prouver le consentement (horodatage, finalités, version de bannière) pour chaque balise marketing.
La coupure temporaire de tes campagnes Ads, Meta ou TikTok le temps de corriger le conteneur.
Un coût de remédiation (audit, refonte CMP, Consent Mode v2, documentation) souvent supérieur à ce qu’aurait coûté une configuration propre dès le départ.

Dernier point, et il n’est pas négociable : la responsabilité reste sur toi. Google fournit l’outil et un avenant de traitement des données. Toi, tu décides quand gtm.js se charge, quelles balises partent et comment le consentement est capté puis transmis au dataLayer. Un conteneur non conforme, c’est ton exposition juridique, pas celle d’Alphabet.

FAQ

Google Tag Manager dépose-t-il des cookies ?

Non. En usage normal, le conteneur GTM ne dépose aucun cookie sur le navigateur de tes visiteurs.

Google le confirme dans sa documentation : hors journaux HTTP standards (supprimés sous 14 jours) et données de diagnostic agrégées sur le déclenchement des balises, GTM ne collecte, ne conserve ni ne partage d’informations sur les visiteurs de ton site, y compris les URL consultées. Ces diagnostics n’incluent ni adresse IP ni identifiant rattaché à une personne.

Une seule exception : le mode Aperçu / Débogage. GTM pose alors plusieurs cookies first-party pour faire tourner la console de preview. Ils ne concernent que toi (ou ton équipe) pendant la session de test, et ils disparaissent quand tu quittes le mode Aperçu.

Le vrai sujet, ce ne sont pas les cookies de GTM. Ce sont les balises que tu charges via GTM : GA4, Pixel Meta, Google Ads, TikTok. Ce sont elles qui déposent des cookies et traitent des données personnelles. GTM n’est que le tuyau.

Faut-il une bannière cookies si j’utilise uniquement GTM sans balise marketing ?

Oui, dès que le chargement de gtm.js transmet des données personnelles avant consentement.

En 2025, le tribunal administratif de Hanovre a jugé que le simple chargement de Google Tag Manager transmet des données, dont l’adresse IP, vers des serveurs Google souvent situés hors UE, avant toute interaction de l’utilisateur. Or l’adresse IP est une donnée personnelle au sens du RGPD. Et GTM n’est pas strictement nécessaire au fonctionnement technique de ton site, contrairement à un cookie de panier : il ne peut pas prétendre à l’exemption.

Même avec un conteneur « vide » (aucune balise marketing active), tu restes exposé si gtm.js part au premier affichage. Et dans la pratique, personne ne déploie GTM pour ne rien faire : dès qu’une balise pose un cookie, lit le stockage local ou envoie un hit, la bannière et la preuve du choix deviennent obligatoires.

Deux options pour te mettre en règle : bloquer le chargement de gtm.js jusqu’au consentement via ta CMP, ou faire transiter le script par un proxy server-side qui anonymise la requête avant envoi à Google.

Google Tag Manager est-il illégal en France ou en Europe ?

Non, GTM n’est interdit ni en France, ni dans l’Union Européenne : c’est la configuration qui crée la non-conformité, pas l’outil. Ton site devient fautif si tu charges gtm.js avant d’avoir recueilli le consentement, si tes balises marketing partent au chargement de page sans contrôle, ou si tu laisses filer des adresses IP non anonymisées vers des serveurs américains. Et la responsabilité pèse sur toi, responsable de traitement. Pas sur Google.

Côté textes, l’article 6 du RGPD exige une base légale pour tout traitement de données personnelles, et le consentement reste la voie la plus sûre pour le tracking marketing. La directive ePrivacy, transposée dans la loi Informatique et Libertés, impose le consentement avant tout dépôt ou lecture d’informations sur le terminal, hors traceurs strictement nécessaires. Le jugement du tribunal administratif de Hanovre (2025) va plus loin : il exige un consentement préalable avant même l’activation de GTM, puisque le chargement de gtm.js transmet déjà des données personnelles. La CNIL, elle, demande que le déclenchement des tags soit contrôlé par une CMP et n’accepte la mesure d’audience sans consentement qu’avec des solutions paramétrées selon ses référentiels (Matomo, Piano Analytics), pas avec un GA4 standard chargé sans garde-fou.

Concrètement, tu restes dans les clous si ta CMP se charge hors GTM, si tes quatre signaux Consent Mode v2 sont correctement émis (ad_storage, analytics_storage, ad_user_data, ad_personalization), si tes balises marketing sont bloquées par défaut, si tu conserves la preuve du consentement et si le DPA est signé dans ton compte GTM.

Quelles alternatives à GTM pour un tag management plus respectueux de la vie privée ?

Tu as deux familles d’options : quitter l’écosystème Google, ou garder GTM en le déportant côté serveur. Dans la première famille, Matomo Tag Manager est gratuit, open source et hébergeable sur tes propres serveurs en Europe ; couplé à Matomo Analytics auto-hébergé et au paramétrage validé CNIL, ta mesure d’audience peut tourner sans bannière. Piano Analytics (ex-AT Internet) est l’autre acteur français référencé côté mesure d’audience exemptée, sous conditions de paramétrage strictes. Piwik PRO Tag Manager cible les entreprises avec une CMP intégrée et un stockage garanti dans l’UE, tandis que Commander Act (TagCommander) et Tealium jouent sur le terrain de la gouvernance du consentement, avec des tarifs entreprise.

Dans la deuxième famille, Google Tag Manager Server-Side te garde l’interface habituelle, mais les hits transitent par un serveur que tu contrôles (Cloud Run, App Engine, ou un hébergeur spécialisé comme Stape avec localisation UE). Le navigateur n’envoie alors plus rien directement à Meta, Google Ads ou TikTok : tu filtres et anonymises avant retransmission.

Sur mon portefeuille de sites, je reste sur GTM client-side avec une CMP branchée proprement (Axeptio, Cookiebot, Didomi ou tarteaucitron selon les cas) et le Consent Mode v2. Le server-side, avec Matomo en parallèle pour l’audience exemptée, devient intéressant quand le volume de données personnelles ou le risque juridique monte.

Verdict

Data Analyst sur son dashboard Google Tag Manager

Google Tag Manager n’est pas illégal, mais il n’est pas conforme par défaut non plus. Entre les deux, il y a ta configuration.

Un conteneur mal réglé annule l’utilité de ta bannière de consentement. Dès que gtm.js se charge avant l’accord du visiteur, tu risques de transmettre des adresses IP vers des serveurs américains sans base légale. Le tribunal administratif de Hanovre l’a jugé en 2025 : le simple chargement du script peut déjà constituer un traitement de données personnelles. En France, la CNIL reste plus pragmatique, mais c’est ta responsabilité d’éditeur qui est engagée. Avec, à la clé, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel d’amende.

Quand je rachète un site, l’audit du conteneur GTM fait partie de ma due diligence, au même titre que le profil de liens ou la qualité du contenu.

Voici la checklist que j’applique en 2026 :

Charge le code de ta CMP en dur dans le <head>, toujours avant le script GTM.
Bloque gtm.js jusqu’au consentement si tu vises le risque zéro, ou documente ta base légale.
Passe les 4 signaux du Consent Mode v2 sur denied par défaut : ad_storage, analytics_storage, ad_user_data, ad_personalization.
Conditionne le déclenchement des balises marketing (Pixel Meta, Google Ads, TikTok) au choix explicite du visiteur.
Signe l’avenant DPA dans les paramètres du compte et renseigne ton contact DPO ou représentant EEE.
Purge les balises fantômes et vérifie qu’aucune donnée personnelle identifiable ne transite par le dataLayer.
Contrôle chaque signal avec Tag Assistant, conserve la preuve du consentement, puis planifie un audit trimestriel.

Google Tag Manager et RGPD ne sont pas incompatibles, loin de là. Tout se joue dans les réglages, pas dans l’outil. GTM reste un excellent gestionnaire de balises, à condition de le traiter comme un exécuteur, pas comme une solution de conformité clé en main.

N’attends pas la mise en demeure pour t’y mettre : ouvre ton conteneur cette semaine et coche ces 7 points.

Partage l'article à ton audience :

X LinkedIn

Découvre nos autres publications :