Chargement de Google Tag Manager automatique lorsque le Google Consent Mode est activé

[lucmuller]

Je note que dans la dernière (au moins) version de TAC publiée, si le Google Consent Mode est activé alors le script googletagmanager.com](https://www.googletagmanager.com/gtag/js est chargé automatiquement quand-bien même je n'ai accepté aucun services.
L'identifiant du script utilisé étant alors celui déclaré dans le service gtag et dans la variable tarteaucitron.user.gtagUa

J'imagine que ceci est considéré par le fait que le consentement est alors passé à Google et que c'est à lui de gérer cela.

Cependant, je pense que c'est un vœu pieux de croire que google ne trackerai rien de cet appel (Rappel l'IP est considérée comme une donnée personnelle par la CNIL).

A mon sens, le script google tag manager ne devrait être chargé que lorsqu'au moins un service du google consent mode est accepté.
et/ou a partir du moment où le service google analytics gtag est autorisé.

Je trouve étrange que dans mon installation ou strictement aucun services ne sont activé que le script tiers Google soit chargé.

Y a-t-il une explication a ça ?

cf ma capture :

[lucmuller]

Addendum :
De ce que je lis au niveau de la configuration du google consent mode :

"googleConsentMode": true, /* Enable Google Consent Mode v2 for Google ads and GA4 */

A mon sens, le script Google Tag Manager ne devrait être chargé que si GA4 ou Google Ads est lui-même autorisé.

[AmauriC]

En mode auto avec la v pro et le consent mode actif, GTM est en effet autorisé.
Je ne suis pas fan mais c'est devenu quasi un standard vu que toutes les autres CMPs poussent une installation via GTM.

Dans ce cas précis, c'est GA4 qui est chargé en mode restreint, pas GTM.

tarteaucitron.js/tarteaucitron.services.js

Line 3465 in 2425c40

tarteaucitron.addScript('https://www.googletagmanager.com/gtag/js?id=' + tarteaucitron.user.gtagUa, '', function () {

[lucmuller]

J'ai bien compris l'idée du Les autres le font ^^

Mais je m'interroge sur la pertinence de procéder ainsi, d'autant que c'est trompeur pour l'utilisateur car la modalbox continue d'indiquer que les services sont désactivés.

Je maintient que :

1. c'est un vœux pieux de croire que Google ne track pas les utilisateurs dans ce cas.
2. Au moins l'IP est transmise, de fait, à Google, hors celle-ci est bien considérée comme une donnée personnelle : https://www.cnil.fr/fr/identifier-les-donnees-personnelles

A mon sens, le script, quand-bien même le consent mode est utilisé ne devrait être chargé uniquement si le service parent (GA4 ou Google Ads est autorisé) sinon le consentement éclairé de l'utilisateur n'est pas respecté.

L'intérêt justement d'utiliser TAC, selon moi, c'est que le script ne se vautre pas dans ce concept de si les autres le font alors moi aussi. Pour moi le but de TAC est vraiment de ne servir les scripts tiers uniquement si l'utilisateur les a bels et bien acceptés.
Je me bat au quotidien justement pour que les consentements soient rigoureusement respectés et c'est parfois difficile d'avoir gain de cause. Si même le CMP que je met en avant commence a by passer les choix éclairés des utilisateurs, je vais vraiment avoir du mal a défendre l'éthique de la chose... :/

[AmauriC]

uniquement si le service parent (GA4 ou Google Ads est autorisé)

Sur ton exemple c'est bien GA4 qui est chargé avec le consent mode en mode denied, pas GTM (https://github.com/AmauriC/tarteaucitron.js/blob/master/tarteaucitron.services.js#L3487)

Ca reste "désactivé" visuellement sur tarteaucitron et l'activation passe le signal analytics sur granted qui autorise un plus large tracking.

c'est un vœux pieux de croire que Google ne track pas les utilisateurs dans ce cas.

Pour régler ce problème il suffit de désactiver le consent mode et retour au fonctionnement classique de tac ou GA4 sera chargé uniquement si l'utilisateur accepte.

Il n'y a aucune volonté de bypasser le choix des utilisateurs ou de se vautrer dans les dark patterns, le consent mode est optionnel, libre a chaque éditeur de l'activer ou non. Si activé, une partie de la gestion du consentement est délégué à Google, c'est ce que Google voulait et le but de cette option..

[lucmuller]

Pour régler ce problème il suffit de désactiver le consent mode et retour au fonctionnement classique de tac ou GA4 sera chargé uniquement si l'utilisateur accepte.

Mais si je désactive le Google Consent Mode de Tac, les services liés au Google Consent Mode seront toujours pris en compte ? et par TAC et par Google ??

Il n'y a aucune volonté de bypasser le choix des utilisateurs ou de se vautrer dans les dark patterns, le consent mode est optionnel, libre a chaque éditeur de l'activer ou non. Si activé, une partie de la gestion du consentement est délégué à Google, c'est ce que Google voulait et le but de cette option..

Je ne suis pas d'accord avec ça... pour moi, si tous les boutons sont rouges dans l'interface de TAC alors rien n'est chargé dans mon navigateur.
Si l'éditeur du site choisi d'utiliser le Google Consent Mode, en temps qu'internaute je n'ai pas a être tributaire du choix de l'éditeur pour que mon IP soit automatiquement transmise à Google. S'agissant d'une donnée personnelle je dois avoir une action libre et éclairée sur la transmission de celle-ci à un tier.

Si activé, une partie de la gestion du consentement est délégué à Google, c'est ce que Google voulait et le but de cette option..

C'est bien ça, Google s'est inventé une méthode pour tout de même récupérer des infos... et on s'y vautre, le contrôle de l'utilisateur sur ses données est aliéné au choix de l'éditeur du site, et de Google donc.

Je n'accuse pas TAC de Dark Pattern et je veux bien entendre la solution alternative, mais de mon point de vue cela contrevient avec les recommandations de la CNIL sur les données personnelles à tous le moins sur celle de l'IP.

[AmauriC]

Le consent mode c'est "ga4 ou gads est toujours chargé et Google utilise les signaux pour tracker anonymement ou pas".
Est-ce qu'ils le respectent ou non, aucune idée et personne ne pourra vraiment le savoir.

J'aimais mieux quand c'était binaire. Perso je n'utilise plus aucun service Google, c'est plus simple.

En désactivant le consent mode, ga4 ne sera chargé que si l'utilisateur accepte.
Pour faire passer dans ce cas précis le signal analytics à granted il faut ajouter:

<script>
document.addEventListener("gtag_loaded", function(){
            window.dataLayer = window.dataLayer || [];
            window.tac_gtag = function tac_gtag() {
                dataLayer.push(arguments);
            };

            // default consent to denied
            window.tac_gtag('consent', 'default', {
                ad_storage: 'denied',
                analytics_storage: 'granted',
                ad_user_data: 'denied',
                ad_personalization: 'denied',
                wait_for_update: 800
            });
});
</script>

[lucmuller]

Est-ce qu'ils le respectent ou non, aucune idée et personne ne pourra vraiment le savoir.

C'est bien pour ça que je pense qu'il faut être le plus restrictif possible.

J'aimais mieux quand c'était binaire. Perso je n'utilise plus aucun service Google, c'est plus simple.

Certes, mais ce n'est malheureusement pas le choix de mon client.

En désactivant le consent mode, ga4 ne sera chargé que si l'utilisateur accepte.
Pour faire passer dans ce cas précis le signal analytics à granted il faut ajouter: ...

Dons dans ce cas là, je ne suis pas obligé d'utiliser les services spécifique au Google Consent Mode ? Les autres services du GCM ne sont pas utiles a GA4 ? Ils sont spécifiques à Google Ads donc ?

Dernier point, je continue a maintenir que les scripts tiers ne devraient être chargés QUE si l'utilisateur a spécifiquement donné son consentement a moins qu'on soit effectivement sur qu'ils respectent le RGPD (le cas de Matomo par exemple).
Mais faire confiance à Google, s'agissant d'un service non européen, j'aurai de gros doutes et je préfèrerai valoriser la méfiance par défaut.

[AmauriC]

Les autres services du GCM ne sont pas utiles a GA4

Les signaux ad_ sont pour Google Ads, analytics_storage pour GA4, les autres ne sont pas utilisés actuellement par Google mais peuvent servir dans le cadre d'une configuration GTM.

[lucmuller]

Merci pour les précisions. J'ai implémenté la solution que tu proposes en désactivant le GCM de TAC. Tu réponds toujours rapidement et efficacement :)

Ceci dit, j'aimerai assez l'avis d'autres utilisateurs sur ce point, parce que je maintient tout de même que GCM ou non les scripts tiers ne devraient être chargés que lorsque l'utilisateur en fait le choix explicite.
Si l'on peut éventuellement laisser cette issue ouverte et/ou la déplacer dans les discussion ? Je ne sais pas si c'est possible sur github (?)

[AmauriC]

C'est toujours un plaisir d'échanger avec toi 🙂

Je suis également preneur d'avis, rien n'est figé.