Un tribunal allemand dit que GTM nécessite le consentement
Le tribunal de Hanovre juge que le chargement de GTM transmet des données à Google et requiert le consentement RGPD. Implications pratiques.
La décision du tribunal de Hanovre
Le tribunal administratif de Hanovre a rendu une décision qui concerne directement toutes les entreprises européennes utilisant Google Tag Manager. Le raisonnement est simple : lorsqu’un navigateur charge le fichier gtm.js depuis les serveurs de Google, il transmet automatiquement l’adresse IP de l’utilisateur, son user-agent et d’autres métadonnées techniques. Ce transfert de données personnelles vers Google se produit avant même qu’un seul tag ne s’exécute.
Le tribunal en conclut que ce chargement initial constitue un traitement de données personnelles au sens du RGPD et nécessite donc le consentement préalable de l’utilisateur.
Pourquoi Consent Mode ne suffit pas
Une idée reçue veut que Consent Mode protège contre ce type de problème. C’est inexact. Consent Mode contrôle le comportement des tags qui s’exécutent dans le conteneur GTM. Il peut bloquer les cookies, limiter les données envoyées ou activer la modélisation. Mais il n’empêche pas le chargement initial du script gtm.js lui-même.
Autrement dit, même avec Consent Mode correctement configuré, le navigateur envoie une requête HTTP aux serveurs de Google pour télécharger le fichier JavaScript. Cette requête contient l’adresse IP et les en-têtes du navigateur. Le traitement de données a lieu avant que Consent Mode n’entre en jeu.
L’implémentation conforme
La solution technique est claire, même si elle implique une refonte de l’ordre de chargement de vos scripts. Le principe : la CMP (plateforme de gestion du consentement) doit se charger en premier, sans aucune dépendance à GTM. Le script GTM n’est injecte dans la page qu’après que l’utilisateur a donné son consentement.
En pratique, cela signifie que le snippet GTM ne doit plus figurer dans le <head> de votre page HTML de manière inconditionnelle. Il doit être charge dynamiquement par la CMP, uniquement après collecte du consentement. La plupart des CMP du marche (Cookiebot, OneTrust, Didomi, Axeptio) proposent cette fonctionnalité, mais elle n’est pas toujours activée par défaut.
Pour une implémentation conforme de votre CMP, il est essentiel de tester le flux complet : vérifier qu’aucune requête vers googletagmanager.com ne part avant le consentement.
Impact sur les implémentations existantes
La grande majorité des sites européens chargent GTM de manière inconditionnelle. Le snippet standard fourni par Google s’exécute dès le chargement de la page, avant toute interaction utilisateur. Toutes ces implémentations sont potentiellement non conformes à la lecture du tribunal de Hanovre.
Les conséquences pratiques dependent de la juridiction. La décision allemande n’a pas de portée contraignante en France, mais elle crée un précédent que la CNIL ou d’autres autorités pourraient suivre. Les entreprises soumises au RGPD ont intérêt à anticiper.
Les alternatives à considérer
Le server-side GTM offre une solution élégante : le script est servi depuis votre propre domaine, sans requête vers Google côté client. Les données transitent par votre serveur avant d’être relayées. Cette architecture élimine le problème identifie par le tribunal, puisque le navigateur ne communique jamais directement avec les serveurs de Google.
