Ce guide explique comment concevoir et opérer un Tag Management System (TMS) qui respecte les exigences de la CNIL et des autorités européennes, et comment synchroniser CMP, TCF et TMS pour que les scripts soumis au consentement ne s’exécutent pas avant choix utilisateur. Il vise responsables techniques, DPO et responsables produit.
Sommaire
Introduction : pourquoi un TMS pour être conforme au RGPD
Un TMS centralise l’orchestration des balises et des scripts. Il facilite le contrôle fin de ce qui s’exécute sur une page. Pour la conformité, il devient un point de contrôle entre le consentement et l’exécution des ressources tierces.
Les définitions utiles sont celles utilisées par la CNIL et l’IAB : TMS ou Tag Manager comme couche d’exécution de tags, CMP comme interface de recueil et de gestion du consentement, TCF comme cadre standard d’échange d’informations de consentement. Vendor désigne un fournisseur tiers ou une régie.
La CNIL et l’EDPB rappellent que le recueil, le stockage et la preuve du consentement sont au cœur de l’exigence réglementaire. Ce guide vise à traduire ces exigences en architecte technique et en processus opérationnels.
Principes juridiques à respecter (RGPD + ePrivacy)
Le recueil du consentement doit respecter plusieurs principes rappelés par la CNIL : information claire, possibilité de retirer le consentement, enregistrement des choix. Ces exigences fondent la manière dont le CMP et le TMS interagissent.
L’ePrivacy s’applique aux traceurs et complète le RGPD. Les lignes directrices de l’EDPB précisent la portée technique des obligations et abordent des méthodes de traitement comme le fingerprinting. Ces textes encadrent ce que le TMS peut ou ne peut pas faire sans consentement.
La CNIL fournit des modalités pratiques pour la tenue de preuves et la conservation des journaux de consentement. Le responsable du traitement doit pouvoir produire un historique horodaté des choix pour répondre à un contrôle.
Ce guide n’offre pas d’avis juridique contraignant. Pour des questions de responsabilité ou des contrats spécifiques entre éditeur et fournisseur, il faut consulter un juriste.
Architecture cible d’un Tag Management conforme
Le principe architectural central est la séparation nette entre l’interface de recueil du consentement et l’exécution des tags soumis au consentement. Le TMS doit uniquement exécuter les scripts autorisés par l’état du consentement persisté.
Ordre de chargement recommandé : le CMP s’initialise sur la page, collecte le choix, stocke l’état de consentement. Le TMS lit cet état avant de déclencher tout tag soumis. Les tags exemptés peuvent rester configurés pour s’exécuter sans attente, si leur exemption est justifiée par les textes et documentée.
La règle clé issue des recommandations CNIL/LINC : aucun tag soumis au consentement ne doit être exécuté avant consentement effectif. Cela implique un mapping clair entre finalités, vendors et tags. Chaque tag doit porter une métadonnée indiquant sa finalité et son niveau de dépendance au consentement.
Le CMP doit être placé en amont du TMS dans le flux applicatif. Le pattern opérationnel courant : CMP initialise → consent stocké → couche de persistence consultée par le TMS → exécution conditionnée. Cette séquence doit être testée et vérifiée en production et en pré-production.
Choix et intégration d’un CMP (principes opérationnels)
Les critères pratiques pour sélectionner un CMP sont l’interopérabilité avec le TCF, la capacité d’enregistrement et d’export des choix, une interface retraçable pour l’utilisateur, et des fonctionnalités de rollback si nécessaire. Ces éléments figurent dans la documentation IAB et les recommandations CNIL.
Le TCF et ses spécifications techniques définissent les obligations d’un CMP. Les documents techniques de l’IAB et du GitHub du TCF listent les API et les structures de données utilisées pour transmettre l’état du consentement aux vendors et aux tags.
Paramétrage du TMS : bonnes pratiques techniques
Séparer les environnements est une pratique essentielle : conteneurs distincts pour production et pré-production, gestion des versions, et contrôle d’accès renforcé. La CNIL recommande des mesures de sécurité pour protéger les environnements et les journaux.
Le TMS doit lire l’état du consentement via le dataLayer ou via l’API fournie par le CMP avant toute exécution. Les règles de déclenchement doivent être basées sur ces signaux. Les documents Google Developers et IAB décrivent les formats de chaînes TCF et les méthodes d’intégration.
Modulariser les tags en wrappers permet de bloquer ou d’autoriser l’exécution selon la finalité. Le flux texte typique : page load → CMP initialise → utilisateur choisit → CMP stocke → TMS interroge → tags autorisés s’exécutent. Ce flow convient aussi pour les relectures de consentement ultérieures.
Transmissions et responsabilités (contrats / GDPR)
Selon l’EDPB, la qualification des acteurs comme responsable ou sous-traitant dépend des finalités et des moyens de traitement. Les données collectées par des tags tiers peuvent engager la responsabilité de plusieurs parties. Il faut documenter ces rôles dans les contrats.
Les obligations contractuelles minimales incluent l’enregistrement des preuves de consentement et la mention dans la politique de confidentialité des transferts à des tiers. Pour les services publicitaires, la CNIL rappelle la nécessité de disposer d’une preuve du consentement au moment de la collecte et de la transmission des données.
La rédaction et la tenue des accords doivent prévoir des droits d’accès aux logs et des conditions de suppression ou de portabilité en lien avec les mécanismes de consentement.
Tests, journalisation et audit
Les tests doivent couvrir les scénarios d’exécution des tags selon l’état du consentement, et inclure des tests de fallback si le CMP est indisponible. Il faut automatiser des scans de page pour détecter toute exécution non autorisée.
La CNIL décrit ce qu’il faut journaliser : horodatage du consentement, valeur du consentement et, selon les besoins, identifiants fonctionnels permettant de faire le lien avec les logs applicatifs. Ces journaux servent de preuve en cas de contrôle.
L’audit périodique doit vérifier que rien ne se charge sans consentement, que les mappings finalité↔tag sont à jour, et que les vendors listés correspondent aux flux réels. Les résultats d’audit doivent être consignés et conservés conformément aux exigences internes.
Gouvernance interne et processus opérationnels
Définir clairement les rôles : product pour la priorisation, dev pour l’implémentation, DPO pour la validation de conformité. Chaque nouveau tag ou vendor doit passer par un processus d’onboarding avec checklist conformité.
La checklist d’onboarding inclut vérification de la finalité, mapping vendor/tag, exigence de logging, contrat et mentions dans la politique de confidentialité. Une revue régulière doit permettre d’actualiser la liste vendors et d’identifier les tags obsolètes.
Le processus doit prévoir une revue après tout changement majeur de TCF/TCF policy ou après mise à jour des guides CNIL/EDPB.
Cas complexes et FAQ technique
Les iframes ou scripts servis depuis des domaines tiers posent des difficultés de contrôle. Il faut exiger des fournisseurs qu’ils respectent les signaux de consentement ou que l’intégration soit faite via le TMS de façon contrôlée.
Le Consent Mode et les signaux côté fournisseur permettent d’ajuster le comportement des tags quand l’utilisateur n’a pas donné son consentement. La documentation Google détaille ces signaux et les modes d’intégration.
En cas de retrait de consentement, le TMS doit pouvoir stopper de nouvelles collectes et, si possible, demander au fournisseur d’effacer ou de cesser tout traitement en cours, selon les conditions contractuelles.
Checklist opérationnelle (copiable)
Vérifier que le CMP s’initialise avant toute exécution de tag soumis au consentement.
Mapper chaque tag à une finalité clairement documentée.
Configurer le TMS pour lire l’état de consentement via dataLayer ou API CMP.
Séparer conteneurs prod / pré-prod et activer contrôle d’accès 2FA.
Activer journalisation : horodatage + valeur du consentement.
Mettre en place des scans automatisés pour détecter exécutions non autorisées.
Inclure clause de disponibilité des logs et droit d’audit dans le contrat CMP.
Processus d’onboarding pour tout nouveau vendor / tag.
Revue périodique de la liste vendors et des mappings finalités.
Prévoir procédure pour l’arrêt des collectes après retrait de consentement.
Questions annexes
Que journaliser exactement ? Horodatage du consentement et valeur du consentement. Ces éléments permettent d’établir une preuve temporelle des choix.
Quels tags sont exemptés ? L’exemption dépend des finalités et des textes ; la CNIL précise les cas admissibles. Documenter toute décision d’exemption dans l’inventaire des tags.
Comment gérer les vendors dans un iframe ? Exiger des interfaces respectant le signal de consentement ou éviter les iframes quand le contrôle n’est pas assuré.
Ressources et lectures officielles
CNIL — Recommandation consolidée « cookies et autres traceurs » (consulté le 04/09/2026) : cnil.fr
CNIL — Cookies et traceurs : comment mettre mon site web en conformité ? (consulté le 04/09/2026) : cnil.fr
CNIL LINC — Mécanismes et recueil du consentement (consulté le 04/09/2026) : linc.cnil.fr
IAB Europe — Transparency & Consent Framework (consulté le 04/09/2026) : iabeurope.eu
Interactive Advertising Bureau / GitHub — CMP API v2 (consulté le 04/09/2026) : github.com
Google Developers — Guide implémentation TCF / Consent Mode (consulté le 04/09/2026) : developers.google.com
EDPB — Lignes directrices pour controllers/processors (consulté le 04/09/2026) : edpb.europa.eu
CNIL — Guide sécurité RGPD / données personnelles (consulté le 04/09/2026) : cnil.fr
CNIL — Guide de configuration « Collecte hors consentement » (consulté le 04/09/2026) : cnil.fr
Mise à jour
Dernière mise à jour : 04/09/2026. Prévoir relecture annuelle ou après toute modification majeure du TCF, des recommandations CNIL ou des lignes directrices EDPB.
