Consent Mode V2: cos’è e come implementarlo correttamente

Se fate pubblicità online e il vostro sito riceve visite dall’Europa, il Consent Mode V2 non è un’opzione da valutare “quando c’è tempo”: è il meccanismo con cui Google riceve le scelte di consenso dei vostri utenti e decide come devono comportarsi i suoi tag. Senza questo segnale, funzioni come remarketing, personalizzazione degli annunci e parte della misurazione delle conversioni smettono di lavorare come vi aspettate.

In questa guida vediamo cos’è il consent mode v2, quali sono i quattro parametri da conoscere, che differenza c’è tra modalità base e avanzata, come implementarlo con una CMP e Google Tag Manager o a mano con gtag.js, e come verificare che tutto funzioni. L’articolo fa parte della sezione Data Tracking di Trackset: niente consulenza legale, ma tutto quello che serve per configurare il tracciamento in modo corretto e difendibile.

Cos’è il Consent Mode V2 e perché è obbligatorio per chi fa advertising in Europa

Partiamo da un equivoco molto diffuso: il Consent Mode non è un banner dei cookie. Il banner (o la piattaforma che lo gestisce, la CMP, Consent Management Platform) raccoglie la scelta dell’utente. Il Consent Mode è il “messaggero” che porta quella scelta ai tag di Google, i quali adattano il proprio comportamento: se l’utente accetta, scrivono e leggono i cookie e inviano i dati completi; se rifiuta, non usano cookie pubblicitari o di analisi.

Immaginate un vigile all’ingresso di un parcheggio. Il banner è il cartello che chiede all’automobilista dove vuole andare; il Consent Mode è il vigile che riceve la risposta e indirizza ogni auto nella corsia giusta. Senza vigile, il cartello resta lì, ma il traffico prosegue come capita.

La versione “2” nasce da un aggiornamento che Google ha introdotto a novembre 2023: ai due parametri storici, ad_storage e analytics_storage, se ne sono aggiunti due nuovi, ad_user_data e ad_personalization. Il motivo è il rafforzamento della EU User Consent Policy di Google, la policy che riflette i requisiti del GDPR e della direttiva ePrivacy e che si applica agli utenti che si trovano nello Spazio Economico Europeo, nel Regno Unito e in Svizzera.

Il passaggio decisivo è arrivato a marzo 2024, quando sono entrati in vigore gli obblighi del Digital Markets Act (DMA) per le grandi piattaforme designate come gatekeeper, Google compresa. Nel comunicare le modifiche introdotte per rispettare il DMA, Google ha annunciato anche aggiornamenti ai propri strumenti pubblicitari per aiutare gli inserzionisti a trasmettere il consenso. In pratica, oggi la regola per chi ha traffico europeo è questa:

• se misurate il comportamento degli utenti con i tag di Google (Google Ads, GA4, Floodlight), dovete raccogliere il consenso e trasmettere a Google le scelte degli utenti, tramite Consent Mode oppure tramite il framework IAB TCF;
• il requisito vale anche se usate i dati di Google Analytics 4 dentro Google Ads, Search Ads 360 o Display & Video 360;
• da marzo 2024 servono segnali di consenso per la personalizzazione anche per funzioni basate su dati caricati, come Customer Match e gli upload delle vendite in negozio.

Cosa succede se non lo fate? Secondo la documentazione di Google Ads, senza segnali di consenso perdete le funzionalità di personalizzazione degli annunci: niente liste di remarketing alimentate dai visitatori europei e meno dati utili per le strategie di offerta automatiche. Se invece usate già il Consent Mode ma non fate pubblicità personalizzata, Google precisa che non serve alcuna azione aggiuntiva. Per chiunque faccia remarketing o importi conversioni, però, il consent mode v2 è diventato un passaggio obbligato.

I quattro parametri del consenso: cosa controlla ciascuno

Il cuore del Consent Mode è un insieme di tipi di consenso, ognuno dei quali può valere granted (concesso) o denied (negato). Pensate a un quadro con quattro interruttori separati: l’utente può accenderne alcuni e lasciarne spenti altri, e ogni tag guarda solo gli interruttori che lo riguardano.

I primi due parametri riguardano la memorizzazione, cioè se il browser può salvare cookie. Gli ultimi due, quelli introdotti con la V2, riguardano l’uso dei dati: anche quando un cookie esiste, l’utente può non voler essere bersaglio di pubblicità personalizzata. Ecco perché sono separati.

Un dettaglio che molti trascurano: nella documentazione di Tag Manager Google specifica che ad_user_data è richiesto anche per casi d’uso di misurazione, come le conversioni avanzate e il monitoraggio delle conversioni basato sui tag. Non è quindi un parametro “solo per il remarketing”: se lo dimenticate, rischiate di indebolire anche il conteggio delle conversioni.

Oltre ai quattro parametri principali esistono tre tipi di consenso aggiuntivi, utili soprattutto per organizzare i tag non pubblicitari:

• functionality_storage: memorizzazione che supporta le funzionalità del sito, come la lingua scelta;
• personalization_storage: memorizzazione legata alla personalizzazione, per esempio i video consigliati;
• security_storage: memorizzazione legata alla sicurezza, come l’autenticazione o la prevenzione delle frodi.

Quando l’utente nega ad_storage, i tag con controlli del consenso integrati non scrivono nuovi cookie pubblicitari e non leggono quelli esistenti; i prodotti Ads troncano l’indirizzo IP al momento della raccolta. Quando nega analytics_storage, GA4 non legge né scrive i cookie di analisi first party, ma può inviare misurazioni senza cookie per la misurazione di base e la modellazione. Quando nega ad_personalization, le funzioni di remarketing non ricevono dati.

Consent Mode base o avanzato: quale scegliere

Google prevede due modi di implementare il Consent Mode, e la differenza è tutta in un momento preciso: cosa succede prima che l’utente risponda al banner, e cosa succede se rifiuta.

Nella modalità base i tag di Google vengono bloccati finché l’utente non interagisce con il banner. Se accetta, i tag si caricano e inviano prima lo stato di default e poi quello aggiornato. Se rifiuta, a Google non arriva nulla, nemmeno lo stato del consenso. È come una porta chiusa a chiave: chi non ha il pass non entra, e nessuno sa che è passato di lì.

Nella modalità avanzata i tag si caricano subito, con il consenso impostato di default su denied (a meno che non configuriate valori diversi). Finché l’utente non accetta, i tag inviano solo ping senza cookie (cookieless ping); quando accetta, inviano i dati di misurazione completi. Tornando alla metafora: la porta è aperta, ma chi entra senza pass resta anonimo e lascia solo un segno sul contapersone.

Cosa contengono questi ping senza cookie? Secondo Google, informazioni funzionali che il browser aggiunge comunque (timestamp, user agent, referrer) e informazioni aggregate: un’indicazione booleana sullo stato del consenso, un numero casuale generato a ogni caricamento di pagina e un’indicazione sulla presenza di parametri di clic sugli annunci (come GCLID) nell’URL. Google dichiara che non vengono usati per tracciare i singoli utenti tra siti o app, né per creare liste di remarketing o profili.

Quale scegliere, quindi? Dal punto di vista della misurazione la modalità avanzata vince senza discussione, perché alimenta modelli più precisi e sblocca la modellazione comportamentale di GA4. Dal punto di vista legale la scelta spetta a voi e al vostro consulente privacy: la stessa documentazione di Google invita a seguire le linee guida della propria azienda per decidere metodo e valori di default. Un buon compromesso, molto comune, è partire dalla modalità avanzata con tutti i parametri su denied e mettere per iscritto le ragioni della scelta, così da poterla motivare in caso di verifiche.

Come implementarlo con una CMP e Google Tag Manager

La strada più semplice, e quella che Google raccomanda per chi usa Tag Manager, è affidarsi a una CMP che supporti nativamente il Consent Mode. Google gestisce un CMP Partner Program con un elenco di piattaforme già integrate: nella lista compaiono, tra le altre, iubenda, Cookiebot, Complianz, CookieYes, OneTrust, Usercentrics e Didomi.

Attenzione a non confondere due regole diverse:

• per gli inserzionisti, Google non obbliga a usare una CMP del Partner Program: l’elenco serve a orientarsi e non è esaustivo. L’obbligo è trasmettere i segnali di consenso;
• per gli editori che monetizzano con AdSense, Ad Manager o AdMob, invece, dal 16 gennaio 2024 (Spazio Economico Europeo e Regno Unito) serve una CMP certificata da Google integrata con l’IAB TCF per mostrare annunci personalizzati; per la Svizzera l’obbligo è scattato il 31 luglio 2024.

Adottare una CMP certificata, ricorda Google, non garantisce da sola la conformità: conta come la configurate e quale messaggio mostrate agli utenti.

I passaggi in Google Tag Manager

Se Tag Manager per voi è ancora territorio nuovo, partite dalla nostra guida completa per configurare Google Tag Manager da zero. Con il contenitore già installato, la procedura tipica è questa:

1. Aprite il contenitore, andate su Tag > Nuovo e scegliete Configurazione tag > Community Template Gallery.
2. Cercate il modello della vostra CMP, aggiungetelo all’area di lavoro e compilate i campi richiesti (di solito un ID del sito o della configurazione).
3. Nell’attivatore selezionate Consent Initialization – All Pages: è un trigger presente di default in ogni contenitore web e si attiva prima di tutti gli altri, anche degli attivatori di inizializzazione.
4. Nella configurazione della CMP impostate i valori di default (di norma tutti denied per i visitatori europei) e verificate che il modello gestisca anche i due parametri della V2.
5. Salvate, avviate l’Anteprima e pubblicate solo dopo aver fatto i controlli che vediamo più avanti.

Per i tag di Google (tag Google, GA4, Google Ads, Floodlight, Linker conversioni) non serve fare altro: hanno controlli del consenso integrati e adattano il comportamento da soli. Per i tag di terze parti, come i pixel di altre piattaforme pubblicitarie, entrate in Impostazioni avanzate > Impostazioni di consenso e scegliete Richiedi un consenso aggiuntivo per l’attivazione del tag, indicando per esempio ad_storage. Così quel tag partirà solo se il consenso è concesso.

Un aiuto prezioso è la pagina Panoramica del consenso (Consent Overview). Si attiva da Amministrazione > Impostazioni contenitore, spuntando l’opzione dedicata, e mostra in un colpo d’occhio quali tag hanno il consenso configurato e quali no, con la possibilità di modificarli in blocco.

Un’avvertenza tecnica che vale oro: Google sconsiglia di usare un tag HTML personalizzato per richiamare il comando gtag('consent', ...) dentro Tag Manager. I comandi gtag vengono messi in coda dopo gli altri messaggi del data layer e potrebbero non essere elaborati in tempo. La strada corretta è un modello di tag che usi le API di consenso di Tag Manager, come fanno i template delle CMP.

Implementazione manuale con gtag.js: il codice passo passo

Se gestite un banner fatto in casa e installate i tag direttamente nel codice, potete implementare il Consent Mode con gtag.js. La regola d’oro è l’ordine: il comando di default deve essere eseguito su ogni pagina prima di qualsiasi comando che invia dati, come config o event. Se arriva dopo, è come chiudere la stalla quando i buoi sono già scappati.

1. Impostare il consenso di default

Questo blocco va nell’<head>, prima dello snippet del tag Google o di Tag Manager:

window.dataLayer = window.dataLayer || [];
function gtag(){dataLayer.push(arguments);}

gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied',
  'wait_for_update': 500
});

Il parametro wait_for_update serve quando il banner si carica in modo asincrono: indica ai tag quanti millisecondi attendere l’aggiornamento prima di inviare dati. Nell’esempio di Google il valore è 500 millisecondi.

2. Aggiornare il consenso dopo la scelta dell’utente

Quando l’utente clicca su “Accetta tutto”, il vostro banner deve inviare il comando update:

function consensoConcesso() {
  gtag('consent', 'update', {
    'ad_storage': 'granted',
    'ad_user_data': 'granted',
    'ad_personalization': 'granted',
    'analytics_storage': 'granted'
  });
}

Lo stesso comando si usa per revocare il consenso, impostando i valori su denied. Il Consent Mode non salva le scelte: siete voi a doverle memorizzare (in un cookie tecnico first party o nel local storage) e a richiamare update nelle pagine successive. Google raccomanda inoltre di inviare l’aggiornamento sulla stessa pagina in cui l’utente sceglie, e non subito prima di un ricaricamento: altrimenti il browser può interrompere le richieste e in GA4 rischiate sessioni senza l’evento session_start.

3. Default diversi per regione

Il banner serve per i visitatori europei, ma magari non per tutti gli altri. Con il parametro region (codici ISO 3166-2) potete applicare il default negato solo dove serve:

gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied',
  'region': ['IT', 'FR', 'DE', 'ES']
});

Un comando default senza region vale per tutti i visitatori non coperti da un comando regionale, e se due regole si sovrappongono vince la più specifica. Nella pratica, per un sito italiano con traffico da tutta Europa, conviene elencare tutti i Paesi dello Spazio Economico Europeo più Regno Unito e Svizzera, oppure impostare semplicemente il default negato per tutti.

4. Le opzioni avanzate: url_passthrough e ads_data_redaction

• gtag('set', 'url_passthrough', true); fa viaggiare le informazioni sul clic dell’annuncio (come GCLID) nei parametri URL tra le pagine dello stesso dominio quando i cookie sono negati. Migliora la qualità della misurazione, ma aggiunge parametri ai link: verificate che redirect e filtri di analytics li gestiscano.
• gtag('set', 'ads_data_redaction', true); oscura gli identificatori di clic sugli annunci nelle richieste di rete quando ad_storage è negato. Non ha effetto se ad_storage è concesso.

Infine, se usate ancora tag legacy come analytics.js, ga.js o conversion.js, Google chiede di passare a gtag.js o Tag Manager: il Consent Mode è pensato per la piattaforma di tag attuale.

Come verificare che il Consent Mode funzioni: Tag Assistant e diagnostica di Google Ads

Un’implementazione non verificata è un’ipotesi, non un’implementazione. Lo strumento di riferimento è Google Tag Assistant (tagassistant.google.com), che Google consiglia di usare con Chrome e con l’estensione Tag Assistant Companion.

1. Aprite Tag Assistant, inserite l’URL del sito e avviate la sessione.
2. Nel Riepilogo selezionate il primo evento Consent: nella sezione API Call dovete trovare tutti e quattro i parametri (ad_storage, analytics_storage, ad_user_data, ad_personalization). In alternativa aprite la scheda Consent e controllate la colonna On-page Default.
3. Interagite con il banner e selezionate l’ultimo evento Consent: i valori devono essere cambiati, e la colonna On-page Update deve riflettere la vostra scelta.
4. Nella scheda Tag controllate quali tag si sono attivati e quali sono stati bloccati, e se il comportamento corrisponde alle impostazioni.
5. Se avete impostato default regionali, ripetete il test simulando una posizione diversa nel browser.

Gli errori più comuni che Tag Assistant vi mostrerà sono quattro: scheda Consent vuota (il Consent Mode non è implementato), default non impostato, default impostato troppo tardi e consenso che non si aggiorna. Il terzo è il più insidioso: se un tag legge lo stato del consenso prima che sia stato definito un default, Tag Assistant segnala che un tag ha letto il consenso prima del default. La soluzione è far partire la CMP con l’attivatore Consent Initialization oppure spostare il comando default più in alto nel codice, senza mai impostarlo in modo asincrono.

La diagnostica in Google Ads

Il secondo controllo si fa dentro Google Ads. Andate su Obiettivi > Conversioni > Riepilogo, aprite un’azione di conversione del sito e selezionate la scheda Diagnostica. Troverete uno di questi due stati:

• Consent Mode implementato: la configurazione c’è, ma non avete ancora raggiunto le soglie per la modellazione delle conversioni;
• Consent Mode implementato e modellazione attiva: nelle prime quattro settimane dall’avvio vedrete anche l’incremento (uplift) per combinazione di dominio e Paese.

Non allarmatevi se lo stato non compare subito: secondo Google possono servire 48 ore, e in alcuni casi fino a 2 settimane. Se Tag Assistant conferma che il setup è corretto, l’avviso dipende quasi certamente da questo ritardo. Per un quadro completo dei dati di analisi, nella nostra guida pratica a Google Analytics 4 per principianti trovate come leggere i report di GA4 dopo l’attivazione.

Modellazione delle conversioni, errori da evitare e checklist finale

Quando una parte degli utenti rifiuta i cookie, nei report si apre un buco. La modellazione serve a stimare ciò che non si può osservare, usando il comportamento degli utenti che hanno accettato. È un po’ come il meteorologo che, con i dati di molte stazioni, stima la temperatura anche nei paesi dove il termometro non c’è: non è una misura diretta, ma è molto meglio di uno spazio vuoto sulla mappa.

Le soglie da conoscere

• Google Ads: la modellazione delle conversioni richiede un Consent Mode (o un TCF) implementato correttamente e una soglia di 700 clic sugli annunci in 7 giorni, per combinazione di Paese e dominio. I risultati di impatto possono comparire dopo almeno 7 giorni di implementazione.
• GA4: la modellazione comportamentale richiede la modalità avanzata su tutte le pagine, almeno 1.000 eventi al giorno con analytics_storage negato per almeno 7 giorni e almeno 1.000 utenti giornalieri con analytics_storage concesso per almeno 7 dei 28 giorni precedenti. Per vedere i dati modellati scegliete l’identità per i report Mista (Blended).

Un dato utile per tarare le aspettative: secondo Google gli utenti che danno il consenso hanno in genere una probabilità di convertire da 2 a 5 volte superiore rispetto a chi lo nega, con forti variazioni per settore e tipo di conversione. Per questo un calo del tasso di consenso non si traduce mai in un calo identico delle conversioni. E se il vostro sito non raggiunge le soglie, i dati modellati semplicemente non compaiono: per i siti piccoli il valore del Consent Mode è soprattutto nella conformità e nella possibilità di continuare a usare le funzioni pubblicitarie.

Gli errori più frequenti

1. Implementare solo la V1: avere ad_storage e analytics_storage senza ad_user_data e ad_personalization.
2. Default impostato dopo i tag: il classico problema di ordine nel codice o di attivatore sbagliato in Tag Manager.
3. Banner che non invia l’update: l’utente accetta, ma i tag continuano a credere che abbia rifiutato.
4. Tag di terze parti senza controlli: i pixel di altre piattaforme che partono comunque, ignorando la scelta dell’utente.
5. Consent Mode solo su alcune pagine: Google indica che, se il Consent Mode non è rilevato sul 100% delle pagine, la modellazione perde efficacia.
6. Bloccare del tutto i tag Google pensando di “fare la cosa più sicura” e poi stupirsi che GA4 non mostri dati modellati: con la modalità base la modellazione comportamentale non è disponibile.

Checklist finale

• Banner o CMP attivo per i visitatori di Spazio Economico Europeo, Regno Unito e Svizzera.
• Quattro parametri impostati di default prima di qualsiasi tag.
• Comando update inviato a ogni scelta, anche in caso di revoca.
• Tag di terze parti con consenso aggiuntivo richiesto in Tag Manager.
• Test in Tag Assistant superato e stato verificato nella diagnostica di Google Ads.
• Scelta tra modalità base e avanzata documentata con il vostro consulente privacy.

Il Consent Mode, infine, non riguarda solo Google. Anche gli altri strumenti che usate devono rispettare il consenso: per esempio, nella nostra guida a Microsoft Clarity spieghiamo come gestire il consenso per heatmap e registrazioni, mentre nel confronto tra i migliori software di web analytics trovate alternative che possono affiancare GA4. Configurato bene, il consent mode v2 non è un freno al marketing: è la base su cui costruire dati affidabili, campagne che si ottimizzano su numeri veri e un rapporto di fiducia con chi visita il vostro sito.