Comprendre la législation sur les cookies et mettre en œuvre des solutions efficaces de gestion du consentement est devenu crucial pour tous les sites web. Ce guide explore les différences entre les réglementations européenne et américaine, analyse le fonctionnement du Mode Consentement de Google et compare les principales solutions de gestion du consentement.

Loi sur les cookies et gestion du consentement : mises à jour 2025

Comprendre la législation sur les cookies et mettre en œuvre des solutions efficaces de gestion du consentement est devenu essentiel pour tous les sites web. Ce guide explore les différences entre les réglementations européenne et américaine, analyse le fonctionnement du mode consentement de Google et compare les principales solutions de gestion du consentement, avec les dernières mises à jour jusqu'en 2025.

Législation européenne : GDPR et directive ePrivacy

En Europe, la protection des données personnelles et de la vie privée en ligne est principalement régie par deux textes législatifs :

Le GDPR (General Data Protection Regulation)

Entré en vigueur en 2018, le GDPR impose des exigences strictes en matière de traitement des données personnelles, en établissant des principes fondamentaux :

• Licéité et transparence : chaque traitement doit reposer sur une base juridique valide
• Minimisation des données : ne collecter que les données nécessaires
• Sécurité : garantir des mesures de protection adéquates

Pour collecter et traiter des données à caractère personnel (y compris des identifiants en ligne tels que des cookies), il est nécessaire de disposer d'une base juridique valable telle que votre consentement explicite, un intérêt légitime ou une obligation contractuelle.

Les violations du GDPR peuvent entraîner des sanctions très lourdes, pouvant aller jusqu'à 4 % du chiffre d'affaires global de l'entreprise.

La directive "vie privée et communications électroniques

La directive "vie privée et communications électroniques" (2002/58/CE, modifiée en 2009) porte spécifiquement sur la protection de la vie privée dans les communications électroniques, y compris l'utilisation de cookies et de technologies de traçage.

L'article 5, paragraphe 3, de la directive stipule qu'il est obligatoire d'obtenir le consentement préalable de l'utilisateur avant de stocker des informations sur son appareil ou d'y accéder, sous réserve d'exceptions (telles que les cookies techniques strictement nécessaires).

En pratique, cela signifie que les sites web européens doivent :

• Informer clairement l'utilisateur sur les finalités des cookies
• Recueillir un consentement libre, spécifique et éclairé avant de déposer des cookies non essentiels
• Permettre à l'utilisateur de refuser et de modifier ses préférences à tout moment

Les autorités européennes chargées de la protection de la vie privée ont activement sanctionné les violations : par exemple, la CNIL française a infligé des amendes à Google et Amazon entre 2020 et 2022 pour avoir déposé des cookies de suivi sans consentement valable.

Mises à jour 2025

En mars 2024, la loi européenne sur les marchés numériques (DMA) est entrée en vigueur, renforçant encore les exigences en matière de consentement pour les grandes plateformes technologiques, ce qui a un impact significatif sur la gestion des cookies et du suivi. Cela a conduit des entreprises telles que Google à mettre à jour leurs solutions de gestion du consentement.

En février 2025, la Commission européenne a officiellement retiré sa proposition de nouveau règlement sur la vie privée et les communications électroniques, maintenant la directive existante en vigueur. Cela signifie que les exigences en matière de consentement pour les cookies restent telles qu'elles sont aujourd'hui, c'est-à-dire toujours contraignantes et soumises à une application stricte dans toute l'Europe.

La Cour de justice de l'Union européenne a rendu un arrêt important en mars 2024 concernant l'affaire IAB TCF, avec des implications majeures pour la mise en œuvre du Transparency & Consent Framework, que les entreprises sont encore en train d'assimiler.

Réglementation américaine : CCPA, CPRA et développements au niveau des États

Aux États-Unis, contrairement à l'UE, il n'existe pas de loi fédérale générale sur la protection de la vie privée comparable au GDPR. La réglementation s'applique au niveau des États et des secteurs, avec des développements significatifs ces dernières années.

CCPA (California Consumer Privacy Act) et CPRA (California Privacy Rights Act)

Le CCPA, entré en vigueur en 2020, a été renforcé par l'ACPR (en vigueur depuis 2023), ce qui le rapproche encore plus du modèle européen.

L'ACPR a :

• Introduit le concept de « partage » des données en plus de la « vente »
• Donné aux consommateurs le droit de refuser également le partage de leurs données personnelles à des fins publicitaires cross-contextuelles
• Défini une catégorie d'Informations Personnelles Sensibles avec un droit dédié d'en limiter l'utilisation
• Élargi les droits existants et créé une agence dédiée, la California Privacy Protection Agency (CPPA)

Mises à jour 2025

Entre 2023 et 2025, le paysage de la protection de la vie privée aux États-Unis a connu une évolution rapide :

En janvier 2025, pas moins de 20 États américains disposeront de lois complètes sur la protection de la vie privée, et huit nouvelles lois entreront en vigueur en 2025. Cela signifie qu'environ 40 % des consommateurs américains disposent désormais de droits en matière de protection de la vie privée numérique. Toutefois, la fragmentation réglementaire pose un défi de taille aux entreprises, qui doivent naviguer entre des exigences souvent similaires, mais pas identiques.

La Californie reste au premier plan, la CPPA étant particulièrement active en 2024-2025. L'agence a émis plusieurs pénalités importantes, dont une amende de 6,75 millions de dollars à une société de logiciels en nuage en 2024. Elle a également publié de nouvelles propositions de règlement sur la cybersécurité, l'évaluation des risques et les technologies de décision automatisées (ADMT), avec une période de consultation publique ouverte jusqu'en juin 2025.

Parmi les développements les plus pertinents en matière de gestion des cookies, la Californie a élargi la définition des "informations personnelles sensibles" pour y inclure les "données neurales" (informations générées par la mesure de l'activité du système nerveux) et a précisé que les informations personnelles comprennent également les formats numériques et abstraits, tels que ceux générés par l'intelligence artificielle.

Le Delaware a adopté une loi sur la protection de la vie privée qui, contrairement à d'autres, n'exclut pas de son champ d'application les organisations à but non lucratif et les établissements universitaires, ce qui en élargit considérablement la portée.

Contrairement à l'UE, le modèle américain reste principalement basé sur l'opt-out plutôt que sur le consentement préalable. Un site américain desservant des utilisateurs de l'UE devra donc adopter une bannière conforme au GDPR pour ces utilisateurs, tandis que pour les utilisateurs américains, il pourra simplement afficher un avis et un lien de refus sans bloquer les cookies à l'avance.

IAB TCF : le cadre de transparence et de consensus

L'Interactive Advertising Bureau (IAB) Europe a développé le Transparency & Consent Framework (TCF) comme norme sectorielle pour aider les entreprises à gérer le consentement des utilisateurs conformément au RGPD et à la Directive ePrivacy, particulièrement pertinent dans le contexte de la publicité digitale.

Développement et versions du TCF

Le TCF a connu plusieurs itérations :

• TCF v1.1 : lancé en avril 2018
• TCF v2.0 : lancé en août 2019
• TCF v2.1 : lancé en août 2020, aligné sur l'arrêt Planet49 de la Cour de justice de l'UE
• TCF v2.2 : lancé en mai 2023, mis en œuvre d'ici novembre 2023, en réponse à un plan d'action convenu avec l'Autorité belge de protection des données (APD)

TCF v2.2 : Principaux changements

La version 2.2 du TCF a introduit des changements importants :

1. Suppression de l'intérêt légitime comme base juridique pour la personnalisation publicitaire et des contenus. Pour les Purpose 3, 4, 5 et 6 (création de profils publicitaires personnalisés, sélection d'annonces personnalisées, création de profils de contenu personnalisés et sélection de contenus personnalisés), seul le consentement explicite est désormais admis.
2. Descriptions plus conviviales qui remplacent les informations juridiques pour les finalités et fonctionnalités, rendant la communication avec les utilisateurs plus claire et accessible.
3. Standardisation et enrichissement des informations sur les fournisseurs, incluant les catégories de données collectées, les périodes de conservation et des indications sur l'application de l'intérêt légitime.
4. Exigences plus strictes pour les éditeurs, qui doivent révéler le nombre total de fournisseurs et de Google Ad Tech Providers utilisés dès le premier niveau du CMP.
5. Mécanismes de contrôle renforcés, avec de nouveaux processus d'audit et des procédures d'application différenciées.

TCF v2.3 : les derniers développements

En avril 2025, l'IAB Tech Lab et l'IAB Europe ont ouvert la spécification technique TCF v2.3 aux commentaires du public, avec une période de commentaires jusqu'au 19 mai 2025. La mise à jour vise à apporter plus de clarté aux fournisseurs dans des scénarios spécifiques où il n'est pas clair si les données ont été divulguées à l'utilisateur, ce qui est particulièrement important lorsqu'un fournisseur a l'intention de traiter des données à des fins spéciales basées sur l'intérêt légitime.

Le calendrier de la version 2.3 du TCF comprend les éléments suivants

• Fin mai 2025 : finalisation des spécifications techniques
• 1er février 2026 : date limite pour tous les CMP et fournisseurs pour mettre à jour leur implémentation afin de prendre en charge la v2.3

Mode consentement de Google : qu'est-ce que c'est et comment ça marche ?

Pour aider les sites et les annonceurs à respecter les choix des utilisateurs en matière de consentement, Google a introduit le mode de consentement, une solution technique qui adapte le comportement des balises Google en fonction de l'état du consentement de l'utilisateur.

Google Consent Mode V2

En novembre 2023, Google a lancé le Mode de consentement V2, avec une mise en œuvre obligatoire d'ici mars 2024 pour les sites qui utilisent les services Google et collectent des données auprès des utilisateurs dans l'Espace économique européen (EEE). Cette mise à jour a été spécialement conçue pour s'aligner sur la loi européenne sur les marchés numériques (DMA).

Le mode consentement V2 introduit deux nouveaux paramètres en plus des paramètres originaux :

• ad_storage et analytics_storage (existants) : contrôlent le stockage des cookies publicitaires et analytiques
• ad_user_data (nouveau) : gère le consentement à l'utilisation des données personnelles à des fins publicitaires
• ad_personalization (nouveau) : gère le consentement à l'utilisation des données pour le remarketing personnalisé

Contrairement à ad_storage et analytics_storage, ces nouveaux paramètres n'influencent pas le comportement des balises sur le site lui-même, mais sont des paramètres supplémentaires envoyés aux services Google pour indiquer comment les données des utilisateurs peuvent être utilisées.

Méthodes de mise en œuvre

Google Consent Mode V2 propose deux modes de mise en œuvre :

1. Basic Consent Mode (Mode basique) : Les balises Google sont entièrement bloquées jusqu'à ce que l'utilisateur interagisse avec la bannière de consentement. Si l'utilisateur ne donne pas son consentement, aucune information n'est collectée.
2. Advanced Consent Mode (Mode avancé) : Les balises Google se chargent avant que l'utilisateur n'interagisse avec la bannière. Si l'utilisateur ne donne pas son consentement, les balises fonctionnent en mode limité, en envoyant des « pings anonymes » (sans identifiants utilisateur) que Google utilise pour modéliser statistiquement les résultats.

Il est important de noter que certains experts en matière de protection de la vie privée ont émis des doutes quant à la conformité du mode avancé avec les réglementations en matière de protection des données, car les "pings" pourraient représenter des données personnelles traitées sans consentement.

Impact sur le marketing et l'analyse

Sans le mode de consentement de Google, les plateformes publicitaires ne peuvent pas acquérir de données sur les nouveaux utilisateurs de l'EEE, ce qui limite considérablement la possibilité de collecter des données sur l'audience, de mesurer l'efficacité des campagnes et de mettre en œuvre des stratégies de publicité ciblée.

Avec le mode consentement V2, les sites web peuvent continuer à collecter des données analytiques de base même lorsque les utilisateurs n'ont pas donné leur consentement aux cookies, grâce à des techniques de modélisation avancées qui respectent les préférences en matière de consentement.

Solutions de gestion des consentements (CMP)

Pour se conformer à toutes ces réglementations, les sites web utilisent des plateformes de gestion du consentement (CMP) qui fournissent des bannières et des interfaces pour obtenir le consentement des utilisateurs et des mécanismes pour respecter ces choix.

Le rôle de l'IAB dans le CMP

L'IAB joue un rôle clé dans la certification des CMP par le biais du cadre TCF. Un CMP certifié par le TCF v2.2 de l'IAB doit :

1. Afficher des informations claires sur les finalités du traitement des données
2. Recueillir des consentements granulaires pour différentes finalités
3. Permettre aux utilisateurs de modifier facilement leurs préférences
4. Stocker les consentements de manière sécurisée (TC String)
5. Communiquer ces préférences à tous les fournisseurs dans le format standardisé TCF

En 2023-2024, Google a introduit des exigences de certification spécifiques pour les CMP souhaitant soutenir Google Ads dans l'UE et au Royaume-Uni, la principale exigence étant la mise à jour de la conformité avec le TCF de l'IAB. Les CMP certifiés par Google peuvent utiliser les produits Google Ads et figurent sur une liste officielle.

Comparaison des principales solutions CMP à l'horizon 2025

Finweet (Consentement au Cookie Finsweet)

Une solution spécialement conçue pour les sites construits avec Webflow, avec un support complet pour IAB TCF v2.2 et Google Consent Mode v2.

Avantages :

• Gratuité (version de base)
• Personnalisation graphique totale (la bannière est construite directement dans le designer de Webflow)
• Approche « no-code » pour les utilisateurs de Webflow

Inconvénients :

• Requiert des compétences techniques pour une implémentation correcte
• La version gratuite ne couvre que les aspects de base du RGPD
• Pour des fonctionnalités avancées comme Google Consent Mode v2, un abonnement est nécessaire

Idéal pour : les développeurs ou agences travaillant sur Webflow, qui souhaitent un contrôle total et un design sur mesure.

CookieOui

Une solution plug-and-play mise à jour pour prendre en charge l'IAB TCF v2.2 et Google Consent Mode v2, maintenant avec la certification Gold en tant que partenaire Google CMP.

Avantages :

• Facilité d'utilisation (il suffit de copier/coller le code)
• Scan automatique des cookies du site
• Mises à jour régulières pour rester conforme aux réglementations
• Support pour la résolution des problèmes d'implémentation du Google Consent Mode v2

Inconvénients :

• Options de personnalisation limitées
• Modèle par abonnement récurrent
• Peut s'avérer trop simpliste pour les marques exigeantes

Idéal pour : les petits sites ou propriétaires qui souhaitent se mettre en conformité rapidement.

Iubenda Cookie Solution

Iubenda est une société italienne qui propose une suite complète d'outils de conformité, entièrement mis à jour pour prendre en charge l'IAB TCF v2.2 et Google Consent Mode v2.

Avantages :

• Solution complète « tout-en-un » (inclut des générateurs de politique de confidentialité et de cookies multilingues)
• Certifiée IAB TCF v2.2
• Partenaire Google pour le Consent Mode v2
• Conserve un registre des consentements pour les audits
• Support pour la géolocalisation des utilisateurs et une gestion différenciée UE/USA

Inconvénients :

• Service payant (avec des forfaits annuels selon les services utilisés)
• Peut être surdimensionné pour de très petits sites
• Pour les utilisateurs Webflow, ce n'est pas "natif" comme Finsweet

Idéal pour : les entreprises à la recherche d'une solution professionnelle et globale, avec une maintenance minimale.

Cookiebot (Usercentrics CMP)

L'une des premières solutions SaaS CMP populaires, qui fait maintenant partie de la plateforme Usercentrics.

Avantages :

• Automatisation de la conformité aux cookies
• Analyse périodique des trackers et cookies, avec classification automatique
• Génération d'une politique de cookies dynamique et à jour
• Certifié TCF v2.2 et compatible avec Google Consent Mode v2
• Prise en charge de la conformité multi-juridictionnelle (UE et USA)

Inconvénients :

• Modèle commercial freemium avec des coûts qui augmentent avec le trafic
• Personnalisation modérée de la bannière
• Pas entièrement personnalisable à partir de zéro comme avec Finsweet

Idéal pour : les sites de taille moyenne et les entreprises qui souhaitent déléguer la gestion des cookies à l'automatisation.

UniConsentement

Un CMP émergent offrant une solution complète pour l'intégration avec Google Consent Mode V2 et IAB TCF v2.2.

Avantages :

• Intégration facile avec les deux modes de Google Consent Mode V2 (Basic et Advanced)
• Prise en charge de la conformité IAB TCF v2.2
• Configuration simplifiée avec Google Analytics 4 (GA4)
• Tableau de bord intuitif pour la gestion du consentement

Inconvénients :

• Marque moins établie que d'autres solutions
• Documentation disponible moins étendue

Idéal pour : les entreprises à la recherche d'une solution axée sur l'intégration avec Google Consent Mode V2.

Solutions d'entreprise

Pour les grandes organisations multinationales, il existe des CMP d'entreprise tels que OneTrust, TrustArc, Didomi, Usercentrics, Osano, etc.

Avantages :

• Intégrations poussées avec les systèmes d'entreprise (CRM, etc.)
• Personnalisation avancée
• Gestion du consentement sur plusieurs canaux (web, application mobile, connected TV)
• Modules de conformité au-delà des cookies (gestion des demandes des personnes concernées, analyses d'impact)
• Prise en charge globale de la conformité multi-juridictionnelle

Inconvénients :

• Budgets élevés
• Mise en œuvre complexe
• Nécessitent un accompagnement spécialisé

Idéal pour : les grandes entreprises ayant une présence mondiale et des besoins de gestion complexe du consentement.

Conclusions

L'adaptation aux réglementations relatives aux cookies et à la protection de la vie privée nécessite à la fois une compréhension juridique des différentes réglementations et la mise en œuvre de solutions techniques appropriées.

En Europe, c'est un régime strict de consentement préalable qui prévaut, tandis qu'aux États-Unis, c'est l'opt-out avec obligation de transparence qui prévaut, bien que les législations des États évoluent progressivement vers des normes plus strictes, se rapprochant ainsi du modèle européen.

Des outils tels que Google Consent Mode V2 et IAB TCF v2.2/v2.3 contribuent à combler le fossé entre le marketing et la protection de la vie privée, en permettant aux sites d'utiliser des services d'analyse et de publicité tout en respectant les lois sur les cookies.

Le choix de la plateforme de gestion des consentements dépend de facteurs tels que la taille du site, les ressources techniques disponibles, le budget et la nécessité d'une conformité multinationale. L'important est de donner aux utilisateurs un véritable contrôle sur leurs données et de permettre au site de fonctionner de manière transparente et dans le respect des lois applicables.

Les entreprises opérant en Europe et aux États-Unis devront continuer à naviguer dans un paysage réglementaire complexe et évolutif, en adaptant leurs solutions de gestion des consentements aux différentes juridictions.

FAQ sur la législation relative aux cookies et la gestion du consentement

Quelles sont les principales différences entre les législations européenne et américaine en matière de cookies ?

En Europe (GDPR et ePrivacy Directive), c'est le modèle "opt-in" qui prévaut : le consentement explicite de l'utilisateur doit être obtenu avant d'utiliser des cookies non essentiels. En revanche, aux États-Unis (CCPA/CPRA et autres lois nationales), c'est le modèle "opt-out" qui prévaut : les cookies peuvent être utilisés jusqu'à ce que l'utilisateur s'y oppose explicitement, et les entreprises doivent fournir un moyen clair de refuser la vente/le partage des données.

Quels sont les cookies qui peuvent être utilisés sans le consentement de l'utilisateur en Europe ?

En Europe, seuls les cookies "strictement nécessaires" (ou "techniques") peuvent être utilisés sans consentement. Il s'agit des cookies essentiels au fonctionnement du site, tels que ceux qui servent à l'authentification, au stockage d'articles dans un panier d'achat de commerce électronique ou à la sécurité du site.

Qu'est-ce que le mode consentement V2 de Google et pourquoi est-il important ?

Google Consent Mode V2 est une interface qui communique à Google les choix de l'utilisateur en matière de consentement. Il introduit quatre paramètres de consentement (ad_storage, analytics_storage, ad_user_data, ad_personalisation) qui régissent le comportement des balises Google. Elle est importante car elle permet aux sites de trouver un équilibre entre la mesure des performances marketing et le respect de la vie privée. Elle est devenue obligatoire à partir de mars 2024 pour les sites utilisant les services de Google en Europe.

Comment choisir la solution CMP la plus adaptée à mon site ?

Le choix dépend de plusieurs facteurs : la taille et le trafic du site, le budget disponible, l'expertise technique interne, la plateforme sur laquelle le site est construit (par exemple Webflow, WordPress) et les exigences spécifiques en matière de conformité. Il est également important de vérifier si le CMP est certifié IAB TCF v2.2 et s'il prend en charge le mode de consentement V2 de Google, en particulier si des services publicitaires de Google sont utilisés.

La bannière relative aux cookies est-elle également requise pour un site qui n'utilise pas de cookies de marketing ou d'analyse ?

En Europe, techniquement oui. Même si le site n'utilise que des cookies essentiels, il est toujours nécessaire d'informer les utilisateurs des cookies utilisés. Toutefois, dans ce cas, il n'est pas nécessaire de demander le consentement, de sorte que la bannière peut être simplifiée en un avis informatif qui ne nécessite pas d'interaction.

Quelles sont les sanctions en cas de non-respect de la législation sur les cookies ?

En Europe, les violations du GDPR peuvent entraîner des sanctions allant jusqu'à 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros, le montant le plus élevé étant retenu. En Californie, les infractions à la loi CCPA/CPRA peuvent entraîner des sanctions civiles allant jusqu'à 2 500 dollars par infraction involontaire et 7 500 dollars par infraction intentionnelle, ainsi que d'éventuelles poursuites judiciaires de la part des consommateurs. Les autorités de régulation sont devenues plus actives dans l'application de la loi, plusieurs amendes importantes ayant été infligées ces dernières années.

La version V2 du mode de consentement de Google remplace-t-elle la nécessité d'une bannière de cookies ?

Non, Google Consent Mode V2 ne remplace pas le cookie de la bannière, mais fonctionne en tandem avec lui. Un système est toujours nécessaire pour recueillir le consentement de l'utilisateur (CMP), qui communiquera ensuite ses préférences à Google Consent Mode pour réguler le comportement de la balise.

Comment gérer les consentements pour un site dont les utilisateurs se trouvent à la fois en Europe et aux États-Unis ?

La meilleure solution consiste à mettre en œuvre un système qui reconnaît la situation géographique de l'utilisateur et affiche l'interface appropriée : une bannière "opt-in" pour les utilisateurs européens et une notice "opt-out" pour les utilisateurs américains. Les CMP les plus avancés offrent cette fonctionnalité de géo-ciblage.

Qu'est-ce que le TCF de l'IAB et pourquoi est-il important ?

L'IAB Transparency & Consent Framework (TCF) est une norme sectorielle qui aide les entreprises à gérer le consentement des utilisateurs en conformité avec le RGPD et la directive ePrivacy, notamment dans le contexte de la publicité digitale. Il fournit un mécanisme standardisé pour collecter, stocker et partager les préférences de consentement des utilisateurs entre éditeurs, annonceurs et fournisseurs de technologie publicitaire. La dernière version, TCF v2.2, a été conçue pour améliorer la transparence et la responsabilisation, et a été développée en réponse aux indications des autorités de protection des données.

Quelles sont les principales nouveautés introduites par la version 2.3 du TCF ?

Le TCF v2.3, actuellement en consultation publique jusqu'en mai 2025, vise à apporter plus de clarté aux fournisseurs dans des scénarios spécifiques où il n'est pas clair si les données ont été divulguées à l'utilisateur. Cette distinction est particulièrement importante lorsqu'un fournisseur a l'intention de traiter des données à des fins particulières sur la base de l'intérêt légitime. Les spécifications techniques devraient être finalisées d'ici la fin du mois de mai 2025, avec un délai de mise en œuvre fixé au 1er février 2026.

Sources d'information

1. IAB Europe (2025). "TCF v2.3 is open for public comment". IAB Tech Lab. https://iabtechlab.com/tcf-v2-3-is-open-for-public-comment/
2. IAB Europe (2025). "TCF 2.2 Launches! All You Need To Know". https://iabeurope.eu/tcf-2-2-launches-all-you-need-to-know/
3. IAB Europe (2025). "TCF Supporting Resources". https://iabeurope.eu/tcf-supporting-resources/
4. Google (2025). "Updates to consent mode for traffic in European Economic Area (EEA)". Google Tag Manager Help. https://support.google.com/tagmanager/answer/13695607
5. Termly (2025). "What Is Google Consent Mode v2?". https://termly.io/resources/articles/what-is-google-consent-mode-v2/
6. Cookieyes (2024). "What is Google Consent Mode V2? How to Implement It?". https://www.cookieyes.com/blog/google-consent-mode-v2/
7. CookieFirst (2024). "Google Consent Mode V2 explained". https://cookiefirst.com/google-consent-mode-v2-released/
8. Bloomberg Law (2025). "Which States Have Consumer Data Privacy Laws?". https://pro.bloomberglaw.com/insights/privacy/state-privacy-legislation-tracker/
9. IAPP (2025). "US State Privacy Legislation Tracker". https://iapp.org/resources/article/us-state-privacy-legislation-tracker/
10. California Privacy Protection Agency (2025). "Proposed Regulations on CCPA Updates, Cybersecurity Audits, Risk Assessments, Automated Decisionmaking Technology (ADMT), and Insurance Companies". https://cppa.ca.gov/regulations/ccpa_updates.html
11. White & Case LLP (2025). "Data Privacy Update". https://www.whitecase.com/insight-alert/data-privacy-update-2025
12. California Lawyers Association (2025). "State Privacy Law in 2025—What to Expect". https://calawyers.org/privacy-law/state-privacy-law-in-2025-what-to-expect/