Google Analytics et RGPD : consentement, transferts et alternatives
Google Analytics reste l’outil de mesure d’audience le plus utilisé, et l’un des premiers points relevés lors d’un audit de site. Deux questions se posent : le consentement des visiteurs et le transfert de leurs données vers les États-Unis. Ce guide fait le point et présente les alternatives possibles.
Consentement : la règle
La CNIL admet que certains outils de mesure d’audience soient utilisés sans consentement, à des conditions strictes : la mesure doit servir uniquement à l’éditeur du site, produire des statistiques anonymes, ne pas permettre de suivre l’internaute sur d’autres sites et ne pas être croisée avec d’autres traitements. Google Analytics, dans sa configuration habituelle, ne remplit pas ces conditions.
Conséquence : le script Google Analytics (ou la balise Google Tag Manager qui le déclenche) ne doit être chargé qu’après acceptation dans le bandeau. Si le visiteur refuse, aucune donnée ne doit partir. C’est l’un des défauts les plus fréquents, décrit dans le guide bandeau cookies conforme CNIL.
Transferts vers les États-Unis
En 2022, la CNIL, comme d’autres autorités européennes, a estimé que l’utilisation de Google Analytics entraînait des transferts illicites vers les États-Unis, faute de garanties suffisantes après l’annulation du Privacy Shield par la CJUE (arrêt Schrems II, 2020).
Le 10 juillet 2023, la Commission européenne a adopté une nouvelle décision d’adéquation, le Data Privacy Framework. Les transferts vers les entreprises américaines certifiées, dont Google, sont de nouveau possibles sur ce fondement. Le Tribunal de l’Union européenne a rejeté un recours contre cette décision le 3 septembre 2025 ; un pourvoi est pendant devant la Cour de justice. Le cadre reste donc applicable mais pourrait évoluer : il est prudent de suivre ce dossier et de privilégier, lorsque c’est possible, des outils qui limitent les transferts. Voir transferts hors UE et outils tiers.
Les réglages à vérifier
- déclenchement conditionné au consentement (directement ou via le gestionnaire de balises) ;
- durée de conservation des données réglée dans l’interface (GA4 propose 2 ou 14 mois pour les données détaillées) ;
- désactivation des signaux Google et du partage de données si vous n’en avez pas besoin ;
- absence de données personnelles dans les URL suivies (adresses e-mail, noms dans les paramètres) ;
- mention de Google Analytics, de ses finalités et du transfert dans la politique de confidentialité et la politique cookies.
Les alternatives exemptées
Pour un site vitrine, une mesure d’audience simple suffit souvent : pages vues, sources de trafic, conversions. Plusieurs solutions, souvent européennes ou auto-hébergées, peuvent être configurées pour entrer dans l’exemption de consentement. La CNIL a publié les conditions à respecter et des informations sur les solutions évaluées ; c’est la référence à consulter avant de choisir.
L’intérêt est double : moins de friction pour le visiteur, et des statistiques plus complètes puisque la mesure ne dépend plus du taux d’acceptation du bandeau. En contrepartie, certaines fonctions avancées (publicité, audiences, recoupements) ne sont plus disponibles sans consentement.
Questions fréquentes
Google Analytics 4 nécessite-t-il un consentement ?
Dans sa configuration standard, oui. GA4 n’entre pas dans les conditions de l’exemption de consentement prévue par la CNIL pour la mesure d’audience, notamment parce que les données peuvent être utilisées par Google pour ses propres finalités et croisées avec d’autres services. Le script ne doit donc pas se déclencher avant l’accord du visiteur.
Google Analytics est-il interdit en France ?
Non. En 2022, la CNIL a jugé illégaux les transferts de données vers les États-Unis liés à l’ancienne version de Google Analytics. Depuis juillet 2023, la décision d’adéquation UE–États-Unis (Data Privacy Framework) permet les transferts vers les entreprises certifiées, dont Google. Cette décision fait toutefois l’objet d’un pourvoi devant la Cour de justice de l’Union européenne.
Le mode consentement de Google (Consent Mode) suffit-il ?
Non. Le Consent Mode adapte le comportement des balises Google au choix exprimé dans le bandeau ; il ne remplace pas le bandeau. En mode « avancé », des requêtes sans cookies sont envoyées à Google même en l’absence de consentement : ce fonctionnement doit être analysé avant d’être retenu.
Quelles alternatives peuvent être exemptées de consentement ?
Des outils de mesure d’audience configurés pour respecter les conditions de la CNIL : finalité strictement limitée à la mesure d’audience du site, statistiques anonymes, absence de recoupement et de transmission à des tiers, durée de vie des traceurs limitée à 13 mois. La CNIL publie des informations sur les solutions qu’elle a évaluées.
Faire vérifier votre site
Un audit du site public relève les écarts visibles (cookies, formulaires, pages juridiques, outils tiers, sécurité apparente) et les classe par priorité, avec les corrections à appliquer.