Google Analytics et le RGPD : est-ce encore autorisé ?
Google Analytics est l'outil de mesure d'audience le plus répandu, et aussi l'un des plus scrutés au regard du RGPD. Deux sujets se cumulent : le consentement préalable au dépôt du traceur, et le transfert de données vers les États-Unis. Voici comment s'y retrouver, sans diaboliser ni minimiser.
Premier sujet : le consentement
Google Analytics dépose des identifiants pour mesurer l'audience : il s'agit d'un traceur non essentiel, qui requiert donc le consentement préalable de l'internaute. Le manquement le plus fréquent est un chargement d'Analytics dès l'arrivée sur la page, avant tout choix. La solution est de conditionner son exécution au consentement, via un gestionnaire de cookies ou le « mode consentement » de Google.
Second sujet : le transfert hors UE
Google Analytics peut transmettre des données vers les États-Unis. Depuis 2023, le cadre EU-US Data Privacy Framework permet ces transferts vers les entreprises américaines certifiées — ce qui a clarifié une situation longtemps incertaine après plusieurs mises en demeure d'autorités européennes. Ce transfert doit néanmoins rester encadré et, dans tous les cas, être mentionné dans votre politique de confidentialité.
La mesure d'audience exemptée de consentement
La CNIL admet qu'une mesure d'audience puisse être exemptée de consentement si elle est strictement limitée à la production de statistiques anonymes, sans recoupement ni suivi entre sites, et configurée en conséquence. Certaines solutions sont conçues pour respecter ces conditions. Cela permet de mesurer son audience sans bannière ni blocage — une simplification appréciable.
Les alternatives à considérer
- Des outils de mesure d'audience européens, hébergés dans l'UE, qui suppriment la question du transfert.
- Des solutions conçues pour l'exemption de consentement (statistiques anonymes), qui évitent la bannière.
- Le « mode consentement » de Google, si vous conservez Analytics, pour bloquer le traceur avant accord.
- Dans tous les cas : mentionner l'outil et le transfert éventuel dans la politique de confidentialité.
Vérifier votre propre configuration
Le plus simple est de tester : une analyse automatisée détecte si Analytics (ou un autre traceur) se charge avant consentement et signale les transferts hors UE associés. Vous savez alors si votre configuration actuelle expose votre site, et quoi corriger en priorité.
- Google Analytics est un traceur non essentiel : il exige le consentement préalable de l'internaute.
- Il peut transférer des données hors UE ; ce transfert doit être encadré et mentionné.
- Une mesure d'audience strictement anonyme peut être exemptée de consentement.
- Des alternatives européennes ou exemptées simplifient la conformité.
Questions fréquentes
Sur le même sujet
Sources & références officielles
Votre site est-il concerné ?
Analysez-le gratuitement en 30 secondes : cookies, sécurité e-mail, transferts hors UE et plus encore.
Ce guide est une aide à la compréhension et à la conformité. Il ne constitue pas un avis juridique. Mis à jour le 17 juillet 2026.