Google Analytics et le RGPD : est-ce encore autorisé ?

Premier sujet : le consentement

Google Analytics dépose des identifiants pour mesurer l'audience : il s'agit d'un traceur non essentiel, qui requiert donc le consentement préalable de l'internaute. Le manquement le plus fréquent est un chargement d'Analytics dès l'arrivée sur la page, avant tout choix. La solution est de conditionner son exécution au consentement, via un gestionnaire de cookies ou le « mode consentement » de Google.

Second sujet : le transfert hors UE

Google Analytics peut transmettre des données vers les États-Unis. Depuis 2023, le cadre EU-US Data Privacy Framework permet ces transferts vers les entreprises américaines certifiées — ce qui a clarifié une situation longtemps incertaine après plusieurs mises en demeure d'autorités européennes. Ce transfert doit néanmoins rester encadré et, dans tous les cas, être mentionné dans votre politique de confidentialité.

La mesure d'audience exemptée de consentement

La CNIL admet qu'une mesure d'audience puisse être exemptée de consentement si elle est strictement limitée à la production de statistiques anonymes, sans recoupement ni suivi entre sites, et configurée en conséquence. Certaines solutions sont conçues pour respecter ces conditions. Cela permet de mesurer son audience sans bannière ni blocage — une simplification appréciable.

Les alternatives à considérer

• Des outils de mesure d'audience européens, hébergés dans l'UE, qui suppriment la question du transfert.
• Des solutions conçues pour l'exemption de consentement (statistiques anonymes), qui évitent la bannière.
• Le « mode consentement » de Google, si vous conservez Analytics, pour bloquer le traceur avant accord.
• Dans tous les cas : mentionner l'outil et le transfert éventuel dans la politique de confidentialité.

Comparatif rapide : Google Analytics face aux alternatives

Le choix d'un outil de mesure d'audience se résume souvent à un arbitrage entre richesse des données et simplicité de la conformité.

• Google Analytics (GA4) : gratuit, très répandu, données transmises aux États-Unis (encadrées par le cadre EU-US Data Privacy Framework), consentement préalable requis.
• Matomo auto-hébergé : hébergé chez vous ou en UE, peut être configuré pour l'exemption de consentement si les conditions de la CNIL sont respectées, demande un peu plus de mise en place technique.
• Outils « privacy-first » hébergés en UE : conçus dès l'origine pour l'exemption de consentement, tableaux de bord plus simples mais souvent moins détaillés que GA4.
• Le bon choix dépend de votre priorité : richesse des données avec bannière (GA4), ou suppression de la bannière au prix d'une mesure plus sommaire (alternatives exemptées).

Vérifier votre propre configuration

Le plus simple est de tester : une analyse automatisée détecte si Analytics (ou un autre traceur) se charge avant consentement et signale les transferts hors UE associés. Vous savez alors si votre configuration actuelle expose votre site, et quoi corriger en priorité.

Que faire si vous découvrez qu'Analytics tourne sans consentement depuis longtemps

Ce n'est pas une situation rare, et elle ne justifie pas de paniquer : la CNIL privilégie la correction rapide plutôt que la sanction pour ce type de manquement technique, dès lors qu'il est traité dès sa découverte.

• Corrigez d'abord le déclenchement : reliez Analytics à votre gestionnaire de consentement pour qu'il ne se charge plus avant accord.
• Vérifiez la politique de confidentialité : elle doit déjà mentionner cet outil et le transfert associé — sinon, c'est le moment de la mettre à jour.
• Pas besoin de notifier la CNIL pour ce seul point : la notification de violation concerne un incident de sécurité, pas un défaut de consentement corrigé de votre propre initiative.
• Documentez la date de correction dans votre registre des traitements — utile si la question est un jour posée lors d'un contrôle.

Cas pratique : auditer sa propriété GA4 en 5 étapes

Si vous utilisez déjà Google Analytics (version GA4), un audit rapide de votre configuration prend quelques minutes et couvre l'essentiel des points sensibles.

Les réglages à vérifier dans votre compte

• La durée de conservation des données utilisateur (à réduire à la durée réellement nécessaire, plutôt que de laisser le maximum par défaut).
• Le partage de données avec Google au-delà de la mesure d'audience (signaux publicitaires, personnalisation) — à désactiver si vous n'en avez pas l'usage.
• La réduction de la précision des données de géolocalisation, si votre outil le permet.
• La configuration du mode consentement, pour que le blocage avant accord soit effectif et pas seulement partiel.