Cookies & consentement

Google Analytics et RGPD : être conforme en 2026

Google Analytics RGPD : l'historique des sanctions CNIL, la situation de GA4 avec le Data Privacy Framework, la config conforme et les alternatives sans consentement.

20 juin 20269 min de lectureParLumiq
Google Analytics et RGPD : être conforme en 2026
Sommaire (21)

Tu as collé le script Google Analytics dans le <head> de ton site, comme tout le monde, et tu te dis que c'est l'outil de stats le plus utilisé au monde, donc forcément c'est ok ? Pas si vite. En France, Google Analytics a été déclaré illégal dans sa configuration de l'époque, et même en 2026, la version GA4 standard reste loin d'être plug-and-play côté RGPD.

La question « Google Analytics est-il légal en France ? » n'a pas de réponse en un mot. La vraie réponse : oui, mais à des conditions précises, et la majorité des sites ne les respectent pas. Voici l'historique, la situation réelle en 2026, et comment te mettre en règle (ou changer d'outil).

Le rappel : pourquoi la CNIL a sanctionné Google Analytics

En février 2022, la CNIL a frappé un grand coup. Après une plainte coordonnée à l'échelle européenne (portée par l'association noyb de Max Schrems) et une décision similaire de son homologue autrichien, la CNIL a mis en demeure plusieurs gestionnaires de sites français utilisant Google Analytics. Son verdict : l'usage de GA tel que configuré était contraire au RGPD.

Le problème n'était pas l'outil de mesure en lui-même. C'était les transferts de données vers les États-Unis.

L'invalidation du Privacy Shield

Pour comprendre, il faut remonter à l'arrêt « Schrems II » de la Cour de justice de l'Union européenne, en juillet 2020. Cet arrêt a invalidé le Privacy Shield, le cadre qui permettait jusque-là de transférer légalement des données personnelles vers les États-Unis.

La raison : les lois américaines de surveillance (notamment le FISA et l'Executive Order 12333) permettent aux services de renseignement d'accéder aux données hébergées par des entreprises américaines, sans garantie suffisante pour les citoyens européens. Or, Google Analytics envoyait des données (adresse IP, identifiants de navigation, comportement) vers des serveurs américains, exposées à cet accès.

Conclusion de la CNIL : tant que ces transferts ne sont pas suffisamment encadrés, l'usage de Google Analytics est illégal. Plusieurs sites ont reçu l'ordre de se mettre en conformité ou d'abandonner l'outil.

La situation en 2026 : le Data Privacy Framework

Depuis, le contexte juridique a évolué. En juillet 2023, la Commission européenne a adopté le « Data Privacy Framework » (DPF), un nouveau cadre de transfert censé remplacer le Privacy Shield et corriger ses défauts.

Concrètement, ce cadre permet de nouveau de transférer des données vers les États-Unis, à condition que l'entreprise américaine destinataire soit certifiée DPF. Et bonne nouvelle : Google LLC figure bien sur la liste des organisations certifiées.

Cela change donc la donne par rapport à 2022 : sur le seul plan du transfert transatlantique, utiliser Google Analytics n'est plus automatiquement une violation, tant que le DPF reste valide.

Attention quand même à deux nuances importantes :

  • Le DPF est contesté en justice. Des recours ont été déposés pour le faire invalider, comme l'avaient été le Safe Harbor puis le Privacy Shield avant lui. Beaucoup de juristes parlent d'un « Schrems III » à venir. Rien ne garantit que ce cadre survivra.
  • Régler le problème du transfert ne règle pas le problème du consentement. Et c'est là que la plupart des sites continuent de se tromper.

Le vrai sujet en 2026 : GA4 exige le consentement

C'est le point que presque tout le monde rate. Même avec le DPF, Google Analytics 4 en configuration standard nécessite le consentement préalable de tes visiteurs.

Pourquoi ? Parce que GA4 dépose des cookies et traceurs sur le terminal de l'utilisateur. En droit français, c'est l'article 82 de la loi Informatique et Libertés (qui transpose la directive ePrivacy) qui s'applique : tout traceur non essentiel doit recevoir un consentement avant d'être déposé.

L'exemption « mesure d'audience » de la CNIL existe… mais GA4 n'y rentre pas

La CNIL prévoit bien une exemption de consentement pour les outils de mesure d'audience. Si tes statistiques se limitent à analyser l'usage de ton site, sans pister tes visiteurs ailleurs, tu peux te passer de bandeau pour cet outil. Mais l'exemption est conditionnée à des critères stricts. L'outil doit notamment :

  • Servir uniquement à mesurer l'audience de ton site, pour ton propre compte.
  • Ne pas croiser les données avec d'autres traitements, ni les transmettre à des tiers.
  • Ne pas permettre le suivi de la navigation de la personne sur d'autres sites.
  • Produire des données anonymes ou agrégées.

Or Google Analytics standard ne remplit pas ces conditions. Les données collectées peuvent être utilisées par Google pour ses propres finalités, croisées avec d'autres services, et servir à du pistage publicitaire. La CNIL a été explicite : GA4 ne bénéficie pas de l'exemption et requiert donc le consentement.

Traduction concrète : si ton script GA4 se déclenche dès le chargement de la page, avant que le visiteur n'ait cliqué sur « Accepter » dans ton bandeau cookies, tu es en infraction. Et c'est exactement ce que regardent les contrôleurs de la CNIL, en quelques secondes.

Tu n'es pas sûr de ce que ton site charge avant le consentement ? Lumiq scanne ton site en 30 secondes et détecte les traceurs (dont Google Analytics) qui se déclenchent avant tout choix de l'utilisateur. L'analyse est gratuite.

Le risque réel : jusqu'à 2 % du chiffre d'affaires

Le manquement aux règles sur les cookies et traceurs n'est pas théorique. La CNIL peut prononcer une amende allant jusqu'à 2 % de ton chiffre d'affaires pour un manquement à l'article 82 (et jusqu'à 4 % en cas de manquement aggravé au RGPD).

La CNIL a fait des cookies une priorité de contrôle depuis plusieurs années. Elle a infligé des amendes records sur ce sujet (150 millions d'euros à Google, 60 millions à Facebook fin 2021), mais elle ne cible pas que les géants : ses contrôles en ligne automatisés lui permettent de repérer en masse les sites qui déposent des traceurs avant consentement, quelle que soit leur taille. Une simple plainte d'un visiteur peut aussi déclencher un contrôle.

Autrement dit, charger GA4 sans consentement n'est pas un risque abstrait réservé aux multinationales.

Comment configurer Google Analytics correctement

Si tu veux garder Google Analytics tout en restant conforme, voici la marche à suivre. Le principe directeur : rien ne doit partir vers Google avant le clic sur « Accepter ».

Bloquer GA4 avant le consentement

C'est la règle d'or. Le script GA4 ne doit pas se charger, ni envoyer la moindre donnée, tant que le visiteur n'a pas accepté la catégorie « mesure d'audience » dans ton bandeau. Cela passe par une CMP (plateforme de gestion du consentement) couplée à Google Tag Manager ou à un script de blocage qui conditionne le déclenchement de la balise au choix de l'utilisateur.

Google propose le Consent Mode v2, un mécanisme qui ajuste le comportement de ses balises selon le consentement recueilli. Tant que le visiteur n'a pas accepté, les balises fonctionnent en mode dégradé (sans cookie, sans envoi de données personnelles), et basculent en mode complet seulement après accord. Le Consent Mode est désormais obligatoire pour utiliser certaines fonctionnalités publicitaires de Google dans l'EEE.

Attention : le Consent Mode ne te dispense pas d'un bandeau conforme avec un vrai bouton « Tout refuser » aussi accessible que « Tout accepter ». C'est un complément, pas une solution magique.

Anonymiser et limiter les finalités

  • Désactive les fonctionnalités publicitaires (Google Signals, remarketing) dans les paramètres de ta propriété GA4, pour éviter le pistage cross-site.
  • Limite la durée de conservation des données dans GA4 (réglable dans l'interface, choisis la durée la plus courte adaptée à ton besoin).
  • Vérifie dans l'onglet réseau de ton navigateur qu'aucune requête vers google-analytics.com ou analytics.google.com ne part avant que tu aies cliqué sur « Accepter ». C'est le test le plus simple et le plus parlant.

Documenter le tout

Ton outil de mesure doit apparaître dans ta politique de cookies : nom du cookie, finalité, émetteur (Google), durée de vie, et le fait que des données peuvent être transférées hors UE (vers les États-Unis, sous couvert du DPF). La transparence fait partie de la conformité.

Les alternatives exemptées de consentement

Si tout ce qui précède te paraît lourd, il existe une autre voie : choisir un outil qui bénéficie de l'exemption de consentement de la CNIL. L'avantage est énorme : pas besoin de bandeau pour la mesure d'audience, donc tu mesures 100 % de ton trafic au lieu de seulement les visiteurs qui acceptent les cookies (souvent une minorité).

Matomo en mode exempté

Matomo (anciennement Piwik) est une solution d'analytics open source, hébergeable en France ou sur tes propres serveurs. La CNIL l'a explicitement cité comme exemple d'outil pouvant bénéficier de l'exemption, à condition de le configurer correctement : désactivation de certaines données, anonymisation de l'IP, opt-out disponible, pas de croisement de données. En mode exempté, Matomo ne nécessite pas de consentement.

Une nouvelle génération d'outils mise sur l'absence totale de cookie et de donnée personnelle. Plausible Analytics (open source, hébergé dans l'UE) ou Fathom fonctionnent sans déposer de cookie et sans collecter d'identifiant individuel. Ils produisent des statistiques agrégées et anonymes.

Résultat : comme ils ne déposent aucun traceur et ne traitent pas de données personnelles identifiantes, ils sortent largement du champ de l'article 82 et de l'obligation de consentement. C'est l'option la plus simple côté conformité, au prix de stats parfois moins détaillées que GA4.

Le bon arbitrage

  • Tu veux la richesse de GA4 et tu acceptes la complexité (CMP, Consent Mode, perte des visiteurs qui refusent) : garde Google Analytics, mais configure-le rigoureusement.
  • Tu veux mesurer tout ton trafic sans bandeau et simplifier ta conformité : passe à Matomo exempté, Plausible ou Fathom.

En résumé

Google Analytics n'est pas interdit en France en 2026, mais il n'est pas « conforme par défaut » non plus. Trois choses à retenir :

  • Le transfert vers les USA est de nouveau encadré grâce au Data Privacy Framework, mais ce cadre est fragile et contesté.
  • GA4 standard nécessite le consentement : il ne bénéficie pas de l'exemption « mesure d'audience » de la CNIL et doit être bloqué tant que le visiteur n'a pas accepté.
  • Si tu veux éviter le bandeau, des alternatives exemptées (Matomo, Plausible, Fathom) existent.

Quel que soit ton choix, le test décisif est toujours le même : aucune donnée ne doit partir avant le consentement. Lumiq vérifie automatiquement si ton site charge des traceurs avant consentement, Google Analytics inclus, et te dit quoi corriger, sans avocat. L'analyse prend 30 secondes et elle est gratuite.

Questions fréquentes

Google Analytics est-il légal en France en 2026 ?

Oui, mais sous conditions. Le transfert de données vers les États-Unis est de nouveau possible grâce au Data Privacy Framework, et Google est certifié à ce titre. En revanche, GA4 nécessite le consentement préalable de tes visiteurs : tu dois bloquer son chargement tant qu'ils n'ont pas accepté tes cookies. Utilisé sans consentement, il reste en infraction.

Pourquoi GA4 n'est-il pas exempté de consentement comme « mesure d'audience » ?

Parce qu'il ne respecte pas les conditions strictes de l'exemption CNIL. Google Analytics peut croiser les données, les utiliser pour ses propres finalités et permettre du pistage cross-site, alors que l'exemption suppose un outil limité à la seule mesure de ton site, sans transmission à des tiers. Des outils comme Matomo en mode exempté, Plausible ou Fathom peuvent, eux, en bénéficier.

Quel est le risque si je charge Google Analytics sans consentement ?

La CNIL peut prononcer une amende allant jusqu'à 2 % de ton chiffre d'affaires pour un manquement aux règles sur les traceurs (jusqu'à 4 % en cas de manquement aggravé). Ses contrôles en ligne automatisés détectent facilement les scripts qui se déclenchent avant tout choix de l'utilisateur, sur des sites de toutes tailles. Le risque ne concerne pas que les grands groupes.

Quelle alternative à Google Analytics pour éviter le bandeau cookies ?

Plausible et Fathom fonctionnent sans cookie ni donnée personnelle identifiante : ils sortent de l'obligation de consentement et te laissent mesurer tout ton trafic. Matomo, configuré en mode exempté (anonymisation IP, opt-out, pas de croisement), est cité par la CNIL comme pouvant bénéficier de l'exemption. Ces solutions simplifient nettement ta conformité par rapport à GA4.

Cet article t'a aidé ? Partage-le.

XFacebook

Ton site est-il en conformité ?

Analyse gratuitement ton site en 30 secondes : score de conformité, non-conformités détectées et documents à générer — sans avocat.

Analyser mon site

Continuer la lecture

Articles recommandés