Google Analytics 4 n'est pas conforme au RGPD « par défaut » : son usage en France suppose un consentement préalable aux cookies, un encadrement des transferts de données vers les États-Unis et plusieurs réglages documentés. Il reste utilisable en conformité sous conditions strictes ; sinon, une solution européenne de mesure d'audience est la voie la plus simple.
Vous utilisez GA4 sur votre site et vous voulez savoir ce qui est réellement risqué, ce qui se règle cette semaine, et à partir de quand migrer devient plus raisonnable que bricoler. Ce guide reprend les décisions officielles, les réglages à activer, les documents à produire et une comparaison honnête avec les alternatives européennes.
Le parcours
Les étapes de cette page, dans l’ordre.
-
01 Comprendre le cadre Les décisions CNIL, CEPD et CJUE expliquent pourquoi GA4 n'est pas conforme en l'état.
-
02 Sécuriser l'existant Consentement, transferts et réglages GA4 se traitent avant toute migration.
-
03 Documenter Registre, mentions et preuves de consentement rendent la conformité démontrable.
-
04 Décider Selon votre profil, vous restez sur GA4 ou vous basculez vers un outil européen.
01 / 06
Google Analytics est-il soumis au RGPD ?
Google Analytics est soumis au RGPD dès qu'il collecte des données rattachées à des visiteurs situés dans l'Union européenne, ce qui est le cas de la quasi-totalité des sites français.
Un outil de mesure d'audience traite des identifiants, des adresses IP et des données de navigation, ce sont des données personnelles, donc le RGPD s'applique. Peu importe que l'éditeur soit américain, c'est le traitement des données de vos visiteurs qui déclenche le texte, pas la nationalité de l'éditeur. Le suivi d'un visiteur français depuis un serveur hors Union reste concerné ; seule une mesure strictement anonyme sort du champ.
Données personnelles
GA4 collecte des identifiants de visite, des adresses IP et des parcours de navigation. Ces éléments permettent de rattacher un comportement à une personne, même indirectement.
Le point cléPartez du principe que votre audience est un traitement de données personnelles et inscrivez-le à votre registre.
Éditeur hors Union
Google LLC est une société américaine. L'outil étant hébergé et exploité depuis les États-Unis, chaque usage implique un transfert de données hors de l'Union européenne.
Le point cléVérifiez quelles données partent réellement vers les serveurs de Google.
Exception de la mesure anonyme
Une mesure d'audience réellement anonyme sort du champ du RGPD et n'exige ni consentement ni information. C'est le seul cas où GA4 poserait moins de questions.
Le point cléNe comptez pas sur les réglages GA4 pour atteindre une anonymisation complète.
02 / 06
Comment mettre GA4 en conformité cette semaine, concrètement ?
La mise en conformité tient en cinq gestes, bandeau de consentement conforme, refus aussi simple que l'acceptation, Consent Mode v2 activé, durée de conservation réduite, partage de données désactivé.
Le bandeau de consentement doit permettre de refuser aussi facilement que d'accepter, même nombre de clics, et aucun cookie de mesure avant le choix. Ensuite vient le Consent Mode v2, présenté par Google fin novembre 2023 et exigé depuis mars 2024 pour les sites qui ciblent l'Espace économique européen (Axept, Tarteaucitron). Sans lui, le suivi des conversions et le remarketing sont perdus.
Côté conservation, GA4 propose 2 mois ou 14 mois pour les données utilisateur (page d'aide Google Analytics), choisissez la durée la plus courte compatible avec votre usage. Désactivez aussi le partage de données avec les produits Google qui ne servent pas votre mesure. Pour l'anonymisation de l'IP, consultez la page d'aide officielle de Google à la date de votre mise en œuvre.
-
Vérifier la bannière
Ouvrez votre site en navigation privée. Le refus doit être atteignable en un clic depuis le premier écran, sans passer par un second menu.
-
Activer le Consent Mode v2
Le paramétrage se fait côté balise, depuis le conteneur de votre outil de gestion des balises. Contrôlez ensuite dans GA4 que les signaux de consentement remontent bien.
-
Réduire la conservation
Dans les paramètres de la propriété GA4, choisissez 2 mois ou 14 mois : la durée la plus courte est le point de départ prudent.
-
Limiter le partage de données
Désactivez les options de partage avec les produits Google et les services de personnalisation qui ne servent pas votre finalité de mesure.
-
Exclure les données sensibles
Vérifiez qu'aucun formulaire, identifiant ou donnée de santé ne se retrouve dans les URL collectées. Nettoyez les paramètres transmis si nécessaire.
-
Archiver la preuve
Exportez la configuration, notez les dates de modification et rangez le tout avec votre politique de confidentialité.
Pour approfondir
Le Consent Mode ne fournit pas de bannière : il traduit le choix d'une CMP pour les balises Google.
Consent Mode en détail
Concept
Le mécanisme réel du Consent Mode v2
Si la bannière et l'outil de balises ne sont pas reliés, GA4 reçoit des signaux par défaut.
Le Consent Mode doit être relié à un mécanisme de consentement existant : la CMP affiche l'interface et mémorise la décision, le Consent Mode traduit ce choix pour les balises Google (Images Créations). Il transmet l'état du consentement par catégorie : analytics_storage, ad_storage, et depuis la v2 ad_user_data et ad_personalization.
Exemple illustratif : une boutique active l'option, mais l'outil de balises n'est pas relié à la bannière. Les signaux partent en valeur par défaut et GA4 enregistre des visites avant tout choix. L'option est activée, mais rien ne circule entre les deux briques.
Pour tester, ouvrez GA4 en mode débogage (DebugView) et vérifiez que les événements portent l'état du consentement. Testez en refus, en acceptation, puis en changement d'avis.
- Signaux transmisLes événements reçus portent l'état du consentement.
- Bannière reliéeLe choix met à jour le consentement avant tout dépôt de cookie.
- Trois parcours testésRefus, acceptation, changement d'avis.
Pour la suiteCes gestes posent votre base technique ; reste à savoir ce que les autorités de contrôle attendent réellement de vous.
03 / 06
Que disent la CNIL, le CEPD et la CJUE sur Google Analytics ?
Trois décisions structurent le dossier, l'arrêt Schrems II de la CJUE en 2020, la mise en demeure de la CNIL visant un site utilisant Google Analytics en février 2022, et la décision d'adéquation du Data Privacy Framework en juillet 2023.
L'arrêt Schrems II de la CJUE du 16 juillet 2020 a invalidé le Privacy Shield, qui encadrait les transferts vers les États-Unis. Le 10 février 2022, la CNIL a mis en demeure un gestionnaire de site utilisant Google Analytics, jugeant les transferts illégaux faute de décision d'adéquation et les mesures de Google insuffisantes pour exclure un accès aux données (CCFI). Le CEPD a précisé que la déclaration conjointe UE-États-Unis de mars 2022 n'était pas un cadre juridique pour transférer des données.
Le 10 juillet 2023, la Commission a adopté la décision d'adéquation du Data Privacy Framework, et le Tribunal de l'UE a rejeté le 3 septembre 2025 le recours contre elle (affaire T-553/23, Latombe contre Commission). Google LLC est certifiée au DPF (Leto). Les transferts sont réguliers sous cette décision, mais en cas de révocation, il n'y aurait probablement pas de période de transition (Piwik PRO).
04 / 06
Combien de temps faut-il prévoir pour se mettre en conformité ?
Comptez de quelques heures à quelques jours selon le nombre de pages et de propriétés, le calculateur donne un ordre de grandeur indicatif.
Le paramétrage de GA4 se compte en heures, la rédaction des documents obligatoires en jours. C'est la documentation qui pèse le plus lourd dans votre planning.
Si vous faites appel à un prestataire, demandez un devis daté, sans date ni source, une fourchette de prix ne vous engage à rien.
Estimer le temps de mise en conformité de GA4
Ce calcul donne un ordre de grandeur du temps de travail interne, à partir des gestes à réaliser sur votre propriété.
Temps de travail interne estimé
4 h
- Soit en jours de travail
- 0,60 j
Hypothèses : Minutes de vérification par page : 6 min (estimation éditoriale indicative, non issue d'une mesure) ; Heures de paramétrage par propriété : 2 h (estimation éditoriale indicative, non issue d'une mesure). Estimation indicative : le temps réel dépend de votre outil de gestion des balises et du nombre de formulaires à contrôler.
05 / 06
Faut-il garder GA4 ou changer d'outil pour être en règle ?
Restez sur GA4 si vous pouvez tenir bandeau, réglages et documents dans la durée ; sinon une alternative comme Matomo, configurée selon les critères de la CNIL, peut être exemptée de consentement.
La conformité de GA4 dépend de ce que vous en faites, un consentement éclairé avec un refus aussi accessible que l'acceptation, une conservation limitée, le partage désactivé et le Consent Mode v2 relié à la bannière.
Les cookies de mesure d'audience peuvent être exemptés de consentement s'ils servent uniquement à produire des statistiques anonymes pour le compte de l'éditeur, sans recoupement ni suivi sur plusieurs sites (CNIL). La CNIL recommande une durée de vie des traceurs de treize mois et une conservation des données de vingt-cinq mois au plus. Matomo indique que ses solutions peuvent être configurées conformément à ces critères (Matomo). Depuis le 1ᵉʳ janvier 2026, la liste publique des outils exemptés a disparu, la conformité se vérifie outil par outil.
- Petit site, peu de moyens, une solution exemptée et bien configurée simplifie le consentement.
- E-commerce avec publicité : GA4 avec Consent Mode v2 reste cohérent avec les besoins de conversion.
- Secteur public ou donnée sensible, limiter les transferts hors Union justifie d'étudier une alternative.
06 / 06
Questions fréquentes
Revue Digitale aide les PME, les indépendants et leurs équipes à choisir et faire adopter leurs outils numériques: logiciel de facturation, CRM, banque en ligne pour professionnels, outils d’IA, sécurité des données.
