English
Deutsch
Italiano
Nederlands
Español
Faut-il un consentement pour Google Analytics ?
Oui, dans sa configuration standard. Google Analytics 4 dépose des cookies (_ga et ga
La CNIL prévoit bien une exception pour la mesure d’audience, mais Google Analytics ne la remplit pas par défaut (voir plus bas). Il faut donc :
- bloquer GA4 tant que le visiteur n’a pas consenti aux cookies de statistiques ;
- transmettre le choix à Google via Consent Mode v2 ;
- mentionner GA4 dans votre politique de cookies.
Les décisions de la CNIL en 2022
Après l’arrêt Schrems II de la Cour de justice de l’UE (16 juillet 2020), qui a invalidé le Privacy Shield, l’association noyb a déposé des plaintes contre des sites européens utilisant Google Analytics. La CNIL, en coopération avec ses homologues européens, a analysé ces transferts.
Le 10 février 2022, la CNIL a mis en demeure un gestionnaire de site de se mettre en conformité : les données collectées via Google Analytics étaient transférées vers les États-Unis sans garanties suffisantes, car l’accès des services de renseignement américains ne pouvait pas être exclu. D’autres mises en demeure ont suivi. Des autorités d’autres pays, dont l’Autriche, ont pris des décisions comparables à la même période.
Ces décisions portaient sur les transferts de données, pas sur le consentement aux cookies. Ce sont deux questions distinctes.
Ce qui a changé avec le Data Privacy Framework
Le 10 juillet 2023, la Commission européenne a adopté une nouvelle décision d’adéquation pour les États-Unis : le EU-U.S. Data Privacy Framework (DPF). Depuis, selon la CNIL, les transferts vers des entités américaines certifiées peuvent se faire librement, sans garanties supplémentaires. Google LLC indique être certifiée au DPF.
Le 3 septembre 2025, le Tribunal de l’Union européenne a rejeté le recours en annulation du député français Philippe Latombe (affaire T-553/23). Un pourvoi est pendant devant la Cour de justice. La décision d’adéquation reste applicable tant qu’elle n’est pas annulée, mais il est prudent de suivre ce dossier.
Ce qui ne change pas : le DPF règle la question des transferts, pas celle du consentement. L’article 82 s’applique toujours.
L’exemption pour la mesure d’audience
La CNIL considère que certains traceurs de mesure d’audience peuvent être utilisés sans consentement. Ils doivent :
- servir uniquement à mesurer l’audience du site, pour le compte exclusif de l’éditeur ;
- ne pas permettre de suivre la navigation de la personne sur d’autres sites ou applications ;
- produire uniquement des statistiques anonymes, sans recoupement avec d’autres traitements ni transmission à des tiers.
La CNIL recommande en outre une durée de vie des cookies de 13 mois au maximum, non prolongée automatiquement, et une conservation des données de 25 mois au maximum.
La CNIL précise que les offres dont le fournisseur réutilise les données pour son propre compte sortent de l’exemption, et cite la politique de confidentialité de Google Analytics en exemple. Pour bénéficier de l’exemption, il faut un engagement contractuel du fournisseur de ne pas réutiliser les données.
Depuis juillet 2025, la CNIL met à disposition une grille d’auto-évaluation : c’est au fournisseur de l’outil d’évaluer et de documenter si sa solution, correctement configurée, peut fonctionner sans consentement. Ce n’est pas une certification : la CNIL peut parvenir à une autre conclusion lors d’un contrôle.
Bien configurer GA4
Si vous gardez Google Analytics, avec consentement :
- Conditions de traitement des données. Pour les entreprises établies dans l’EEE, au Royaume-Uni ou en Suisse, Google indique que les conditions de traitement des données de Google Ads sont déjà intégrées ; les autres doivent les accepter dans les paramètres du compte.
- Adresses IP. Selon Google, GA4 n’enregistre ni ne stocke les adresses IP.
- Durée de conservation. Pour une propriété standard, choisissez 2 ou 14 mois dans les paramètres de conservation des données.
- Signaux Google et partage de données. Désactivez ce dont vous n’avez pas besoin : moins de données partagées, moins de risques.
- Consent Mode v2. Associez la catégorie statistiques à analytics_storage, et ad_user_data et ad_personalization à la catégorie marketing. Voir Google Consent Mode v2 expliqué.
Les alternatives
Certains outils de mesure d’audience peuvent être configurés pour remplir les conditions d’exemption de la CNIL. Matomo, par exemple, a publié une auto-évaluation selon la grille de la CNIL, à condition d’être correctement configuré. Vérifiez toujours la configuration exacte et la documentation du fournisseur : c’est vous, en tant qu’éditeur, qui devez pouvoir justifier l’exemption.
Vous restez sur Google Analytics ? Cookie Confirm bloque GA4 jusqu’au consentement, transmet les quatre signaux de Consent Mode v2 et liste automatiquement ses cookies dans votre politique de cookies.
Sources
- CNIL : mesurer la fréquentation de vos sites web et applications
- CNIL : solutions pour les cookies de mesure d’audience (juillet 2025)
- CNIL : questions-réponses sur les mises en demeure concernant Google Analytics
- CNIL : mesure d’audience et transferts de données
- Commission européenne : décision d’adéquation UE–États-Unis du 10 juillet 2023
- CURIA : Tribunal de l’UE, Latombe/Commission, T-553/23
- Google Analytics : anonymisation des adresses IP
- Google Analytics : conditions de traitement des données
- Google Analytics : conservation des données
- Google Analytics : utilisation des cookies