Google Analytics et CNIL : faut-il le consentement ?

Google Analytics a-t-il besoin du consentement selon la CNIL ?

Oui, en pratique Google Analytics 4 demande le consentement en France. La CNIL exempte seulement la mesure d'audience strictement limitée à l'éditeur du site, qui produit des statistiques anonymes et n'est pas recoupée avec d'autres traitements. Google Analytics 4, dans sa configuration habituelle, est lié à l'écosystème publicitaire de Google et ne remplit pas ces conditions. Les cookies Google Analytics se placent donc derrière le bandeau, comme les balises publicitaires.

Cet article n'est pas un conseil juridique. Il explique la position publiée par la CNIL et les réglages techniques qui en découlent, pour un site qui veut garder Google Analytics 4 tout en respectant le choix des internautes.

Pourquoi GA4 ne relève pas de l'exemption mesure d'audience

L'exemption de la CNIL vise des outils qui travaillent pour le compte exclusif de l'éditeur. La CNIL précise que certaines offres sortent de ce cadre lorsque le fournisseur réutilise les données pour son propre compte, et que d'autres peuvent être configurées pour désactiver cette réutilisation. Google Analytics 4 propose de nombreux liens vers d'autres services : liaison avec Google Ads, Google Signals, partage de données avec Google pour l'amélioration de ses produits. Dès que ces liens existent, la mesure n'est plus limitée à l'éditeur.

La CNIL ajoute des recommandations pour les outils exemptés : une durée de vie des traceurs limitée, par exemple 13 mois, une conservation des données de 25 mois au maximum et une information des utilisateurs. Des outils comme Matomo, configurés selon ces règles, sont souvent utilisés pour une mesure sans consentement. Pour Google Analytics 4, la voie la plus courante reste le consentement.

→ Bannière cookies avec Consent Mode v2 : conforme, sans licence mensuelle

Configurer GA4 avec le consentement et le Consent Mode

Le Google Consent Mode v2 transmet aux balises Google l'état du choix de l'internaute, par exemple analytics_storage et ad_storage. Il existe deux variantes. En mode de base, les balises Google ne se chargent qu'après acceptation. En mode avancé, elles se chargent dès l'arrivée sur la page et envoient, en cas de refus, des signaux sans cookies qui servent à la modélisation. Le mode de base est le plus simple à défendre face aux recommandations de la CNIL. Le mode avancé mérite une décision explicite avec votre délégué à la protection des données.

• Définir un état par défaut « refusé » avant le chargement de toute balise Google
• Mettre à jour l'état au moment du clic sur Accepter ou Refuser
• Vérifier dans Tag Assistant que l'état par défaut précède bien la première balise
• Tester les trois situations : sans choix, après refus, après acceptation

Réglages GA4 qui limitent la collecte

Même avec le consentement, quelques réglages de Google Analytics 4 réduisent la quantité de données collectées. Ils figurent dans l'administration de la propriété et du compte, et méritent d'être vérifiés à chaque nouvelle installation.

Google indique que Google Analytics 4 n'enregistre ni ne stocke les adresses IP. La géolocalisation est calculée à partir de l'adresse IP au moment de la collecte, puis l'adresse n'est pas conservée. Cela ne dispense pas du consentement, mais c'est une information utile pour votre politique de confidentialité.

Votre politique de confidentialité doit ensuite décrire ce que vous faites réellement. Indiquez que vous utilisez Google Analytics 4 pour mesurer la fréquentation et les demandes, que l'outil est fourni par Google, que les cookies ne sont déposés qu'après votre accord, la durée de conservation choisie et la manière de retirer son consentement. Si Google Analytics 4 est relié à Google Ads, mentionnez-le aussi, car les données servent alors à mesurer les campagnes. Une description générique copiée d'un autre site, qui parle encore de l'ancienne version Universal Analytics, est un signal d'alerte lors d'un contrôle.

→ Configurer correctement le Consent Mode v2 : aucune alerte dans Tag Assistant

Transferts de données : proxy et Data Privacy Framework

La question des transferts vers les États-Unis est distincte de celle du consentement. La CNIL a présenté une solution de proxy : un serveur intermédiaire supprime l'adresse IP, remplace les identifiants et nettoie les URL avant l'envoi à l'outil. Depuis la décision d'adéquation du 10 juillet 2023 sur le Data Privacy Framework, les transferts vers les entreprises américaines certifiées sont possibles sans ces mesures supplémentaires. La CNIL précise que le proxy reste pertinent pour les outils qui transfèrent encore des données vers des destinataires non couverts. Elle rappelle aussi qu'une exemption de consentement ne règle pas la question des transferts, et inversement.

Exemple : un artisan avec formulaire de devis

Une entreprise de rénovation près de Nantes mesure ses demandes de devis avec Google Analytics 4 et Google Ads. Le code GA4 est inséré directement dans le thème WordPress, en plus d'une balise dans Google Tag Manager. Résultat : une balise respecte le bandeau, l'autre non, et les pages vues sont comptées deux fois chez ceux qui acceptent. La correction consiste à retirer le code du thème, à garder une seule balise Google dans Google Tag Manager et à configurer le Consent Mode. Après correction, les demandes de devis restent mesurées chez ceux qui acceptent, et plus rien ne part chez ceux qui refusent.

Vérifier votre configuration Google Analytics

Le check gratuit de Trackum (trackum.app/check) ouvre votre page d'accueil trois fois dans un vrai navigateur, sans réponse au bandeau, après refus et après acceptation, plus deux sous-pages. Il montre si des cookies Google Analytics ou d'autres balises se chargent avant le consentement. Il est gratuit, sans inscription et prend deux minutes.

Trackum corrige ensuite les écarts dans votre Google Tag Manager pour 79 € HT, ou installe Google Tag Manager, Google Analytics 4 et le Consent Mode v2 pour 150 € HT, testés avec et sans consentement avant la mise en ligne.