GA4 : supprimer des données envoyées par erreur

Vous découvrez des adresses électroniques dans un rapport GA4 : arrêtez leur transmission, puis organisez la suppression de l’historique. Corriger la balise ne retire pas les données déjà reçues. Inversement, déposer une demande d’effacement sans fermer le flux laisse le problème se reproduire.

Le mécanisme dépend de ce qui a été envoyé : texte d’un paramètre, données rattachées à un utilisateur, ou copies exportées hors de la propriété. Il faut qualifier ces trois périmètres avant de cliquer sur une suppression générale. Le dossier ci-dessous montre comment préparer une intervention, avec des critères de clôture utilisables par le marketing, le développeur et le DPO.

Contenir l’envoi sans multiplier les copies

Désactivez l’événement ou le champ fautif dès que vous l’avez identifié. Si vous ne pouvez pas isoler ce champ de manière fiable, suspendez le circuit concerné le temps de corriger son alimentation. Le responsable technique conserve la version de configuration en cause et l’heure de l’arrêt ; il n’a pas besoin de recopier toutes les données personnelles dans un ticket largement partagé.

Google interdit l’envoi de données permettant directement l’identification, notamment les adresses électroniques, dans ce type de collecte Analytics. Les URL, titres de pages et champs de texte libre peuvent transporter ces informations sans qu’une dimension ait été volontairement intitulée « email ». Le document Google sur les données identifiantes permet de préciser cette règle produit ; elle ne remplace pas la définition, plus large, des données personnelles du RGPD.

Identifiez ensuite le chemin réel : formulaire, variable du gestionnaire de balises, requête vers GA4, éventuellement relais serveur. Une erreur issue du moteur de recherche du site appelle aussi une correction de la recherche interne mesurée dans GA4. Une valeur placée dans un lien de campagne nécessite une reprise des paramètres UTM, même si la balise finale fonctionne comme prévu.

Choisir une suppression dont le périmètre correspond

La demande portant sur des paramètres peut viser des événements, des paramètres et une période exprimée dans le fuseau de la propriété. Elle supprime des valeurs textuelles ; elle ne signifie pas nécessairement disparition des comptes d’événements. Les paramètres personnalisés doivent avoir été enregistrés. Certaines données sont exclues, notamment search_term.

Google indique un délai de sept jours pour annuler pendant la prévisualisation, des données datant de plus de douze jours pour ce mécanisme et un traitement pouvant prendre de sept à soixante-trois jours. Pendant le traitement, des rapports présentent déjà les données comme supprimées : leur apparence ne prouve donc pas la fin de l’opération. Relisez la portée actuelle des demandes de suppression avant de confirmer une sélection irréversible.

Pour une personne identifiable dans l’exploration des utilisateurs, une autre procédure existe. Google distingue notamment User-ID et identifiant d’appareil ; l’association avec une personne relève de votre propre système. La suppression d’un utilisateur demande le rôle Éditeur. La documentation annonce une disparition de cette exploration sous vingt-quatre heures et une suppression définitive dans les soixante-trois jours suivants. Ces indications concernent la procédure décrite dans l’explorateur, pas une garantie universelle pour chaque copie détenue ailleurs.

Pour une automatisation, l’ancienne API User Deletion v3 a été remplacée par la méthode de l’Admin API. Sa réponse contient deletionRequestTime, qui marque la réception de la demande et la limite temporelle des données visées. Ce champ ne certifie pas l’exécution : voir la référence de submitUserDeletion.

Ne substituez pas un identifiant supposé à celui réellement transmis. Si aucune voie documentée ne couvre le cas, ouvrez une demande d’assistance avec le périmètre technique, maintenez l’arrêt du flux et consignez cette limite. L’absence de bouton adapté ne transforme pas les données en informations licitement conservables.

Exemple : préparer le dossier G-27

Prenons une situation fictive. Une boutique découvre le 27 septembre 2026 qu’un paramètre personnalisé enregistré, contact_label, a reçu des adresses électroniques lors d’envois de formulaires du 1er au 3 septembre. La valeur était destinée à désigner une catégorie de demande. Un développeur avait raccordé le champ de contact à cette variable.

La boutique dispose d’une propriété GA4, d’un export CSV envoyé à son agence et de journaux du relais serveur. Elle ne sait pas encore si une ancienne version de la balise avait déjà produit le même envoi. Le dossier doit conserver cette incertitude : le premier résultat retrouvé dans un rapport n’établit pas automatiquement le début de l’incident.

Cette proposition vise la mauvaise donnée, sans faire disparaître par principe tout le parcours de tous les visiteurs. Le DPO et le responsable technique rapprochent la demande envisagée de l’origine du défaut. S’ils découvrent que la même adresse figure aussi dans un titre de page, le périmètre initial devient insuffisant : ce second emplacement doit recevoir une décision explicite.

Le dossier ne contient pas une liste exhaustive d’adresses dans chaque échange. Une description du champ, des références de configuration et un exemple rendu non identifiant suffisent souvent à coordonner l’intervention. Si une preuve contenant une valeur réelle est indispensable, limitez son accès et fixez sa conservation en fonction du besoin de démonstration.

Répartir les actions et obtenir une réponse exploitable

Le responsable de la propriété prépare la demande. Un second intervenant rapproche sa sélection du dossier G-27 avant confirmation : bonne propriété, dates, fuseau et paramètres. Cette double lecture est une mesure d’organisation proposée ici, pas une formalité imposée par Google ou par le RGPD.

L’agence reçoit une instruction distincte, par exemple :

Pour le dossier G-27, cessez d’utiliser l’export concerné. Identifiez les copies et destinataires supplémentaires. Confirmez les actions exécutées, leur date et les éventuelles limites ; ne transmettez pas à nouveau le fichier complet pour prouver sa suppression.

Adaptez cette demande au contrat et au rôle réel de l’agence. Un sous-traitant agit sur les instructions documentées du responsable de traitement et l’assiste dans les conditions de l’Art. 28(3)(a), (e) et (f). Un destinataire qui détermine ses propres finalités ne se traite pas comme un simple compte technique interne : il faut qualifier ses obligations et les échanges nécessaires. RGPD, chapitre IV.

Dans le tableau de suivi, distinguez « instruction envoyée », « réception confirmée » et « action exécutée avec périmètre décrit ». Si l’agence répond seulement « c’est fait », demandez si cela couvre le fichier de travail, le répertoire partagé et les transmissions déjà effectuées. Ne remplissez pas vous-même les cases manquantes par une supposition favorable.

Les journaux du suivi serveur relèvent d’un chantier séparé. Leur utilité pour comprendre l’incident n’autorise pas une conservation indéfinie de toutes les valeurs accidentellement reçues. Organisez, lorsque nécessaire, une preuve limitée et un traitement adapté des autres copies, y compris celles dont la suppression immédiate présente une difficulté technique documentée.

Prévenir la récidive au bon endroit

La rédaction de données de GA4 peut supprimer certaines informations avant envoi. Google la décrit comme une protection des flux Web, reposant notamment sur une détection des emails et des paramètres d’URL configurés. Elle ne couvre pas les envois Measurement Protocol ou les imports, et sa détection reste limitée. Ce réglage ne constitue donc ni une garantie d’anonymat ni une purge de l’historique. Documentation sur la rédaction de données.

Pour G-27, corrigez d’abord la variable : une catégorie doit provenir d’une liste de catégories autorisées, pas du contenu libre du formulaire. Utilisez ensuite des valeurs fictives pour observer la requête sortante et l’éventuel relais. Le résultat attendu est précis : aucun contenu du champ de contact dans le paramètre Analytics, sans empêcher l’envoi fonctionnel du formulaire à son destinataire légitime.

Si le paramètre reste présent dans une requête secondaire, maintenez la suspension de l’événement. Corrigez l’autre voie d’envoi avant réactivation. Un rapport visuellement rassurant ne suffit pas à démontrer que le navigateur et le serveur ont cessé de transmettre la donnée.

Examiner l’incident sans attendre la fin de l’effacement

L’envoi peut révéler un défaut de minimisation ou une violation de données, selon les circonstances. L’Art. 4(12) vise notamment la divulgation ou l’accès non autorisés résultant d’une violation de sécurité. Qualifiez ce qui s’est réellement produit : catégories d’informations, destinataires, volumes connus, possibilité de rattachement et conséquences pour les personnes. Définition du RGPD.

Si une violation est établie, documentez les faits, les effets et les mesures correctrices. L’Art. 33(1) impose la notification à l’autorité dans les meilleurs délais et, si possible, sous soixante-douze heures après en avoir pris connaissance, sauf risque improbable pour les droits et libertés. Un dépassement doit être motivé ; une notification peut être complétée conformément à l’Art. 33(4). L’Art. 34(1) prévoit l’information des personnes dans les meilleurs délais en cas de risque élevé, sous réserve des conditions légales. Ces décisions n’attendent pas le statut final de GA4. Art. 33 et 34.

Le registre des violations permet de conserver cette analyse séparément du suivi technique. Pour clore G-27, il faut des réponses sur la source corrigée, l’historique traité, les copies identifiées et les obligations envers les personnes. Une limite restante doit être visible, attribuée et suivie.

Ce qu’il faut retenir

• Corrigez le flux avant de traiter son historique.
• Choisissez une procédure correspondant aux données effectivement envoyées.
• Séparez réception de la demande, exécution et traitement des copies.
• Prenez les décisions de notification sans attendre l’effacement technique.

FAQ

Faut-il supprimer toute la propriété ?

Pas par réflexe. Déterminez les données à retirer et les mécanismes disponibles. Une mesure plus large peut devenir nécessaire si le périmètre ne peut pas être isolé, mais sa portée doit être expliquée et ses conséquences assumées.

Peut-on attendre l’expiration de la conservation configurée ?

Ce réglage ne suffit pas à répondre à un incident identifié. Examinez l’obligation d’effacement, les risques et les procédures disponibles ; documentez une difficulté technique sans la présenter comme une autorisation d’attendre.

Qui décide que le dossier est terminé ?

Le responsable de traitement, avec les éléments techniques et l’analyse du DPO lorsqu’il intervient. Le prestataire fournit des preuves sur ses actions ; il ne décide pas seul que toutes les obligations de l’entreprise sont satisfaites.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.