Google Analytics et RGPD : configurer et contrôler GA4

Pour utiliser Google Analytics dans un dispositif conforme, il faut examiner la collecte réelle, le consentement, les contrats, les transferts et la conservation. GA4 et le cadre transatlantique ont fait évoluer la situation depuis 2022 ; aucun de ces changements ne dispense l’éditeur de contrôler son installation.

Ce qu’il faut retenir

• Les identifiants en ligne peuvent être des données personnelles, même lorsque les rapports affichent des statistiques agrégées.
• Le mode de consentement de Google transmet des choix techniques ; il ne constitue pas une autorisation juridique.
• En mode avancé, des requêtes sans cookies peuvent partir après un refus : il faut les analyser.
• Une mesure d’audience n’est exemptée de consentement qu’à des conditions strictes fixées par la CNIL ; signaux publicitaires et réutilisation par le prestataire en sortent.
• La décision d’adéquation encadre les transferts couverts, sans remplacer les règles relatives aux traceurs et aux autres traitements.

1. Définir les événements réellement utiles

Commencez par les décisions que la mesure doit éclairer : contenus consultés, étapes d’un parcours ou événements utiles au service. Pour chaque événement, listez les paramètres et retirez ceux qui ne sont pas nécessaires. Une collecte « au cas où » augmente le périmètre à contrôler.

La documentation contractuelle de Google décrit notamment des identifiants en ligne et des identifiants clients parmi les données d’Analytics. Il ne faut donc pas présenter GA4 comme un service sans données personnelles. La notion contractuelle de données directement identifiantes, ou PII, ne se confond pas avec la définition plus large du RGPD.

Évitez les noms, emails et textes libres dans les URL, titres et paramètres ordinaires d’événements. Si une fonctionnalité particulière de données fournies par les utilisateurs est envisagée, elle doit faire l’objet de sa propre analyse et de ses conditions ; elle ne justifie pas un envoi accidentel dans n’importe quel champ. Le guide de la recherche interne dans GA4 traite un point de fuite fréquent.

2. Vérifier ce qui part avant et après le choix

Pour les opérations de lecture ou d’écriture relevant de l’article 82 de la loi Informatique et Libertés, le consentement préalable est nécessaire sauf exemption applicable. L’outil ne devient pas exempté parce qu’il sert à produire un tableau d’audience. Vérifiez les conditions CNIL de mesure d’audience exemptée au regard de la configuration et des usages réels.

Google distingue deux modes dans sa documentation du consent mode. Le mode basique bloque les balises et ne transmet pas de données à Google sans consentement. Le mode avancé charge les balises et peut envoyer des signaux sans cookies lorsque le choix est refusé.

Cette différence technique doit être visible dans le dossier de conformité. « Sans cookie » ne signifie ni « sans donnée personnelle » ni « exempté de toute règle ». Si vous retenez des envois après refus, qualifiez précisément les opérations et leur fondement ; ne concluez pas à leur licéité à partir du nom du mode. Le modèle de bandeau cookies doit correspondre au résultat observé.

3. Limiter les fonctions et les rapprochements

Passez en revue les options publicitaires, les associations de produits, les signaux, les identifiants de connexion et les exports. Chaque activation doit répondre à une finalité définie et à un choix utilisateur adapté lorsque nécessaire.

Pour les utilisateurs de l’Union européenne, Google indique ne pas journaliser ni stocker les adresses IP et les utiliser transitoirement pour en dériver des informations géographiques. Cette documentation régionale ne signifie pas que toutes les autres données sont anonymes ou que tous les traitements restent dans l’Union. Les données passent par une collecte régionale avant d’être acheminées pour traitement.

Réduisez les paramètres, désactivez les fonctions sans usage démontré et contrôlez les accès administrateurs. Gardez une trace de la raison des réglages, pas seulement une capture de l’écran.

4. Examiner le contrat et les transferts

Les conditions de traitement de Google, section 5.1, qualifient Google de sous-traitant pour les données relevant des services concernés. Vérifiez les conditions acceptées, les produits associés et les opérations qui peuvent relever d’un autre cadre. Le contrôle du contrat suit les exigences de l’article 28 du RGPD.

La Commission a adopté le 10 juillet 2023 une décision d’adéquation pour le Data Privacy Framework. Son fondement relève de l’Art. 45 du RGPD. L’adéquation concerne les transferts vers les organismes américains participants dans le périmètre couvert ; elle n’est pas une approbation générale d’un produit.

Google indique les mécanismes sur lesquels il s’appuie dans sa documentation des transferts. Identifiez le destinataire, la portée du mécanisme et les autres flux. Des clauses contractuelles types conservées dans un dossier ne constituent pas à elles seules un repli automatiquement suffisant si les conditions juridiques changent.

5. Régler les durées et traiter les erreurs

Choisissez une durée proportionnée pour les données au niveau utilisateur et événement. Pour une propriété GA4 standard, Google propose 2 mois ou 14 mois pour les données liées aux cookies, aux identifiants utilisateur et aux identifiants publicitaires. Le réglage ne modifie pas les rapports agrégés standards : il ne constitue donc pas une purge universelle de toutes les représentations et copies. Les données d’âge, de sexe et d’intérêts relèvent d’une durée de 2 mois, et les données des signaux Google d’une durée plafonnée à 26 mois, quel que soit ce réglage.

Ces durées sont des options de l’outil, pas une appréciation de proportionnalité. Art. 5(1)(e) du RGPD impose de conserver les données sous une forme permettant l’identification pendant une durée n’excédant pas celle nécessaire aux finalités ; si vos analyses n’exigent jamais plus de deux mois d’historique par utilisateur, retenir 14 mois demande une justification. Le guide sur la durée de conservation des données personnelles détaille la méthode.

Contrôlez aussi les exports, les tableaux externes et les jeux conservés par l’agence. Si des informations ont été envoyées par erreur, utilisez une procédure dédiée de suppression des données GA4, puis corrigez la source de l’envoi.

5 bis. Les signaux du mode de consentement : ce qu’ils transmettent

Le mode de consentement de Google repose sur des paramètres que votre gestionnaire de consentement (CMP) renseigne : analytics_storage et ad_storage pour le stockage dans le terminal, ad_user_data et ad_personalization pour l’usage des données à des fins publicitaires. Chacun reçoit la valeur « accordé » ou « refusé ». Ces paramètres décrivent le choix de l’utilisateur ; ils ne le recueillent pas. Si la bannière présente un choix global alors que vous transmettez quatre signaux distincts, vérifiez que la correspondance est fidèle : un « Tout accepter » ne doit pas activer des finalités publicitaires que l’information n’a jamais mentionnées. Le guide sur la gestion du consentement par une CMP et celui sur le test A/B de la bannière complètent ce point.

Sur le plan juridique, le consentement doit rester libre, spécifique, éclairé et univoque (Art. 4(11) et Art. 7 du RGPD) ; la grille de contrôle du consentement valable s’applique à GA4 comme à tout autre traceur.

5 ter. Mesure exemptée ou consentement : arbitrer avant de configurer

La CNIL admet que certains traceurs de mesure d’audience soient déposés sans consentement, à des conditions cumulatives : finalité limitée à la mesure d’audience pour le compte exclusif de l’éditeur, production de statistiques anonymes uniquement, absence de recoupement avec d’autres traitements ou de transmission à des tiers sous forme non anonyme, et absence de suivi global de la personne sur plusieurs sites ou applications. Selon la même page, une durée de vie du traceur limitée (13 mois, sans prolongation automatique à chaque visite) et une conservation des informations collectées de 25 mois au plus sont des recommandations, et l’information des utilisateurs doit être assurée. Un prestataire qui réutilise les données pour son propre compte sort de l’exemption, sauf configuration qui désactive cette réutilisation.

La conséquence pratique est simple : une configuration GA4 qui active les signaux Google, les audiences publicitaires ou le rapprochement avec Google Ads ne peut pas être traitée comme une mesure exemptée. Si votre besoin se limite à compter les visites et les pages vues, comparez avec un outil configuré en mode exempté, par exemple Matomo, plutôt que de multiplier les réglages restrictifs sur GA4. Le choix est de votre responsabilité : documentez-le.

Exemple hypothétique : un site de formation en ligne

Cet exemple est fictif ; il ne décrit aucune entreprise réelle. Un organisme de formation installe GA4 via un gestionnaire de balises. Lors d’un contrôle interne, l’équipe constate trois écarts : le titre de page de l’espace apprenant contient le nom du stagiaire, le formulaire de recherche envoie les termes saisis (parfois un email) dans l’URL, et le mode avancé du consentement est actif sans que la politique de confidentialité le mentionne.

Les corrections sont les suivantes : retirer le nom des titres et masquer les paramètres de recherche, paramétrer la rétention à 2 mois puisque l’analyse mensuelle n’exige pas d’historique plus long, désactiver les signaux Google et les audiences publicitaires qui n’ont aucune finalité documentée, et décrire dans la politique le mode retenu et les envois possibles après refus. L’équipe teste ensuite un refus, une acceptation partielle et un retrait, et conserve les captures des requêtes réseau. La suppression des données déjà envoyées suit la procédure de suppression des données GA4.

Tableau de contrôle rapide

Pourquoi le cadre transatlantique reste à surveiller

Le Tribunal de l’Union européenne a rejeté le 3 septembre 2025 le recours en annulation de la décision d’adéquation introduit par M. Latombe (affaire T-553/23) ; un pourvoi a ensuite été formé devant la Cour de justice. Tant que cette procédure est ouverte, ne tenez pas pour définitive la stabilité du mécanisme : prévoyez dans votre dossier ce que vous feriez si les transferts vers un destinataire certifié devaient être réexaminés. La décision de la CNIL sur Google Analytics et l’arrêt Schrems II rappellent que le sujet a déjà basculé une fois. Statut du pourvoi à revérifier avant de décider d’un changement d’outil.

6. Conserver une preuve de fonctionnement

Vérifiez une visite sans action, un refus, une acceptation limitée et un retrait. Observez les requêtes et le stockage du navigateur, ainsi que les transmissions du serveur s’il intervient. Répétez ces contrôles après une modification du site, du gestionnaire de balises ou d’un module qui peut déclencher la collecte.

Le dossier utile rassemble finalités, paramètres admis, bases légales, information, contrats, transferts, durées, résultats des contrôles et décisions de correction. Il permet au DPO et à l’équipe technique de comprendre ce qui a été validé et ce qui doit être réexaminé.

FAQ

Le Consent Mode rend-il GA4 conforme automatiquement ?

Non. Il modifie le comportement des balises selon des signaux. L’information, la validité du choix, les données envoyées et les autres obligations doivent être contrôlées séparément.

Des statistiques agrégées excluent-elles le RGPD ?

Pas si la collecte ou les traitements intermédiaires portent sur des données personnelles. Le format du rapport consulté ne suffit pas à qualifier toute la chaîne.

Le DPF dispense-t-il du consentement aux traceurs ?

Non. Il encadre les transferts couverts. Les conditions de lecture ou d’écriture dans le terminal et les autres exigences du traitement demeurent applicables.

Peut-on utiliser GA4 sans bandeau de consentement ?

La CNIL réserve la dispense aux traceurs strictement limités à la mesure d’audience anonyme pour le compte de l’éditeur. Une configuration qui active des signaux Google, des audiences publicitaires ou une réutilisation des données par le prestataire ne remplit pas ces conditions ; il faut alors recueillir un consentement valable.

Quelle durée de conservation choisir dans GA4 ?

GA4 propose 2 ou 14 mois pour les données au niveau utilisateur et événement. Choisissez la plus courte compatible avec vos analyses et notez la raison dans votre dossier (Art. 5(1)(e) du RGPD).

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.