- En 2022, la CNIL a jugé Google Analytics non conforme à cause des transferts de données de visiteurs européens vers les États-Unis.
- Le Data Privacy Framework (2023) a rétabli une base légale pour ces transferts, mais il est contesté et ne dispense ni du consentement ni d'une configuration soignée.
- Deux voies possibles : configurer GA4 rigoureusement (proxy en UE, consentement, minimisation) ou migrer vers une solution exemptée de consentement.
- Matomo, Piwik PRO et Plausible permettent une mesure d'audience conforme, souvent sans bandeau cookies pour cette partie.
- Tant que Google Analytics est utilisé, il doit rester bloqué avant le consentement ; un audit détecte les traceurs chargés trop tôt.
Le verdict de la CNIL : pourquoi Google Analytics a été jugé non conforme
En février 2022, la CNIL a mis en demeure plusieurs gestionnaires de sites français : dans sa configuration d'alors, Google Analytics n'était pas conforme au RGPD. Le reproche ne visait pas l'outil en lui-même, mais le transfert des données des visiteurs européens vers les États-Unis.
Ce raisonnement découle de l'arrêt « Schrems II » de juillet 2020, qui a invalidé le Privacy Shield. Sans cadre de transfert valide, les lois de surveillance américaines pouvaient théoriquement donner accès aux données, sans garantie suffisante côté européen.
La CNIL a laissé un mois aux sites concernés pour se mettre en règle : cesser Google Analytics ou l'encadrer techniquement. Ce verdict a lancé une vigilance durable sur la conformité RGPD de votre site web, bien au-delà du seul cas Google.
Data Privacy Framework : ce qui a changé depuis 2023
En juillet 2023, la Commission européenne a adopté le Data Privacy Framework (DPF), une décision d'adéquation qui rétablit une base légale pour transférer des données vers les entreprises américaines certifiées. Google LLC figure parmi les organisations certifiées.
Concrètement, le principal grief de 2022 — l'absence de cadre de transfert — est en grande partie levé. Mais ce n'est pas un feu vert inconditionnel : le DPF fait l'objet de recours et un appel a été porté devant la justice européenne fin 2025. Sa pérennité n'est donc pas garantie.
Surtout, le DPF ne règle qu'une partie du problème. Il ne dispense ni du consentement aux cookies, ni d'une information claire, ni d'une configuration soignée. Déployé « par défaut », Google Analytics reste à risque.
GA4 et le Consent Mode v2 : progrès réels, limites persistantes
Passer à GA4 ne suffit pas à régler la question des transferts : la CNIL l'a rappelé, changer de version n'efface pas l'enjeu de fond. GA4 apporte des réglages utiles (anonymisation renforcée de l'IP, durées de conservation paramétrables), mais la logique de collecte reste comparable.
Depuis mars 2024, Google impose le Consent Mode v2 pour continuer à alimenter GA4 et les fonctions publicitaires dans l'Espace économique européen. Ce mécanisme transmet à Google l'état du consentement de chaque visiteur.
Sa limite est essentielle : le Consent Mode gère un signal, il ne crée pas à lui seul un consentement valable et n'anonymise pas les transferts. Quand un internaute refuse, Google s'appuie sur des données modélisées (estimées) — pratique côté marketing, mais qui ne remplace pas un consentement conforme.
Option 1 : configurer GA4 correctement
Première voie : conserver GA4 mais l'encadrer strictement. Dès 2022, la CNIL a décrit une piste — intercaler un serveur mandataire (proxy) hébergé en Europe qui pseudonymise puis anonymise les données, dont l'adresse IP, avant tout envoi à Google.
À cela s'ajoutent le recueil d'un consentement préalable, la minimisation des données collectées, des durées de conservation courtes et la désactivation du partage à des fins publicitaires. C'est efficace, mais techniquement exigeant et coûteux à maintenir pour une TPE/PME.
Un point reste non négociable : Google Analytics ne doit jamais se charger avant le consentement. C'est précisément ce que vérifie notre audit RGPD gratuit, qui détecte les traceurs déclenchés sans l'accord de l'internaute.
Option 2 : migrer vers une alternative exemptée de consentement
Seconde voie, souvent plus simple : adopter une solution de mesure d'audience que la CNIL accepte sans consentement, à condition de la configurer strictement — statistiques agrégées, pas de suivi inter-sites, aucun recoupement avec d'autres traitements et durées limitées (traceur ≤ 13 mois, données ≤ 25 mois).
Matomo dispose d'un guide de configuration officiel pour bénéficier de cette exemption ; Piwik PRO l'a également obtenue ; d'autres solutions européennes (Piano Analytics / AT Internet, SmartProfile…) sont dans le même cas. Plausible, sans cookie et hébergé dans l'UE, évite le consentement en ne collectant pas de données personnelles.
Ces outils suppriment les transferts hors UE et allègent la charge sur votre bandeau cookies. Pour une petite structure, c'est souvent le meilleur rapport entre conformité et effort de mise en œuvre.
Impact sur votre bandeau cookies (et ce que l'audit détecte)
Tant que vous utilisez Google Analytics, ses cookies exigent un consentement préalable, libre et éclairé : GA doit rester bloqué jusqu'au clic « Accepter ». Votre bandeau doit donc proposer un refus aussi simple que l'acceptation, sans case pré-cochée.
À l'inverse, une solution exemptée vous permet d'alléger — voire de retirer — le bandeau pour la seule partie mesure d'audience. Pour cadrer ce point délicat, appuyez-vous sur notre guide du bandeau cookies conforme aux règles de la CNIL.
Le même réflexe vaut pour les autres ressources chargées depuis l'étranger, comme les polices d'écriture : voyez notre analyse sur Google Fonts et le RGPD, un cas très proche dans sa logique.
Que risquez-vous concrètement ?
Pour une TPE/PME, la CNIL commence généralement par une mise en demeure : l'objectif est la correction rapide, pas la sanction immédiate. Les amendes visent surtout l'inaction persistante ou les manquements graves après avertissement.
Le RGPD prévoit néanmoins des plafonds élevés (jusqu'à 20 M€ ou 4 % du chiffre d'affaires annuel mondial). Pour mesurer l'échelle réelle des décisions récentes, consultez notre panorama des sanctions de la CNIL.
Le plus sûr reste d'agir avant tout contrôle : un choix d'outil clair et un bandeau bien réglé suffisent le plus souvent. Cet article est informatif et ne constitue pas un conseil juridique ; en cas de doute, faites vérifier votre configuration.
Où en est votre site aujourd’hui ?
Obtenez votre score de conformité RGPD en 20 secondes, gratuitement et sans inscription.
Lancer l’audit gratuitCet article est informatif et ne constitue pas un conseil juridique.