Google Analytics et RGPD : où en est-on ?

Un article vous affirme que Google Analytics est interdit en Europe. Le suivant explique qu'il suffit d'un bandeau de cookies. Votre agence vous dit « on verra », votre comptable ne sait pas, et vos statistiques continuent de tourner. Résultat : vous ne savez plus si votre outil de mesure vous protège ou vous expose.

La situation a réellement évolué depuis 2022, et les deux extrêmes sont faux. Google Analytics n'est pas interdit, mais son usage n'est pas conforme « par défaut » : il dépend de votre configuration et de votre manière de recueillir le consentement. Il existe aussi des façons de mesurer son audience sans bandeau, à condition de respecter des critères stricts. Voici où l'on en est, et comment choisir. Ce contenu est informatif et ne constitue pas un conseil juridique : le droit évolue, vérifiez les pages de référence de la CNIL avant d'agir.

Ce qui s'est passé depuis 2022

• Février 2022 : la CNIL met en demeure un gestionnaire de site français d'arrêter d'utiliser Google Analytics dans les conditions de l'époque, au motif que des données étaient transférées vers les États-Unis sans garanties suffisantes.
• Juillet 2023 : la Commission européenne adopte une décision d'adéquation pour les transferts de données vers les organisations américaines participant au « Data Privacy Framework ». Cette décision a été contestée, puis le Tribunal de l'Union européenne a rejeté un recours en septembre 2025, sous réserve du suivi continu de la Commission et d'éventuelles nouvelles procédures.
• Aujourd'hui : le sujet se joue moins sur le principe des transferts que sur le consentement et sur la configuration de l'outil.

Deux questions à ne pas confondre

Quand on parle de Google Analytics et de RGPD, on mélange souvent deux règles distinctes :

1. Le dépôt de traceurs. Lire ou écrire des informations dans le navigateur d'un visiteur (cookies, identifiants) exige son consentement, sauf exceptions. Les outils de mesure d'audience peuvent être exemptés sous conditions strictes.
2. Le transfert de données hors de l'Union européenne. Si l'outil envoie des données personnelles vers un pays tiers, ce transfert doit être encadré.

Votre outil doit satisfaire les deux. Pour le cadre général, notre guide sur le RGPD pour un site de PME pose les bases.

Si vous gardez Google Analytics 4 : la checklist

1. Bloquer le chargement de l'outil avant le choix du visiteur, avec un bandeau où refuser est aussi simple qu'accepter.
2. Activer le mode consentement des balises Google, pour qu'elles respectent le choix exprimé. Il complète le bandeau, il ne le remplace pas.
3. Régler la durée de conservation des données au minimum utile dans les paramètres du compte.
4. Désactiver ce qui relève de la publicité (signaux Google, personnalisation des annonces) si vous n'en avez pas besoin.
5. Consulter les recommandations techniques de la CNIL sur les transferts, par exemple l'usage d'un serveur intermédiaire, directement sur son site.
6. Mettre à jour votre politique de confidentialité et votre registre des traitements.
7. Tester : ouvrez le site en navigation privée, refusez le bandeau et vérifiez qu'aucune donnée de mesure ne part. Notre guide sur Google Tag Manager vous aide à comprendre où se déclenchent les balises.

Si vous choisissez un outil exempté de consentement

La CNIL admet que certains outils de mesure d'audience soient utilisés sans consentement, mais à conditions : finalité strictement limitée à la mesure d'audience du site, pour le compte exclusif de l'éditeur, production de statistiques anonymes uniquement, sans recoupement avec d'autres traitements, avec information des visiteurs et possibilité de s'opposer. Des outils comme Matomo peuvent entrer dans ce cadre s'ils sont paramétrés en conséquence : l'outil seul ne suffit pas, c'est la configuration qui compte. Google Analytics, dans sa configuration standard, n'entre pas dans cette exemption.

Contrepartie honnête : vous obtenez des chiffres plus simples. Pour lire ces chiffres, notre guide sur le taux de rebond reste valable quel que soit l'outil.

Et la Search Console ?

La Search Console ne dépose aucun traceur chez vos visiteurs : elle exploite les données de Google sur la présence de votre site dans les résultats de recherche. Elle ne demande pas de bandeau et complète utilement une mesure d'audience allégée.

Notre approche, à distance

Nous configurons la mesure pour qu'elle ne parte pas avant le choix du visiteur, vérifions le résultat et l'intégrons à la maintenance WordPress. Le choix de l'outil et la rédaction de vos mentions relèvent de votre responsabilité, et d'un juriste si besoin.

Côté publicité, le reciblage repose sur ce consentement : Remarketing Google Ads : bien le paramétrer.