Accueil/Google Analytics et RGPD
En février 2022, la CNIL a mis en demeure des sites français d'arrêter Google Analytics : le transfert des données de mesure d'audience vers les États-Unis n'était pas conforme au RGPD. Depuis, le cadre a bougé (le Data Privacy Framework de 2023), mais il reste contesté et fragile. Cette page fait le point, sans catastrophisme ni langue de bois, puis explique comment mesurer votre audience sans dépendre de ce risque.
Mise à jour : juillet 2026 · information générale, pas un conseil juridique
En bref : Google Analytics n'est pas « interdit » aujourd'hui, mais sa conformité repose sur deux béquilles fragiles — un consentement préalable obligatoire (le fameux bandeau) et une décision d'adéquation UE–USA (le Data Privacy Framework) déjà attaquée devant la justice européenne. Une solution de mesure sans cookie, hébergée dans l'UE et conçue pour respecter les critères d'exemption de la CNIL, retire ces deux dépendances d'un coup. Vous mesurez sans bandeau, et sans parier sur la survie d'un accord politique.
Le point de départ, c'est l'arrêt Schrems II de la Cour de justice de l'UE, en juillet 2020, qui invalide le « Privacy Shield ». Motif : les lois de surveillance américaines (notamment la section 702 du FISA) permettent aux agences US d'accéder aux données des Européens hébergées par des sociétés soumises au droit américain, sans protection équivalente au RGPD.
Dans la foulée, l'association noyb (Max Schrems) dépose 101 plaintes coordonnées dans toute l'UE contre des sites utilisant Google Analytics et Facebook Connect. En janvier 2022, l'autorité autrichienne tranche la première : l'usage de GA transfère des identifiants vers les États-Unis et n'est pas conforme.
Le 10 février 2022, la CNIL arrive à la même conclusion et met en demeure un gestionnaire de site français de cesser d'utiliser Google Analytics « dans les conditions actuelles », ou de le rendre conforme — en pratique, de cesser les transferts vers les USA. La CNIL publie ses questions-réponses et confirme que la simple anonymisation d'IP côté Google ne suffisait pas, l'accès américain restant possible. L'italienne (Garante) suivra en juin 2022.
Le 10 juillet 2023, la Commission européenne adopte une nouvelle décision d'adéquation : l'EU–US Data Privacy Framework (DPF). Google LLC s'y est certifiée. Depuis, les transferts vers un destinataire américain certifié DPF bénéficient à nouveau d'une base légale — ce qui a largement désamorcé la menace immédiate sur GA4.
Mais le DPF est déjà contesté : un recours en annulation a été porté devant le Tribunal de l'UE, et noyb a annoncé son intention de le faire tomber comme les deux accords précédents. Autrement dit, la conformité de GA4 repose aujourd'hui sur un accord politique fragile, susceptible d'être invalidé — un « Schrems III » n'est pas exclu.
GA envoie des données à une société américaine, exposée aux lois de surveillance US. C'est le cœur du problème Schrems, et la seule protection actuelle est une décision d'adéquation attaquée en justice.
GA4 dépose des cookies de mesure et un identifiant. En droit français (article 82 de la loi Informatique et Libertés), lire ou écrire une information dans le terminal d'un internaute exige son consentement, sauf exemption stricte — et GA n'entre pas dans l'exemption.
Conséquence : GA4 ne peut se déclencher qu'après un clic « Accepter » sur un bandeau. Tous les visiteurs qui refusent ou ignorent le bandeau ne sont jamais comptés — votre mesure est amputée à la source.
Ce dernier point a un coût business rarement chiffré : selon vos réglages de bandeau, une part importante de votre trafic réel n'apparaît nulle part dans GA4. Nous avons construit un petit outil pour l'estimer à partir de vos propres chiffres — le calculateur d'angle mort du bandeau cookies, qui remonte de votre chiffre affiché vers votre trafic réel, entièrement dans votre navigateur.
Soyons factuels et proportionnés. La CNIL n'a pas infligé d'amende record à des petites structures pour un simple GA : sa démarche de 2022 a commencé par des mises en demeure, c'est-à-dire une injonction de se mettre en conformité, pas une sanction directe. Le risque réel pour une petite structure n'est pas une amende à sept chiffres du jour au lendemain. Il tient en trois points concrets :
Traduction pragmatique : le danger n'est pas tant l'amende immédiate que le temps perdu à corriger, à re-paramétrer, puis à re-migrer au prochain retournement juridique. Retirer la dépendance au départ coûte moins cher que de la gérer en continu.
La CNIL maintient une page de référence sur l'usage de Google Analytics et les alternatives conformes. Elle y rappelle sa mise en demeure, la nécessité du consentement pour les cookies GA, et surtout l'existence d'un régime d'exemption de consentement pour la seule mesure d'audience, à conditions strictes.
Source officielle : la CNIL publie sur cnil.fr ses questions-réponses sur Google Analytics et sa liste des solutions de mesure d'audience exemptées de consentement. Vérifiez toujours la version en vigueur : la doctrine et la liste évoluent.
Une solution de mesure d'audience peut se passer de bandeau si elle reste strictement cantonnée à cet usage. Les conditions posées par la CNIL, résumées :
C'est précisément la raison pour laquelle GA4 n'est pas exempté : il dépose un identifiant, s'inscrit dans un écosystème publicitaire mondial, et transfère hors UE. À l'inverse, une mesure sans cookie, hébergée dans l'UE et sans partage tiers coche ces cases par construction.
Kipstats est conçu pour le second chemin : pas de cookie, hébergement UE, aucun partage publicitaire. Vérifiez toujours votre situation exacte avec votre DPO ou un conseil.
| Kipstats | Google Analytics 4 | |
|---|---|---|
| Dépose des cookies | Non | Oui |
| Bandeau de consentement requis | Non (mesure exemptée) | Oui, préalable |
| Transfert de données hors UE | Non, hébergé UE | Oui, vers les USA |
| Dépend du Data Privacy Framework | — | Oui (accord contesté) |
| Compte les visiteurs sans consentement | ✓ | ✗ |
| Partage avec un écosystème publicitaire | Non | Oui |
| Vise les critères d'exemption CNIL | ✓ | ✗ |
| Poids du script | 2,9 Ko gzip | Plus lourd |
| Prix | 0 / 9 / 29 €/mois | Gratuit (coût = conformité) |
Synthèse à partir de la doctrine CNIL et des docs Google, juillet 2026. Information générale, pas un conseil juridique.
Non, GA4 n'est pas interdit. Mais son usage n'est conforme qu'à deux conditions cumulatives : un consentement préalable via un bandeau, et une base légale de transfert vers les USA (le Data Privacy Framework de 2023). Ces deux béquilles peuvent tomber, ce qui rend la conformité fragile.
En 2022, la CNIL a mis en demeure des gestionnaires de sites français de cesser d'utiliser GA « dans les conditions actuelles ». Une mise en demeure est une injonction de corriger, pas une amende directe. Le risque de sanction apparaît surtout si on l'ignore ou en cas de manquement répété.
Il a désamorcé la menace immédiate en redonnant une base légale aux transferts vers les entreprises US certifiées, dont Google. Mais il est déjà attaqué devant la justice européenne, et noyb annonce vouloir le faire invalider comme le Safe Harbor et le Privacy Shield avant lui. Miser dessus, c'est accepter un risque de « Schrems III ».
Non, dès lors que la mesure reste cantonnée à l'audience, sans cookie, sans partage tiers et sans transfert hors UE — les critères d'exemption de la CNIL. Vérifiez toujours votre configuration exacte avec votre DPO ou un conseil.
Sur cnil.fr, dans ses questions-réponses sur Google Analytics et sa liste des solutions de mesure d'audience exemptées de consentement. Ces documents évoluent : référez-vous toujours à la version en vigueur.
Non : on remplace le script GA par une balise Kipstats, puis on retire GA du bandeau. La mesure d'audience n'a plus besoin d'y figurer, et vous recommencez à compter tout votre trafic, y compris les visiteurs qui refusaient les cookies.
Kipstats : sans cookie, hébergé dans l'UE, conçu pour l'exemption de consentement. Gratuit pour démarrer, sans carte bancaire.
Créer un compte gratuit