Accueil/Google Analytics et RGPD
En février 2022, la CNIL a mis en demeure des sites français d'arrêter Google Analytics : le transfert des données de mesure d'audience vers les États-Unis n'était pas conforme au RGPD. Depuis, le cadre a bougé (le Data Privacy Framework de 2023), mais il reste contesté et fragile. Cette page fait le point, sans catastrophisme ni langue de bois, puis explique comment mesurer votre audience sans dépendre de ce risque.
Mise à jour : juillet 2026 · information générale, pas un conseil juridique
En bref : Google Analytics n'est pas « interdit » aujourd'hui. Son utilisation exige une analyse des traceurs, des transferts et de la configuration choisie. Une mesure sans cookie et hébergée dans l'UE peut réduire ces enjeux, mais l'exemption de consentement doit être vérifiée au regard de tous les critères de la CNIL.
Le point de départ, c'est l'arrêt Schrems II de la Cour de justice de l'UE, en juillet 2020, qui invalide le « Privacy Shield ». Motif : les lois de surveillance américaines (notamment la section 702 du FISA) permettent aux agences US d'accéder aux données des Européens hébergées par des sociétés soumises au droit américain, sans protection équivalente au RGPD.
Dans la foulée, l'association noyb (Max Schrems) dépose 101 plaintes coordonnées dans toute l'UE contre des sites utilisant Google Analytics et Facebook Connect. En janvier 2022, l'autorité autrichienne tranche la première : l'usage de GA transfère des identifiants vers les États-Unis et n'est pas conforme.
Le 10 février 2022, la CNIL arrive à la même conclusion et met en demeure un gestionnaire de site français de cesser d'utiliser Google Analytics « dans les conditions actuelles », ou de le rendre conforme — en pratique, de cesser les transferts vers les USA. La CNIL publie ses questions-réponses et confirme que la simple anonymisation d'IP côté Google ne suffisait pas, l'accès américain restant possible. L'italienne (Garante) suivra en juin 2022.
Le 10 juillet 2023, la Commission européenne adopte une nouvelle décision d'adéquation : l'EU–US Data Privacy Framework (DPF). Google LLC s'y est certifiée. Depuis, les transferts vers un destinataire américain certifié DPF bénéficient à nouveau d'une base légale — ce qui a largement désamorcé la menace immédiate sur GA4.
Mais le DPF est déjà contesté : un recours en annulation a été porté devant le Tribunal de l'UE, et noyb a annoncé son intention de le faire tomber comme les deux accords précédents. Autrement dit, la conformité de GA4 repose aujourd'hui sur un accord politique fragile, susceptible d'être invalidé — un « Schrems III » n'est pas exclu.
GA envoie des données à une société américaine, exposée aux lois de surveillance US. C'est le cœur du problème Schrems, et la seule protection actuelle est une décision d'adéquation attaquée en justice.
GA4 dépose des cookies de mesure et un identifiant. En droit français (article 82 de la loi Informatique et Libertés), lire ou écrire une information dans le terminal d'un internaute exige son consentement, sauf exemption stricte — et GA n'entre pas dans l'exemption.
Conséquence : GA4 ne peut se déclencher qu'après un clic « Accepter » sur un bandeau. Tous les visiteurs qui refusent ou ignorent le bandeau ne sont jamais comptés — votre mesure est amputée à la source.
Ce dernier point a un coût business rarement chiffré : selon vos réglages de bandeau, une part importante de votre trafic réel n'apparaît nulle part dans GA4. Nous avons construit un petit outil pour l'estimer à partir de vos propres chiffres — le calculateur d'angle mort du bandeau cookies, qui remonte de votre chiffre affiché vers votre trafic réel, entièrement dans votre navigateur.
Soyons factuels et proportionnés. La CNIL n'a pas infligé d'amende record à des petites structures pour un simple GA : sa démarche de 2022 a commencé par des mises en demeure, c'est-à-dire une injonction de se mettre en conformité, pas une sanction directe. Le risque réel pour une petite structure n'est pas une amende à sept chiffres du jour au lendemain. Il tient en trois points concrets :
Traduction pragmatique : le danger n'est pas tant l'amende immédiate que le temps perdu à corriger, à re-paramétrer, puis à re-migrer au prochain retournement juridique. Retirer la dépendance au départ coûte moins cher que de la gérer en continu.
La CNIL maintient une page de référence sur l'usage de Google Analytics et les alternatives conformes. Elle y rappelle sa mise en demeure, la nécessité du consentement pour les cookies GA, et surtout l'existence d'un régime d'exemption de consentement pour la seule mesure d'audience, à conditions strictes.
Source officielle : la CNIL publie les critères et un outil d'auto-évaluation pour les solutions de mesure d'audience. Il appartient à chaque éditeur de vérifier sa configuration.
Une solution de mesure d'audience peut se passer de bandeau si elle reste strictement cantonnée à cet usage. Les conditions posées par la CNIL, résumées :
GA4 n'entre généralement pas dans cette exemption lorsqu'il utilise ses traceurs habituels. Une solution sans cookie et hébergée dans l'UE peut être plus simple à configurer, mais ces seules caractéristiques ne suffisent pas à démontrer l'exemption.
Kipstats utilise un script sans cookie de suivi, avec hébergement UE et sans partage publicitaire. Ces caractéristiques facilitent l'analyse, mais ne prouvent pas à elles seules une exemption de consentement.
| Kipstats | Google Analytics 4 | |
|---|---|---|
| Dépose des cookies | Non | Oui |
| Bandeau de consentement requis | Selon la configuration et l’analyse juridique | Oui pour les traceurs usuels |
| Transfert de données hors UE | Non, hébergé UE | Oui, vers les USA |
| Dépend du Data Privacy Framework | — | Oui (accord contesté) |
| Mesure sans cookie de suivi | ✓ | ✗ |
| Partage avec un écosystème publicitaire | Non | Oui |
| Vise les critères d'exemption CNIL | ✓ | ✗ |
| Poids du script | 2,9 Ko gzip | Plus lourd |
| Prix | 0 / 9 / 29 €/mois | Gratuit (coût = conformité) |
Synthèse à partir de la doctrine CNIL et des docs Google, juillet 2026. Information générale, pas un conseil juridique.
Non, GA4 n'est pas interdit. Mais son usage n'est conforme qu'à deux conditions cumulatives : un consentement préalable via un bandeau, et une base légale de transfert vers les USA (le Data Privacy Framework de 2023). Ces deux béquilles peuvent tomber, ce qui rend la conformité fragile.
En 2022, la CNIL a mis en demeure des gestionnaires de sites français de cesser d'utiliser GA « dans les conditions actuelles ». Une mise en demeure est une injonction de corriger, pas une amende directe. Le risque de sanction apparaît surtout si on l'ignore ou en cas de manquement répété.
Il a désamorcé la menace immédiate en redonnant une base légale aux transferts vers les entreprises US certifiées, dont Google. Mais il est déjà attaqué devant la justice européenne, et noyb annonce vouloir le faire invalider comme le Safe Harbor et le Privacy Shield avant lui. Miser dessus, c'est accepter un risque de « Schrems III ».
Cela dépend de votre configuration et des règles applicables. L’absence de cookie ne suffit pas, à elle seule, à établir une exemption. Utilisez l’outil d’auto-évaluation de la CNIL et vérifiez les autres services de votre site.
Sur cnil.fr, dans sa page sur les solutions de mesure d’audience et son outil d’auto-évaluation. Vérifiez la version en vigueur avant de configurer votre site.
Le remplacement du script est simple. Avant de modifier votre bandeau, vérifiez que votre configuration et les autres services du site respectent les règles de consentement applicables.
Kipstats est hébergé dans l'UE et ne dépose pas de cookie de suivi. Vérifiez les exigences de consentement applicables à votre site. Gratuit pour démarrer, sans carte bancaire.
Créer un compte gratuit