Blog

Google Analytics et RGPD : faut-il vraiment un consentement pour les cookies de mesure d'audience ?

Publie le 05/10/2026 · Temps de lecture : 9 min

Google Analytics equipe une tres large majorite des sites de TPE et PME francaises. Beaucoup de proprietaires de sites pensent qu'un outil de statistiques, par nature discret et sans finalite publicitaire visible, echappe aux regles sur les cookies. C'est une erreur frequente : la CNIL distingue les cookies de mesure d'audience des cookies publicitaires, mais ne les exempte pas automatiquement de consentement. Seuls les outils qui remplissent des conditions precises en beneficient, et Google Analytics, dans sa configuration la plus courante, n'en fait pas partie.

En fevrier 2022, la CNIL a mis en demeure plusieurs gestionnaires de sites web francais utilisant Google Analytics, les sommant de se mettre en conformite. Cette action faisait suite a une analyse du Comite europeen de la protection des donnees sur les consequences de l'arret Schrems II de la Cour de justice de l'Union europeenne (16 juillet 2020), qui a invalide le Privacy Shield encadrant les transferts de donnees vers les Etats-Unis. Cette decision concernait de grandes structures, mais le raisonnement juridique s'applique de la meme maniere a un site vitrine de TPE équipé de Google Analytics.

Sommaire

• Le principe : consentement par defaut, exemption par exception
• Les conditions de l'exemption CNIL
• Pourquoi Google Analytics ne remplit generalement pas ces conditions
• Des outils qui peuvent beneficier de l'exemption
• Bien integrer Google Analytics si vous le gardez
• Ce que risque un site non conforme
• Questions frequentes

Le principe : consentement par defaut, exemption par exception

La base legale des regles sur les cookies n'est pas le RGPD lui-meme, mais l'article 82 de la loi Informatique et Libertes (loi n°78-17 du 6 janvier 1978 modifiee), qui transpose en droit francais la directive europeenne « ePrivacy ». Ce texte pose un principe simple : tout cookie ou traceur non strictement necessaire au fonctionnement du site exige le consentement prealable de l'utilisateur avant son depot. Les lignes directrices de la CNIL, actualisees en 2020, precisent que ce principe couvre les cookies publicitaires, les pixels de reseaux sociaux, mais aussi les cookies de mesure d'audience, sauf exception.

L'exception existe parce qu'un outil de statistiques strictement limite a compter les visites et a ameliorer un site, sans aucune autre finalite, presente un risque beaucoup plus faible pour la vie privee qu'un cookie publicitaire qui suit un internaute de site en site. Mais cette exception n'est pas automatique : elle depend de criteres techniques precis que l'editeur du site doit pouvoir demontrer, pas de la seule categorie « analytics » affichee dans la documentation de l'outil.

Les conditions de l'exemption CNIL

Pour qu'un cookie de mesure d'audience soit exempte de consentement prealable, la CNIL exige que l'ensemble des conditions suivantes soit rempli :

• la finalite est strictement limitee a la mesure d'audience du site ou de l'application, pour le compte exclusif de son editeur (pas de finalite publicitaire, pas de personnalisation de contenu) ;
• les donnees collectees ne sont pas recoupees avec d'autres traitements (CRM, outils publicitaires, autres sites du meme editeur) ;
• l'outil ne permet pas de suivre la navigation de l'utilisateur sur des sites tiers ;
• l'adresse IP utilisee pour le calcul des statistiques est anonymisee ou a defaut tronquee, et les identifiants generes ont une duree de vie limitee ;
• l'utilisateur est informe de l'existence de ces cookies et dispose d'un moyen simple de s'y opposer.

Ces criteres sont cumulatifs : il suffit qu'une seule condition ne soit pas remplie pour que le consentement devienne obligatoire, au meme titre que pour un cookie publicitaire.

Pourquoi Google Analytics ne remplit generalement pas ces conditions

Deux obstacles reviennent le plus souvent dans l'analyse de la CNIL et des autorites europeennes concernant Google Analytics dans sa configuration standard. Le premier concerne le transfert de donnees : les donnees collectees par Google Analytics sont traitees sur des serveurs qui peuvent se trouver aux Etats-Unis, un pays sans decision d'adequation equivalente a celle qui couvrait auparavant le Privacy Shield, invalide par l'arret Schrems II. Le second concerne la finalite : Google peut, selon les parametres actives, exploiter les donnees collectees pour d'autres usages que la seule mesure d'audience de votre site, ce qui rompt le critere de finalite exclusive exige par la CNIL.

Google propose depuis Google Analytics 4 des options supplementaires de traitement des donnees, avec des serveurs localises dans l'Union europeenne pour certains flux. Ces ameliorations reduisent le risque, mais ne suffisent pas, a elles seules, a transformer l'outil en traitement exempte : la configuration par defaut de la majorite des installations reste soumise a consentement prealable, et c'est la position que la CNIL a communiquee aux editeurs de sites concernes en 2022.

Des outils qui peuvent beneficier de l'exemption

Certaines solutions de mesure d'audience sont concues precisement pour remplir les criteres d'exemption : elles evitent tout transfert hors UE, anonymisent systematiquement l'adresse IP, n'exploitent pas les donnees pour d'autres finalites et limitent la duree de conservation. Un outil open source comme Matomo, installe sur un serveur en Europe et configure en mode anonymise, est souvent cite comme exemple de solution pouvant remplir ces conditions, a condition que la configuration reelle soit verifiee point par point et qu'aucun autre traitement (CRM, retargeting) ne vienne recouper ces donnees.

Dans tous les cas, le fait qu'un outil soit presente comme « respectueux de la vie privee » par son editeur ne suffit pas : c'est a vous, en tant qu'editeur du site, de verifier que votre propre configuration remplit les 5 conditions listees plus haut, et de pouvoir le demontrer en cas de controle.

Bien integrer Google Analytics si vous le gardez

Rien n'interdit de continuer a utiliser Google Analytics : il suffit de le soumettre aux memes regles qu'un cookie publicitaire. Concretement, cela implique que le script de mesure ne se charge qu'apres un clic explicite sur « Tout accepter » ou sur une acceptation incluant la categorie « mesure d'audience », que le refus soit aussi simple que l'acceptation, et que la politique de confidentialite du site mentionne precisement cet outil, sa finalite et la duree de conservation des donnees associees.

Un test simple permet de verifier la mise en place : ouvrez votre site en navigation privee, n'interagissez pas avec le bandeau cookies, et observez l'onglet reseau des outils de developpeur de votre navigateur. Si une requete part vers google-analytics.com ou analytics.google.com avant tout clic, le script se charge trop tot et le site n'est pas conforme, quelle que soit la qualite du texte affiche dans le bandeau.

Ce que risque un site non conforme

Pour une TPE ou une PME, le risque principal n'est pas une amende immediate mais une mise en demeure publique de la CNIL, avec un delai impose pour corriger la situation. C'est ce qui s'est produit en 2022 pour plusieurs editeurs de sites utilisant Google Analytics : la CNIL a d'abord demande une mise en conformite, avant d'envisager une sanction en cas de persistance du manquement. Une sanction financiere reste possible en cas de non-reponse, mais elle est generalement proportionnee a la taille de la structure.

Questions frequentes

A lire aussi

Geolocalisation & salaries

Geolocalisation des salaries et vehicules professionnels : ce que le RGPD autorise

Lire

Recrutement & RH

CV et candidatures : combien de temps les conserver selon le RGPD ?

Lire

Mineurs & consentement numerique

RGPD et mineurs : a partir de quel age un enfant peut-il consentir au traitement de ses donnees ?

Lire