Google Analytics RGPD 2026 : le guide en 6 étapes

L’essentiel. Depuis 2023, deux changements majeurs ont bouleversé le débat : Universal Analytics a été remplacé par GA4, et l’Union européenne a adopté le Data Privacy Framework (décision d’adéquation UE–États-Unis du 10 juillet 2023). Les transferts vers Google LLC, entreprise certifiée DPF, bénéficient désormais d’une décision d’adéquation. Mais deux obligations demeurent intactes : recueillir le consentement avant tout dépôt de cookies GA (règles ePrivacy/CNIL) et ne jamais transmettre de données personnelles dans Analytics.

En février 2022, la CNIL a mis en demeure plusieurs gestionnaires de sites utilisant Google Analytics, estimant que les transferts de données vers les États-Unis n’étaient pas suffisamment encadrés au regard de l’arrêt Schrems II. Cette prise de position a fait grand bruit et laissait entendre qu’il était devenu quasi impossible d’utiliser l’outil légalement. Le cadre juridique de 2026 est très différent. Cet article fait le point à jour : ce qui a changé, ce qui reste vrai, et comment configurer et documenter Google Analytics aujourd’hui.

Google Analytics génère bien un traitement de données personnelles

Point de départ inchangé depuis l’origine : utiliser Google Analytics implique un traitement de données personnelles au sens du RGPD, donc l’application du règlement.

Les conditions d’utilisation de Google interdisent formellement d’envoyer des données directement identifiantes dans Analytics (« you will not pass information to Google that Google could use or recognise as personally identifiable information »). L’objectif de cette clause est de limiter les usages à des données non nominatives. Mais elle ne suffit pas à sortir l’outil du champ du RGPD, pour deux raisons.

D’abord, certaines données transmises restent des données personnelles au sens large : selon la documentation contractuelle de Google (consultée en juillet 2026), le service traite des identifiants en ligne — identifiants de cookies, adresses IP et identifiants d’appareil, identifiant client (client ID). Or la CJUE a jugé, dès l’arrêt Breyer (C-582/14, 19 octobre 2016), qu’une adresse IP peut constituer une donnée personnelle. L’identifiant client généré par GA, qui permet de relier plusieurs pages vues à un même navigateur, relève de la même logique.

Ensuite, Google agit ici comme sous-traitant (processor) : ses conditions de protection des données (Data Processing Terms) le désignent comme sous-traitant des données traitées via Analytics. En droit RGPD, cela impose au gestionnaire du site, responsable de traitement, de conclure un contrat conforme à l’article 28 du RGPD et d’assumer la qualité de sous-traitant de Google. Le responsable de traitement conserve la maîtrise et la responsabilité de la conformité.

Le problème historique : Schrems II et les transferts vers les États-Unis (2020-2023)

Le nœud du débat de 2022 tenait aux transferts de données hors de l’Union européenne. Par défaut, les données collectées par Analytics étaient acheminées vers des serveurs situés aux États-Unis.

L’arrêt Schrems II (CJUE, 16 juillet 2020, C-311/18) avait invalidé le « Privacy Shield », le mécanisme d’adéquation alors en vigueur pour les transferts UE–États-Unis. La Cour jugeait que les programmes de renseignement américains ne garantissaient pas un niveau de protection essentiellement équivalent à celui du droit de l’Union. Restaient les clauses contractuelles types (CCT), mais la Cour précisait qu’elles devaient être complétées, le cas échéant, par des mesures supplémentaires effectives adoptées par le responsable de traitement.

L’EDPB avait détaillé ces mesures dans ses recommandations 01/2020. L’une d’elles, particulièrement pertinente pour Analytics, était la pseudonymisation des données avant transfert, à condition notamment que l’information permettant la ré-identification soit conservée exclusivement dans l’EEE et hors d’atteinte du destinataire. Ce raisonnement reste juridiquement valable et éclaire la distinction fondamentale entre pseudonymisation et anonymisation : seule une anonymisation irréversible fait sortir les données du champ du RGPD.

C’est dans ce contexte que la CNIL a considéré, début 2022, que la configuration standard de Google Analytics ne présentait pas de garanties suffisantes. Le problème n’était donc pas l’outil en soi, mais le cadre de transfert applicable à l’époque.

Ce qui a changé en 2026 : le Data Privacy Framework et GA4

Deux évolutions majeures ont transformé l’analyse depuis 2023.

La décision d’adéquation « Data Privacy Framework »

Le 10 juillet 2023, la Commission européenne a adopté une décision d’adéquation relative au EU–US Data Privacy Framework (DPF). Concrètement, les transferts de données vers une entreprise américaine certifiée DPF bénéficient désormais d’une décision d’adéquation au sens de l’article 6 du RGPD et du chapitre V : ils sont traités, sur le plan juridique, comme des transferts vers un pays offrant un niveau de protection adéquat. Il n’est alors plus nécessaire de recourir aux CCT assorties de mesures supplémentaires pour ces transferts précis.

Selon la liste publique du Data Privacy Framework (consultée en juillet 2026), Google LLC figure parmi les organisations certifiées. Les transferts vers Google au titre d’Analytics s’inscrivent donc, en 2026, dans le cadre de l’adéquation DPF — un changement radical par rapport à la situation de 2022.

Une réserve de prudence s’impose néanmoins : cette décision d’adéquation fait l’objet de recours. Le Tribunal de l’Union européenne a rejeté en 2025 un recours en annulation dirigé contre elle, mais un pourvoi et un futur examen par la CJUE (dans la lignée des affaires Schrems) restent possibles. Il est donc prudent de conserver les CCT comme mécanisme de repli et de suivre l’actualité RGPD sur ce point.

GA4 a remplacé Universal Analytics

Depuis le 1er juillet 2023, les propriétés Universal Analytics (identifiants « UA-… ») ne collectent plus de données : Google Analytics 4 (GA4, identifiants « G-… ») est la seule version disponible. Cela rend obsolètes les anciens montages techniques bricolés autour du paramètre anonymize_ip, qui n’a plus d’objet dans GA4.

Selon la documentation de Google consultée en juillet 2026, GA4 est conçu pour ne pas journaliser ni stocker les adresses IP : l’IP est utilisée de manière transitoire (notamment pour la géolocalisation grossière) puis n’est pas conservée. La donnée personnelle « IP » n’est donc plus stockée par le service comme elle pouvait l’être sous Universal Analytics. Cela réduit — sans le supprimer intégralement — le périmètre des données personnelles en jeu, l’identifiant client et les identifiants de cookies restant traités.

Le consentement reste obligatoire (ePrivacy / CNIL)

Attention à ne pas confondre deux régimes distincts. La question des transferts relève du RGPD ; celle du dépôt de cookies relève de la directive « ePrivacy » (2002/58/CE), transposée en France à l’article 82 de la loi Informatique et Libertés.

Sur ce terrain, rien n’a changé : GA4 dépose des traceurs et lit des informations stockées dans le terminal de l’internaute. Il faut donc, en principe, recueillir le consentement préalable de l’utilisateur via un bandeau conforme (le refus doit être aussi simple que l’acceptation, pas de cases pré-cochées, information claire). Google Analytics n’étant pas, en configuration standard, un outil de simple mesure d’audience exempté de consentement au sens des recommandations de la CNIL, le consentement demeure la règle. La distinction opt-in / opt-out est ici déterminante : c’est un opt-in explicite qui est exigé.

En pratique, cela suppose de déployer une plateforme de gestion du consentement (CMP) et, côté GA4, d’utiliser le Consent Mode de Google afin de n’activer la collecte qu’après consentement.

Paramétrer Google Analytics en 6 étapes

Voici une méthode de mise en conformité pour un déploiement GA4 en 2026.

1. Déployer un bandeau de consentement conforme — CMP avec choix réel (accepter / refuser au même niveau), information préalable, absence de dépôt avant consentement. Activer le Consent Mode de GA4.
2. Configurer la minimisation — Désactiver les Google Signals et la personnalisation publicitaire, limiter la collecte au strict nécessaire au regard du principe de minimisation.
3. Réduire la durée de conservation — Fixer la conservation des données au niveau évènement/utilisateur à la durée la plus courte utile, cohérente avec votre politique de durée de conservation.
4. Ne jamais transmettre de données personnelles — Proscrire l’envoi d’e-mails, d’identifiants nominatifs, de numéros de commande ou d’URL contenant des données identifiantes (/jean-dupont). La notion de donnée personnelle couvre les données indirectement identifiantes.
5. Signer les conditions de sous-traitance — Accepter les Data Processing Terms de Google (contrat article 28) et, par précaution, conserver l’acceptation des clauses contractuelles types en repli du cadre DPF.
6. Informer et documenter — Mettre à jour la politique de confidentialité (mesure d’audience, sous-traitant, base légale, durées) conformément aux bonnes pratiques de l’article 12 et inscrire le traitement au registre.

Méthode indicative fournie à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte et à votre configuration avant usage. Version 2026-07.

Les alternatives : mesure d’audience sans consentement et proxyfication

Si vous souhaitez éviter le bandeau de consentement, la CNIL admet, sous conditions strictes, des solutions de mesure d’audience exemptées de consentement : finalité limitée à la seule mesure d’audience du site pour le compte de l’éditeur, absence de recoupement avec d’autres traitements, absence de transmission des données à des tiers, adresse IP tronquée, durée de conservation limitée, pas de suivi inter-sites. Certaines solutions (comme des configurations spécifiques d’outils open source hébergés en propre) peuvent entrer dans ce cadre ; GA4 en configuration standard n’y répond généralement pas.

Une autre option consiste à proxifier la collecte : faire transiter les mesures par un serveur intermédiaire maîtrisé (mesure côté serveur / server-side) permettant de filtrer, tronquer ou pseudonymiser les données avant tout envoi à Google. Cette approche renforce la maîtrise du responsable de traitement mais suppose des développements et une maintenance dédiés.

Le choix entre GA4 avec consentement, une solution exemptée ou une proxyfication dépend de vos besoins analytiques, de vos ressources techniques et de votre appétence au risque. Dans tous les cas, la décision doit être justifiée au regard de la base légale retenue et de l’intérêt légitime éventuellement invoqué pour la partie non soumise à consentement.

Documenter le traitement

La conformité ne se limite pas au paramétrage : elle doit être démontrable (principe d’accountability). Concrètement :

• Inscrire la mesure d’audience au registre des activités de traitement (finalité, catégories de données, sous-traitant Google, base juridique, durées, transferts) — voir un exemple de registre RGPD rempli ;
• Conserver la trace du contrat de sous-traitance (Art. 28) et de la base de transfert (DPF, CCT en repli) ;
• Documenter la configuration retenue (Consent Mode, désactivation des signaux, durées) et sa justification ;
• Prévoir la procédure en cas de faille affectant l’outil, en lien avec vos obligations de notification de violation.

Ce travail de cartographie et de preuve est répétitif à l’échelle d’un site qui empile de nombreux outils tiers : un logiciel RGPD permet d’industrialiser la tenue du registre, le suivi des sous-traitants et l’horodatage des preuves de conformité.

Universal Analytics vs GA4 : ce qui a changé

Point	Universal Analytics (jusqu’en 2023)	GA4 (2026)
Statut	Arrêté depuis juillet 2023	Seule version disponible
Identifiant	UA-XXXXXXX-XX	G-XXXXXXXX
Adresse IP	Journalisée (option anonymize_ip)	Non stockée (usage transitoire)
Paramètre anonymize_ip	Utile	Sans objet (obsolète)
Cadre de transfert dominant	CCT + mesures supplémentaires	Décision d’adéquation DPF
Consentement cookies	Requis	Requis (inchangé)

Le tableau montre que l’essentiel du débat technique de 2022 (bricoler l’anonymisation de l’IP, empiler des garanties de transfert) a perdu son objet : GA4 ne stocke pas l’IP, et le DPF fournit un cadre de transfert clair. En revanche, la brique consentement n’a pas bougé d’un iota.

Les erreurs fréquentes à éviter

• Croire que le DPF dispense du consentement. Ce sont deux régimes distincts : le DPF règle le transfert, la directive ePrivacy règle les cookies. Le consentement reste dû.
• Transmettre par erreur des données identifiantes. Une URL contenant un nom, un e-mail passé dans un évènement, un identifiant de commande : autant de données personnelles qui n’ont rien à faire dans Analytics et qui peuvent déclencher une violation de données.
• Réutiliser d’anciens tags UA. Les propriétés Universal Analytics ne collectent plus rien ; s’appuyer dessus revient à ne plus mesurer d’audience tout en croyant l’être.
• Négliger la documentation. Sans registre ni contrat de sous-traitance tracé, la conformité n’est pas démontrable, quel que soit le paramétrage.
• Oublier la fragilité du DPF. Conserver les CCT en repli et suivre l’actualité RGPD reste une précaution raisonnable.

Ce qu’il faut retenir

• Google Analytics génère un traitement de données personnelles (identifiants de cookies, identifiant client, IP transitoire) ; Google agit comme sous-traitant (Art. 28).
• Le débat de 2022 portait sur les transferts vers les États-Unis post-Schrems II ; il a été largement recadré par la décision d’adéquation Data Privacy Framework du 10 juillet 2023.
• GA4 a remplacé Universal Analytics depuis juillet 2023 et ne stocke pas les adresses IP (documentation Google consultée en juillet 2026) — les anciens montages anonymize_ip sont obsolètes.
• Le consentement (ePrivacy/CNIL) reste obligatoire pour GA4 en configuration standard ; il faut une CMP conforme et le Consent Mode.
• Alternatives : solutions de mesure d’audience exemptées de consentement (sous conditions strictes) ou proxyfication côté serveur.
• La conformité doit être documentée : registre, contrat de sous-traitance, base de transfert, configuration justifiée.

FAQ

Peut-on encore utiliser Google Analytics en 2026 sans risque ?

Oui, sous conditions. Le cadre de 2026 est nettement plus favorable qu’en 2022 grâce à la décision d’adéquation Data Privacy Framework, dont bénéficie Google LLC en tant qu’entreprise certifiée. Il reste indispensable de recueillir le consentement pour les cookies GA, de configurer l’outil en minimisant la collecte, de ne transmettre aucune donnée nominative et de documenter le traitement. Le risque résiduel tient à la stabilité juridique du DPF, encore susceptible d’être contesté devant la CJUE.

Faut-il toujours le consentement pour Google Analytics ?

Oui, en configuration standard. La question du consentement relève de la directive ePrivacy (article 82 de la loi Informatique et Libertés), indépendante de celle des transferts. GA4 dépose des traceurs et lit des informations dans le terminal, ce qui exige un consentement préalable via un bandeau conforme. Seules des solutions de mesure d’audience strictement configurées peuvent être exemptées de consentement selon la CNIL, ce qui n’est généralement pas le cas de GA4 par défaut.

Le Data Privacy Framework rend-il les clauses contractuelles types inutiles ?

Pour les transferts vers une entité certifiée DPF, la décision d’adéquation suffit juridiquement et rend inutiles les CCT assorties de mesures supplémentaires. Toutefois, compte tenu des recours pendants contre le DPF, il est prudent de conserver l’acceptation des CCT comme mécanisme de repli : si l’adéquation venait à être invalidée, vous disposeriez déjà d’un fondement de transfert alternatif à réévaluer.

GA4 anonymise-t-il vraiment les adresses IP ?

Selon la documentation de Google consultée en juillet 2026, GA4 n’enregistre ni ne stocke les adresses IP : elles sont utilisées de manière transitoire (par exemple pour la géolocalisation approximative) puis ne sont pas conservées. Cela ne fait pas de GA4 un outil « sans données personnelles » pour autant : l’identifiant client et les identifiants de cookies restent des données personnelles traitées, soumises au RGPD.

Quelle base légale pour la mesure d’audience ?

Pour la partie soumise au consentement (dépôt de cookies non exemptés), la base est le consentement (Art. 6(1)(a) et article 82 LIL). Pour une mesure d’audience strictement anonyme et exemptée, le traitement peut, selon les cas, s’appuyer sur l’intérêt légitime. La qualification doit être analysée traitement par traitement et documentée. Voir notre guide sur la base légale RGPD.

Matomo ou une autre solution sont-ils plus simples que Google Analytics ?

Ces solutions présentent l’avantage de pouvoir être hébergées dans l’Union européenne, ce qui neutralise la question des transferts, et d’être configurables pour entrer dans le cadre de la mesure d’audience exemptée de consentement défini par la CNIL. Elles n’échappent toutefois pas au RGPD : registre, information des personnes, durées de conservation et sécurité restent requis. Le choix dépend de vos besoins analytiques et de votre volonté de réduire ou non le recours au bandeau de consentement.