Article initialement publié en février 2022, mis à jour en 2026.
Le cadre applicable à Google Analytics et aux transferts de données vers les États-Unis ayant évolué depuis sa publication, cet article a été entièrement actualisé.
En 2022, la CNIL mettait en demeure plusieurs gestionnaires de sites utilisant Google Analytics en raison du transfert de données personnelles vers les États-Unis. À l’époque, j’avais consacré cet article à cette décision qui faisait beaucoup parler dans le monde du web.
Depuis, le cadre juridique a évolué. Google Analytics n’est pas « interdit » en France, mais cela ne signifie pas pour autant qu’on peut l’installer sur un site sans se poser de questions.
Consentement, cookies, transferts de données, configuration de l’outil, alternatives plus respectueuses de la vie privée… faisons le point sur ce qui a changé et sur les bonnes pratiques à adopter aujourd’hui.
Google Analytics interdit par la CNIL : que s'est-il réellement passé ?
Petit retour en arrière.
En février 2022, la CNIL a mis en demeure le gestionnaire d’un site français utilisant Google Analytics. Le problème concernait notamment le transfert de données personnelles vers les États-Unis, dans le contexte juridique créé par l’arrêt Schrems II.
À l’époque, la CNIL considérait que les mesures mises en place ne permettaient pas de garantir suffisamment la protection des données transférées vers les États-Unis.
Elle demandait donc au gestionnaire concerné de mettre son traitement en conformité, si nécessaire en cessant d’utiliser Google Analytics dans les conditions alors en vigueur.
Google Analytics n’avait donc pas été « interdit » au sens strict. La CNIL n’avait pas publié une interdiction générale de Google Analytics applicable à tous les sites français. Elle avait considéré que son utilisation dans les conditions examinées entraînait des transferts de données contraires au RGPD.
Qu'est-ce qui a changé depuis 2022 ?
Un élément majeur est intervenu le 10 juillet 2023 : la Commission européenne a adopté une nouvelle décision d’adéquation concernant le cadre UE-États-Unis de protection des données, le Data Privacy Framework.
La CNIL précise aujourd’hui que les transferts vers les entreprises américaines certifiées dans ce dispositif peuvent avoir lieu sans qu’il soit nécessaire de mettre en place des garanties supplémentaires pour le transfert lui-même.
Cela change donc une partie importante du problème soulevé en 2022.
Mais attention : transfert de données et cookies sont deux sujets différents.
Et c’est là que ça devient intéressant.
Peut-on utiliser Google Analytics sans consentement ?
La CNIL prévoit effectivement une exemption de consentement pour certains outils de mesure d’audience, mais uniquement lorsqu’ils respectent des conditions strictes.
Ils doivent notamment servir exclusivement à mesurer l’audience pour le compte de l’éditeur, produire des statistiques anonymes, ne pas permettre le suivi de l’utilisateur entre plusieurs sites et ne pas transmettre de données non anonymes à des tiers. (source CNIL)
La CNIL rappelle par ailleurs que la plupart des grandes solutions de mesure d’audience n’entrent pas automatiquement dans cette exemption, quelle que soit leur configuration.(source CNIL)
Autrement dit :
Le fait que Google Analytics puisse être utilisé ne signifie pas que vous pouvez déposer ses traceurs sans recueillir le consentement de vos visiteurs.
C’est une distinction essentielle.
Google Analytics est-il conforme au RGPD en 2026 ?
Google Analytics n’est pas interdit en France, mais sa conformité dépend de la manière dont il est utilisé et configuré.
Un propriétaire de site doit notamment s’interroger sur :
- les données réellement collectées ;
- les cookies et traceurs déposés ;
- le recueil du consentement lorsque celui-ci est nécessaire ;
- les finalités du traitement ;
- les éventuels transferts internationaux ;
- l’information donnée aux utilisateurs ;
- la durée de conservation ;
- les autres services Google éventuellement associés.
La CNIL rappelle d’ailleurs que les traitements liés à la mesure d’audience restent soumis aux obligations du RGPD, y compris lorsque certains traceurs peuvent bénéficier d’une exemption de consentement.
Et si votre prochain site partait sur de bonnes bases ?
Un site internet, ce n’est pas seulement un design et quelques pages. SEO, performance, mesure d’audience, respect des données : les bons choix se font dès sa conception.
Je vous accompagne pour créer un site cohérent avec vos besoins, sans complexité ni outils ajoutés par automatisme.
Faut-il forcément utiliser Google Analytics ?
Pas forcément.
Google Analytics est un outil extrêmement puissant. Mais comme souvent avec les outils numériques, la vraie question n’est pas de savoir s’il est populaire ou s’il possède le plus de fonctionnalités. La question est de savoir si vous avez réellement besoin de tout ce qu’il propose.
Pour un site vitrine de TPE ou PME, connaître le nombre de visites, les pages consultées, les sources de trafic ou l’évolution de son audience peut parfois suffire.
Il existe aujourd’hui différentes solutions de mesure d’audience, notamment des outils pouvant être configurés pour limiter davantage la collecte de données. La CNIL met d’ailleurs à disposition des fournisseurs un dispositif permettant d’évaluer si leur solution peut entrer dans le cadre de l’exemption au consentement.
Le bon outil n’est donc pas nécessairement le plus complet. C’est celui qui vous fournit les données dont vous avez besoin, dans un cadre adapté à votre usage.
D’ailleurs, avec Comsapik, j’utilise l’outil UMAMI en auto-hébergement par défaut pour la création de tous mes sites internet, par défaut. Je préfère partir sur un outil simple, léger et respectueux de la vie privée plutôt que d’installer Google Analytics par automatisme. Le client reste ensuite libre de conserver cette solution ou d’en changer selon ses besoins.
Et pour votre site, que faut-il retenir ?
Si vous utilisez Google Analytics aujourd’hui, inutile de le supprimer dans la panique parce que vous avez lu qu’il avait été « interdit par la CNIL ».
En revanche, c’est une bonne occasion de vérifier votre configuration, votre gestion du consentement et, plus largement, les données que votre site collecte réellement.
Et si vous créez ou refondez votre site, posez-vous la question avant d’installer machinalement tous les outils habituels.
Mesurer, oui. Collecter des données simplement parce qu’on peut le faire, beaucoup moins.