> GA4 n'est pas conforme au RGPD par défaut. Cookies déposés, décisions de la CNIL, Consent Mode v2, conservation : comment le paramétrer légalement. > > Canonical: https://www.flowconsent.com/fr/blog/google-analytics-conforme-rgpd [Outils marketing](https://www.flowconsent.com/fr/blog?category=tools) # Google Analytics est-il conforme au RGPD ? Le guide GA4 complet Par FlowConsent · Publié le 6 mars 2026 · Mis à jour le 9 octobre 2026 · 11 min de lecture En bref Google Analytics 4 peut être utilisé légalement en Europe, à condition de recueillir le consentement, de configurer le Consent Mode v2 et de minimiser les données. Décisions des autorités et paramétrage pas à pas. ## TL;DR Google Analytics 4 n'est pas conforme au RGPD par défaut. Il dépose des cookies (`_ga`, `_ga_`), collecte des données personnelles (identifiant de cookie, navigation, appareil, localisation approximative) et les envoie à Google, y compris vers des serveurs aux États-Unis. Plusieurs autorités européennes, dont la CNIL, ont rendu des décisions défavorables à Google Analytics en 2022. Vous pouvez pourtant utiliser GA4 légalement, à condition de le bloquer jusqu'au consentement du visiteur, de configurer correctement Google Consent Mode v2, de minimiser les données collectées et de documenter le traitement. Sans ces mesures, votre site s'expose à un risque juridique réel. ## Pourquoi la question se pose encore en 2026 Google Analytics reste l'outil de mesure d'audience le plus utilisé au monde, et sa conformité au RGPD fait l'objet de décisions réglementaires depuis plusieurs années. Le sujet n'a rien de théorique : plusieurs autorités de protection des données ont sanctionné des usages précis de Google Analytics, et les plaintes continuent. Le problème comporte deux niveaux, souvent confondus : - **Le consentement.** GA4 dépose des identifiants dans le navigateur du visiteur pour une finalité qui n'est pas strictement nécessaire. Les règles ePrivacy (article 82 de la loi Informatique et Libertés en France) imposent donc un consentement préalable. - **Les transferts.** Les données partent chez Google, société américaine. La licéité de ce transfert dépend du cadre juridique UE-États-Unis en vigueur. Régler l'un ne règle pas l'autre. Depuis juillet 2023, les transferts vers Google disposent d'une nouvelle base juridique, mais l'obligation de consentement n'a pas bougé. Pour un propriétaire de site, la vraie question n'est donc pas de savoir si Google Analytics est « bon » ou « mauvais », mais ce qu'il faut configurer pour l'utiliser sans risque, et dans quels cas une alternative est plus pertinente. ## Ce que le RGPD et la directive ePrivacy exigent pour l'analytics Le RGPD encadre le traitement des données personnelles depuis mai 2018. Il s'applique à tout site qui traite des données de personnes situées dans l'UE, quel que soit son lieu d'hébergement. La directive ePrivacy ajoute une règle propre aux cookies et traceurs : lire ou écrire une information sur un terminal exige un consentement, sauf si c'est strictement nécessaire au service demandé. Pour un outil comme Google Analytics, cela se traduit par cinq obligations concrètes : 1. **Une base légale.** Pour les cookies analytics, c'est le consentement. La CNIL considère que les cookies Google Analytics ne sont pas strictement nécessaires. 2. **Un blocage préalable.** Le script ne doit pas s'exécuter avant l'accord du visiteur. Charger GA4 dès l'arrivée sur la page, avant tout choix, est l'infraction la plus fréquemment relevée. 3. **Une information claire.** Votre politique de confidentialité doit indiquer ce qui est collecté, pourquoi, combien de temps, par qui, et comment exercer ses droits (accès, suppression, retrait du consentement). 4. **Des transferts encadrés.** Toute donnée qui quitte l'UE doit reposer sur un mécanisme juridique : décision d'adéquation, clauses contractuelles types ou mesures complémentaires. 5. **La responsabilité (accountability).** Vous devez pouvoir prouver le consentement et inscrire le traitement à votre registre (article 30 du RGPD). ## Quels cookies GA4 dépose-t-il et quelles données collecte-t-il ? ### Les cookies de GA4 Le tag GA4 standard (gtag.js ou la balise GA4 de Google Tag Manager) dépose des cookies first-party sur votre domaine : - `_ga` : identifiant unique du visiteur, valable 2 ans par défaut - `_ga_` (où `` correspond à la fin de votre ID de mesure) : conserve l'état de la session, valable 2 ans également Si un scan de votre site trouve aussi `_gid` ou `_gat_UA-...`, ces cookies proviennent de l'ancienne bibliothèque Universal Analytics : un vieux tag tourne encore quelque part et doit être retiré. Deux ans, c'est plus que la durée de vie maximale de 13 mois recommandée par la CNIL pour les traceurs soumis au consentement. Vous pouvez la raccourcir avec le paramètre `cookie_expires` du tag GA4. Notre article sur la [durée de conservation des cookies et la règle des 13 mois](https://www.flowconsent.com/fr/blog/duree-conservation-cookies-cnil-13-mois) détaille les limites applicables. ### Les données collectées GA4 collecte les URL consultées, les événements d'interaction (clics, défilement, formulaires, téléchargements), les données de session, la localisation approximative et des informations techniques (navigateur, système d'exploitation, taille d'écran, appareil). Google indique que GA4 n'enregistre ni ne conserve les adresses IP, mais l'IP sert tout de même à déduire la localisation, et l'identifiant du cookie constitue à lui seul une donnée personnelle au sens du RGPD. Google agit comme sous-traitant pour le compte de l'éditeur du site, qui reste responsable du traitement. C'est vous qui décidez d'installer Google Analytics : vous êtes donc juridiquement responsable de la conformité de la collecte. Google fournit les réglages, à vous de les activer et de vérifier que l'ensemble fonctionne réellement. ## Ce que les autorités européennes ont décidé ### Les décisions de 2022 À la suite des plaintes de l'association noyb, plusieurs autorités ont examiné des sites utilisant Google Analytics (alors Universal Analytics) : - **Autriche (DSB, janvier 2022)** : première autorité à conclure que Google Analytics violait les règles du RGPD sur les transferts internationaux (chapitre V), en s'appuyant sur l'arrêt Schrems II de la CJUE. - **France (CNIL, février 2022)** : violation de l'article 44 du RGPD et mise en demeure de plusieurs sites français de se mettre en conformité sous un mois. - **Italie (Garante, juin 2022)** : injonction à un site de cesser d'utiliser Google Analytics dans les conditions existantes. - **Danemark et Norvège** : conclusions similaires. Ces décisions reposent sur le même fondement : l'invalidation du Privacy Shield par l'arrêt Schrems II en juillet 2020 et l'absence de protection face aux programmes de surveillance américains. Elles n'ont pas interdit Google Analytics en tant que tel, mais elles ont posé un principe clair : sans consentement préalable, sans configuration correcte et sans évaluation des transferts, pas de conformité. ### Le Data Privacy Framework depuis juillet 2023 Le 10 juillet 2023, la Commission européenne a adopté le Data Privacy Framework (DPF) UE-États-Unis. Google y est certifié, ce qui redonne une base juridique aux transferts vers ses serveurs américains. En septembre 2025, le Tribunal de l'Union européenne a rejeté le recours en annulation du député Philippe Latombe contre le DPF. Un pourvoi est désormais pendant devant la Cour de justice (affaire C-703/25 P) : la pérennité du cadre n'est donc toujours pas garantie. Continuez à documenter votre évaluation des transferts. Surtout, le DPF ne concerne que les transferts. L'obligation de recueillir le consentement avant le dépôt des cookies GA4 en est totalement indépendante. ### Existe-t-il une exemption de consentement pour GA4 ? La CNIL exempte de consentement certains outils de mesure d'audience, mais uniquement si toutes les conditions sont réunies : finalité strictement limitée à la mesure d'audience pour le compte exclusif de l'éditeur, pas de recoupement ni de suivi intersites, pas de transmission à des tiers, adresse IP anonymisée avant tout traitement, durée de vie du traceur de 13 mois maximum et conservation des données de 25 mois maximum. GA4 en configuration standard transmet des données à Google pour ses propres traitements et ne peut pas remplir ces critères. Des outils comme Matomo le peuvent, dans une configuration précise. Le [catalogue de services FlowConsent](https://www.flowconsent.com/fr/doc/services-and-legal-basis) affiche cette checklist pour chaque service signalé comme potentiellement exemptable. ## Comment utiliser GA4 de manière conforme Installer GA4 avec ses réglages par défaut ne suffit pas. Voici les six étapes qui comptent. ### Étape 1 : bloquer GA4 avant le consentement C'est la règle la plus importante. Le script Google Analytics ne doit pas se charger tant que le visiteur n'a pas accepté les cookies de mesure via votre [bandeau cookies](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide). Un bandeau qui s'affiche sans bloquer effectivement les scripts n'est pas conforme. Pour vérifier, ouvrez votre site en navigation privée et inspectez les requêtes réseau avant de toucher au bandeau. Si vous voyez des requêtes vers google-analytics.com ou googletagmanager.com qui déposent `_ga`, vos scripts se chargent avant le consentement. ### Étape 2 : configurer le Consent Mode v2 [Google Consent Mode v2](https://www.flowconsent.com/fr/blog/google-consent-mode-v2-guide-implementation) indique aux tags Google ce que le visiteur a accepté. Il est obligatoire depuis mars 2024 pour conserver les fonctions de mesure et de remarketing sur le trafic de l'EEE. Il repose sur quatre signaux : `analytics_storage`, `ad_storage`, `ad_user_data` et `ad_personalization`. Tous doivent être à `denied` par défaut pour les visiteurs européens, puis mis à jour par votre CMP au moment du choix. Comprenez les deux modes avant de trancher : - **Mode basic** : les tags Google ne se chargent pas du tout avant le consentement. Rien ne part chez Google si le visiteur refuse. - **Mode advanced** : les tags se chargent avec un consentement refusé et envoient des pings sans cookies, que Google utilise pour modéliser les conversions. Aucun cookie n'est écrit, mais des données partent tout de même chez Google, ce que certaines autorités et certains juristes regardent avec prudence. Évaluez ce choix avec votre DPO. Avec FlowConsent, un script inline pose les [valeurs par défaut à denied pour les quatre signaux avant le chargement de tout tag Google](https://www.flowconsent.com/fr/doc/google-consent-mode), puis le bandeau envoie la mise à jour au moment du choix. Un refus se traduit par des pings sans cookies (`gcs=G100`) et aucun cookie. ### Étape 3 : paramétrer GA4 pour minimiser les données Dans l'administration de GA4 : - **Conservation des données** : les propriétés standard proposent 2 mois (valeur par défaut) ou 14 mois pour les données au niveau événement utilisées dans les explorations. Restez à 2 mois sauf besoin réel d'analyses longues. Les rapports standard ne sont pas concernés par ce réglage. - **Google Signals** : désactivez-le si vous n'avez pas besoin de rapports cross-device ni de remarketing. Il traite des données supplémentaires liées aux comptes Google connectés et exige une information spécifique. - **Personnalisation des annonces** : laissez-la désactivée si vous ne faites pas de remarketing Google Ads. - **Données granulaires de localisation et d'appareil** : désactivez leur collecte dans l'UE si votre analyse n'en a pas besoin. Aucun de ces réglages ne remplace le consentement. Ils réduisent les données traitées une fois le consentement donné. ### Étape 4 : charger GA4 correctement, avec ou sans GTM Si vous utilisez Google Tag Manager, le snippet de votre CMP doit se trouver dans le `` au-dessus du conteneur GTM, jamais dans GTM sous forme de balise, et votre balise GA4 doit vérifier l'état du consentement. Notre [guide d'installation avec GTM](https://www.flowconsent.com/fr/doc/install-google-tag-manager) et l'article [Google Tag Manager et Consent Mode v2](https://www.flowconsent.com/fr/blog/google-tag-manager-consent-mode-guide-integration) détaillent la configuration. Si vous collez le snippet GA4 directement dans votre site, votre CMP doit le bloquer jusqu'à l'acceptation, et son propre snippet doit arriver en premier dans le `` : tout script placé au-dessus échappe au blocage préalable. Vérifiez aussi que GA4 n'est pas injecté par les réglages de votre hébergeur ou de votre outil de création de site, hors du contrôle du bandeau. Les données envoyées depuis votre serveur (par exemple via le Measurement Protocol de GA4) échappent à tout bandeau. Elles doivent respecter la même décision de consentement : voir notre article sur le [server-side tagging et le consentement](https://www.flowconsent.com/fr/blog/server-side-tagging-cookies-consentement). ### Étape 5 : mettre à jour la politique de confidentialité et le registre Votre politique doit mentionner Google Analytics et Google Ireland Ltd comme fournisseur, les données collectées, la base légale (consentement), les durées de conservation, les transferts vers les États-Unis et leur cadre (DPF), ainsi que les droits des personnes, dont le retrait du consentement. Inscrivez le traitement à votre registre (article 30) et conservez votre évaluation des transferts. ### Étape 6 : utiliser une CMP qui bloque et conserve la preuve Votre plateforme de gestion du consentement doit bloquer les scripts avant consentement, transmettre les signaux du Consent Mode v2, conserver la preuve du consentement et permettre au visiteur de changer d'avis à tout moment. Pour [choisir une CMP](https://www.flowconsent.com/fr/blog/choisir-cmp-plateforme-gestion-consentement), vérifiez qu'elle gère le blocage technique et pas seulement l'affichage d'un bandeau. FlowConsent va plus loin : la [vérification de conformité](https://www.flowconsent.com/fr/doc/compliance-verification) charge vos pages en refusant le consentement et liste tout ce qui se déclenche encore, ce qui vous permet de prouver que GA4 reste muet après un refus. ## Erreurs fréquentes (et comment les éviter) **GA4 chargé dans le \`\\` sans condition.** Le script et le cookie `_ga` se déclenchent au chargement de la page, avant le bandeau. Correction : bloquer la balise via la CMP ou la conditionner dans GTM avec le Consent Mode v2. **Se fier uniquement au Consent Mode.** Le Consent Mode adapte les tags Google, mais il ne bloque pas les scripts tiers. Meta Pixel, TikTok et les autres traceurs doivent être bloqués séparément par votre CMP. Pour comprendre les [différents types de cookies](https://www.flowconsent.com/fr/blog/cookies-definition-types-fonctionnement), consultez notre guide dédié. **Présenter l'anonymisation de l'IP comme un substitut au consentement.** GA4 ne conserve pas les IP, mais l'identifiant persistant `_ga` exige toujours un consentement préalable. Ce sont deux questions distinctes. **Utiliser un bandeau sans bouton Refuser équivalent.** La CNIL exige que refuser soit aussi simple qu'accepter. Un gros bouton Accepter à côté d'un petit lien « Paramétrer » n'est pas conforme. **Ne pas tester après configuration.** Beaucoup de sites affichent un bandeau correct sans vérifier que les scripts sont réellement bloqués. Lancez un [scan de cookies](https://www.flowconsent.com/fr/scan) après chaque modification, y compris celles des équipes marketing. ## Les alternatives conformes à Google Analytics Si la configuration de GA4 est trop lourde pour votre organisation, ou si vous préférez éviter les transferts transatlantiques, d'autres options existent : - **Matomo en mode exempté**, auto-hébergé ou hébergé dans l'UE, peut fonctionner sans consentement s'il respecte toutes les conditions de la CNIL. Notre article [Matomo et les cookies](https://www.flowconsent.com/fr/blog/matomo-cookies-rgpd-bandeau-obligatoire) explique la configuration. - **Les outils d'analytics sans cookies** mesurent le trafic sans identifiant. Ils sont moins détaillés mais peuvent parfois se passer de bandeau : voir notre [guide complet de l'analytics sans cookies](https://www.flowconsent.com/fr/blog/analytics-sans-cookies-guide-complet). L'exemption ne s'applique que si l'outil produit des statistiques anonymes et agrégées, sans transfert hors UE ni réutilisation par le fournisseur. Dans tous les autres cas, le consentement reste obligatoire. ## Checklist de conformité GA4 et RGPD - Bloquer le script GA4 ou GTM par défaut via votre CMP. - Configurer le Consent Mode v2 avec les quatre signaux à `denied` par défaut pour l'EEE. - Vérifier en navigation privée qu'aucun cookie `_ga` n'est déposé avant l'acceptation. - Supprimer tout ancien tag Universal Analytics (cookies `_gid`, `_gat_`). - Ramener la durée de vie du cookie `_ga` à 13 mois maximum. - Garder la conservation des données GA4 à 2 mois, sauf besoin de 14. - Désactiver Google Signals et la personnalisation des annonces si vous ne les utilisez pas. - Mentionner GA4 et Google Ireland Ltd dans la politique de confidentialité, avec les transferts et la couverture DPF. - Inscrire le traitement au registre (article 30) et documenter l'évaluation des transferts. - Appliquer la même décision de consentement aux données envoyées depuis votre serveur. ## Conclusion Google Analytics 4 peut être utilisé de manière conforme au RGPD, mais cela demande une configuration rigoureuse : scripts bloqués avant consentement, Consent Mode v2 à denied par défaut, réglages GA4 minimisés, politique de confidentialité à jour et CMP qui conserve la preuve. Commencez par un [scan gratuit de votre site](https://www.flowconsent.com/fr/scan) pour repérer les scripts qui se chargent avant le consentement et les cookies non déclarés, puis corrigez-les un par un. [Retour au blog](https://www.flowconsent.com/fr/blog) Partager l'article · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Fgoogle-analytics-conforme-rgpd) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Fgoogle-analytics-conforme-rgpd) Questions ## Questions fréquentes sur ce sujet. Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite. [Nous écrire](https://www.flowconsent.com/fr/demo) ### Google Analytics est-il illégal en Europe ? Google Analytics n'est pas interdit en tant que tel. Plusieurs autorités européennes ont jugé que son utilisation violait le RGPD. Depuis l'adoption du Data Privacy Framework en juillet 2023, le cadre juridique a évolué, mais des recours sont en cours devant la CJUE. ### Ai-je besoin d'un bandeau cookies si j'utilise Google Analytics ? Oui. Google Analytics dépose des cookies et collecte des données personnelles. Le RGPD et la directive ePrivacy exigent un consentement explicite avant le dépôt de cookies non essentiels. ### Le Consent Mode v2 rend-il Google Analytics conforme au RGPD ? Non, pas à lui seul. Le Consent Mode v2 adapte le comportement des tags Google en fonction du consentement, mais il ne constitue pas une solution de conformité complète. ### Est-ce que GA4 anonymise automatiquement les adresses IP ? GA4 tronque les adresses IP par défaut, mais cette troncature ne constitue pas une anonymisation complète au sens du RGPD. ### Puis-je utiliser Google Analytics sans cookies ? GA4 utilise des cookies first-party par défaut. Il est possible de configurer GA4 en mode cookieless via le Consent Mode, mais les données collectées sont très limitées. ### Quelles sont les sanctions en cas de non-conformité ? Le RGPD prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. À lire aussi ## Pour aller plus loin. [Tous les articles](https://www.flowconsent.com/fr/blog) [Bonnes pratiques · 2 mars 2026](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide) ### [Bandeau cookies RGPD : le guide complet pour être conforme (2026)](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide) [Tout ce qu'un bandeau cookies conforme doit respecter : cadre légal, contenu obligatoire, règles de design de la CNIL, mise en place pas à pas et checklist finale.](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide) [Lire l'article ](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide)· [Outils marketing · 5 juillet 2026](https://www.flowconsent.com/fr/blog/analytics-sans-cookies-guide-complet) ### [Analytics sans cookies : guide complet pour mesurer sans consentement](https://www.flowconsent.com/fr/blog/analytics-sans-cookies-guide-complet) [Comment mesurer l'audience et les conversions sans cookies soumis à consentement : exemption CNIL, outils sans cookies, techniques alternatives et leurs vraies limites.](https://www.flowconsent.com/fr/blog/analytics-sans-cookies-guide-complet) [Lire l'article ](https://www.flowconsent.com/fr/blog/analytics-sans-cookies-guide-complet)· [Outils marketing · 29 mai 2026](https://www.flowconsent.com/fr/blog/google-consent-mode-v2-guide-implementation) ### [Consent Mode v2 : le guide complet pour l'installer et l'implémenter](https://www.flowconsent.com/fr/blog/google-consent-mode-v2-guide-implementation) [Le guide de référence du Consent Mode v2 : pourquoi il est obligatoire, ses quatre paramètres, basic ou advanced, l'installation pas à pas avec GTM et sur les principaux CMS, et les erreurs à corriger.](https://www.flowconsent.com/fr/blog/google-consent-mode-v2-guide-implementation) [Lire l'article](https://www.flowconsent.com/fr/blog/google-consent-mode-v2-guide-implementation) ## Mettez votre site en conformité aujourd'hui. Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement. [Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)