Google Analytics 4

Yes. GA4 processes personal data (IP addresses, cookies, device identifiers) and transfers it to Google servers. Under GDPR, you must obtain explicit user consent before loading the GA4 tracking script.

GA4 standard a été jugé non conforme par plusieurs APD européennes en raison de transferts illicites vers les États-Unis. Une utilisation conforme nécessite le consentement, le Mode de consentement v2, l'avenant de traitement des données EU avec Google et une configuration soigneuse pour minimiser les transferts de données.

L'Autriche (DSB, janvier 2022), la France (CNIL, juin 2022), l'Italie (Garante, juin 2022), la Belgique (APD, juin 2022), le Danemark (Datatilsynet, septembre 2022), la Grèce (HDPA, octobre 2022), la Norvège (Datatilsynet, novembre 2022) et les Pays-Bas (AP, 2023) ont tous rendu des décisions jugeant les transferts GA4 standard vers les États-Unis illicites au titre du RGPD.

GA4 dépose _ga (identifiant client unique, 2 ans), _ga_XXXXXX (identifiant de session, 2 ans) et _gid (session, 24 heures). Ces cookies nécessitent un consentement selon la directive ePrivacy. GA4 ne doit pas se charger avant l'obtention du consentement analytique.

Les Conditions de protection des données Google Measurement Controller-Controller et l'avenant de traitement des données EU régissent la relation de responsable de traitement pour GA4. Signez-les via les paramètres d'administration Google Analytics. Ils sont requis avant d'utiliser GA4 pour les utilisateurs EU mais ne résolvent pas le problème de conformité des transferts à eux seuls.

La désactivation de Google Signals empêche le lien des données GA4 aux profils de compte Google. Cela réduit le risque mais ne résout pas complètement le problème de transfert vers les États-Unis identifié par les APD européennes.

Plausible Analytics (Estonie, sans cookies, aucun consentement requis, hébergé en EU), Matomo (auto-hébergeable ou cloud EU), Fathom Analytics, Piano Analytics (France) et Piwik PRO (hébergé en EU) sont des alternatives établies.

Le Mode de consentement v2 aide en réduisant la collecte de données lorsque le consentement est refusé. Cependant, il ne résout pas complètement le problème de transfert vers les États-Unis identifié par les APD européennes. C'est une condition nécessaire mais pas suffisante pour une pleine conformité RGPD.

Dans l'administration GA4, allez dans Paramètres des données, Rétention des données et définissez la rétention des données d'événements sur 2 mois (le minimum). Cela réduit le volume de données individuelles stockées dans GA4. La valeur par défaut est 14 mois.

GA4 sets _ga (2 years) and _ga_<container-id> (2 years) cookies to distinguish unique users and maintain session state.

GA4 supports consent mode which allows basic measurement without cookies. However, some data collection still occurs, and legal guidance on whether consent is still required varies by jurisdiction.