Google Analytics n’est ni conforme ni non conforme dans l’absolu. La conformité dépend de votre finalité, de votre base légale, de la configuration, des données envoyées, de l’information fournie et des transferts associés. Installer GA4 puis activer une bannière ne suffit pas. La bonne question est : pouvons-nous expliquer et prouver le fonctionnement réel de notre dispositif ?
Google Analytics est-il conforme au RGPD : limites de la configuration
GA4 offre des réglages de conservation, des contrôles publicitaires et un mode consentement. Ils ne remplacent ni l’analyse juridique propre à votre organisme ni l’inventaire des données. Commencez par le pilier Qualité des données et RGPD : finalité, périmètre et limites doivent être écrits avant le marquage.
| Couche | Question de contrôle | Preuve attendue |
|---|---|---|
| Finalité | Pourquoi cette mesure est-elle nécessaire ? | Registre et décision datée |
| Collecte | Quels paramètres quittent la page ? | Recette réseau et plan de taggage |
| Consentement | Que se passe-t-il avant le choix ? | Tests accepter/refuser |
| Conservation | Combien de temps restent-elles utiles ? | Réglages et procédure |
| Transfert | Quels acteurs interviennent ? | Contrats et analyse à jour |
Consent Mode et conformité RGPD de Google Analytics
Le mode consentement transmet aux balises un état comme analytics_storage accordé ou refusé. Il n’affiche pas votre choix, n’écrit pas votre politique et ne garantit pas que toutes les autres balises respectent le signal. Selon la configuration et l’éligibilité, Google peut produire des données modélisées. Il faut distinguer les observations des estimations et indiquer cette limite dans les tableaux.
Protocole de conformité Google Analytics et RGPD
- Effacer cookies et stockage, puis ouvrir une session neuve.
- Avant tout choix, inspecter les requêtes et les cookies créés.
- Refuser : vérifier chaque balise, pas seulement GA4.
- Accepter : contrôler événements et paramètres autorisés.
- Retirer le consentement et observer l’effet réel.
- Répéter sur mobile, formulaires, tunnel et sous-domaines.
- Archiver captures, date, version et responsable.
Les données à ne jamais laisser passer
Un champ de formulaire, une adresse électronique, un numéro de téléphone ou une URL contenant des informations personnelles ne doit pas se retrouver dans les paramètres analytiques. Le risque vient souvent d’une variable trop large ou d’un dataLayer copié sans revue. Le pilier Tracking et Tag Manager montre comment réduire et nommer les données avant leur envoi.
Faut-il abandonner GA4 ?
Parfois, une solution moins riche, auto-hébergée ou fondée sur des journaux répond mieux au besoin. Parfois, GA4 reste justifié avec un périmètre réduit et une gouvernance solide. Comparez les solutions à finalité identique : collecte, hébergement, accès, durée, export et coût d’exploitation. « Sans cookie » n’est pas un certificat automatique.
Notre position opérationnelle
Traitez la conformité comme un système vivant. Une nouvelle balise, un formulaire modifié ou un changement de sous-traitant peut invalider une recette antérieure. Un audit de mesure GA4/GTM établit le comportement technique ; la validation juridique finale appartient à votre conseil ou délégué à la protection des données. Cette séparation évite les promesses faciles et produit une preuve utile.
Selon l’article 5 du RGPD, la finalité et la minimisation doivent rester explicites ; l’article 6 encadre la base juridique. Documentez aussi 2 contrôles techniques et la durée de rétention choisie, par exemple 14 mois, sans transformer ce réglage en avis juridique.
Qualité des données & RGPDComment devenir un consultant en cybersécurité ?Selon l’article 5 du RGPD, la finalité et la minimisation doivent rester explicites ; l’article 6 encadre la base juridique. Documentez aussi les contrôles techniques, un délai de traitement de 30 jours et la durée de rétention choisie, par exemple 14 mois, sans transformer ce réglage en avis juridique.
