Problématique·Transfert hors UE détecté
Mécanisme légal: Data Privacy Framework (DPF, signé juillet 2023) + Clauses Contractuelles Types (SCC)
Cookies déposés par cet outil
Liste détectée lors d'un usage standard. À déclarer dans votre politique cookies.
| Nom | Type | Finalité | Durée |
|---|---|---|---|
| _ga | premier | Identification utilisateur unique | 2 ans |
| _ga_* | premier | Persistance d'état session GA4 | 2 ans |
| _gid | premier | Identification session 24h (UA) | 24h |
| _gat | premier | Throttling requêtes (UA) | 1 minute |
Trackers associés:www.googletagmanager.comwww.google-analytics.comstats.g.doubleclick.netregion1.google-analytics.com
Risques RGPD à connaître
- Décision CNIL février 2022 déclarant l'usage non-conforme — possibilité de sanctions individuelles
- Avenir du DPF incertain — recours pendant devant la CJUE
- Dépôt cookies analytiques avant consentement = sanction quasi-systématique CNIL (amende 100k€ Cdiscount, 250k€ Google Ireland 2024)
- Croisement de données entre GA, Ads et autres services Google = traitement difficilement encadrable
- Évolution constante (GA4, sunset Universal Analytics 2024) requiert reconfiguration RGPD régulière
Configurer Google Analytics de manière conforme
Si vous décidez de conserver GA4 malgré les risques :
1. **Bloquer le script GA avant consentement** : utiliser une CMP conforme (Axeptio, Didomi, Cookiebot, RGPDScan banner) qui bloque le tag GA jusqu'au clic Accepter.
2. **Activer l'anonymisation IP** : dans la configuration GA4, activer le redirection vers serveurs EU + anonymisation. Note : GA4 anonymise IP par défaut, mais d'autres données restent transférables.
3. **Signer le DPA Google** : dans l'admin GA, accepter les Conditions de traitement des données. Conserver une copie.
4. **Mettre à jour la politique de confidentialité** : mentionner explicitement Google Analytics, le DPF, les durées de conservation, le droit d'opposition.
5. **Informer dans la bannière cookies** : option Personnaliser permettant de refuser GA spécifiquement.
6. **Auditer régulièrement** : vérifier qu'aucun cookie GA n'est déposé avant consentement (outil type RGPDScan). Sanctions possibles si défaillance.
7. **Préparer une migration** : la CNIL a publié son intention de durcir les contrôles. Plausible ou Matomo méritent un benchmark.
Alternatives RGPD-friendly à Google Analytics
Solutions hébergées en UE ou avec un cadre légal solide.
Plausible Analytics
Estonie/France100% RGPD-friendly, pas de cookies, données EU, open-source, conforme sans consentement. Tarifs : 9-69 €/mois.
Matomo
FranceOpen-source self-hosted possible (zéro tiers), ou cloud EU. Mode cookieless disponible. Conforme CNIL.
Fathom Analytics
CanadaPrivacy-by-design, pas de cookies, isolation client, transfert UE-Canada via décision d'adéquation.
Cet outil est-il actif sur votre site ?
RGPDScan détecte automatiquement les 400+ outils SaaS sur votre site et vous alerte sur les risques RGPD associés.
Scanner mon site gratuitementQuestions fréquentes
Puis-je utiliser Google Analytics en France en 2026 ?
Oui sous conditions strictes (consentement, anonymisation, DPF, DPA, information). La CNIL recommande toutefois de migrer vers une alternative européenne (Plausible, Matomo).
Le DPF Google sécurise-t-il définitivement les transferts ?
Pas définitivement. Le DPF (signé juillet 2023) est attaqué devant la CJUE par les associations de privacy (NOYB, Max Schrems). Une invalidation Schrems III reste possible mi-2026.
Combien risque mon site avec GA sans consentement ?
Mise en demeure CNIL puis sanction de 20 000 € à 4 % CA mondial. Cdiscount 100k€, Google Ireland 250k€ en 2024. PME : moyenne 30-150k€.
Quelle est la meilleure alternative gratuite à GA ?
Plausible (9 €/mois, free trial), Matomo Cloud (24 €/mois ou self-hosted gratuit), Umami (open-source gratuit self-hosted). Toutes 100% RGPD-friendly.
GA4 est-il plus conforme que Universal Analytics ?
Non, GA4 hérite des mêmes problèmes RGPD que UA (transferts US). Légèrement meilleur sur anonymisation IP par défaut, mais structure inchangée.
Comment migrer GA vers Plausible sans perdre l'historique ?
Exporter données GA via API ou Looker Studio, importer dans Plausible. Période de double-tracking de 2-3 mois recommandée pour cohérence. Pas de migration automatique.