Installer Google Analytics 4 en conformite RGPD (guide 2026)

Google Analytics 4 a remplace Universal Analytics, et beaucoup d'installations reprises a la va-vite sont aujourd'hui non conformes. Le sujet est sensible : la CNIL a deja sanctionne des sites pour un usage d'Analytics juge illegal au regard du RGPD. Bonne nouvelle, GA4 peut s'installer proprement et rester exploitable, a condition de respecter quelques regles precises. Voici la methode qu'on applique, du consentement au parametrage.

Pourquoi GA4 pose un probleme de conformite

Le point de friction n'est pas GA4 en soi, mais le transfert de donnees personnelles vers les serveurs de Google, dont une partie peut etre traitee hors de l'Union europeenne. Le RGPD encadre strictement ce transfert, et la CNIL considere qu'un traitement de mesure d'audience a des fins marketing releve du consentement. Autrement dit : sans accord prealable de l'internaute, aucune donnee ne doit partir vers GA4.

• L'adresse IP et les identifiants de navigation sont des donnees personnelles au sens du RGPD.
• GA4 anonymise l'IP par defaut, mais cela ne suffit pas a lui seul a rendre l'outil conforme.
• La mesure d'audience deposant des cookies necessite le consentement, sauf exemption stricte de la CNIL.

Regle n°1 : le consentement AVANT le tag

L'erreur la plus repandue consiste a charger le tag GA4 des l'arrivee sur la page, puis a afficher un bandeau cookies. C'est trop tard : les donnees sont deja parties. La bonne architecture bloque tout depot et tout envoi tant que l'internaute n'a pas donne son accord, via un bandeau de consentement (CMP) couple au Consent Mode de Google.

• Le tag GA4 ne se declenche qu'apres un accord explicite (aucune case pre-cochee).
• Refuser doit etre aussi simple qu'accepter : c'est une exigence formelle de la CNIL.
• Le Consent Mode permet a Google de modeliser une partie des donnees manquantes sans cookie, dans le respect du choix.
• Le choix de l'internaute est conserve et rejouable a chaque visite.

Regle n°2 : un parametrage propre

Une fois le consentement gere, encore faut-il que GA4 soit configure correctement pour limiter la collecte au strict necessaire et rendre la mesure fiable. C'est la partie technique, souvent negligee, qui distingue une installation exploitable d'un empilement de tags.

• Desactiver les signaux Google (Google Signals) si vous n'en maitrisez pas les implications RGPD.
• Limiter la duree de conservation des donnees au minimum utile.
• Filtrer le trafic interne et les bots pour ne pas fausser les statistiques.
• Definir des conversions et des evenements cles clairs plutot qu'une collecte tous azimuts.

Regle n°3 : documenter et informer

La conformite ne se limite pas au code. Il faut aussi une politique de confidentialite a jour qui mentionne GA4, sa finalite, la duree de conservation et les droits de l'internaute. En cas de controle, cette documentation fait la difference entre un site en regle et un site expose a une sanction.

Et si GA4 ne convient pas ? Les alternatives

Pour certains sites, notamment publics ou tres exposes, une alternative respectueuse de la vie privee peut etre preferable. Des outils de mesure d'audience sans cookie et heberges en Europe existent, et certains sont meme exemptes de consentement par la CNIL sous conditions strictes.

• Matomo (auto-heberge) offre un controle total sur les donnees, avec une configuration exemptable de consentement.
• Des solutions europeennes sans cookie (Plausible, Piano Analytics) simplifient la conformite.
• Le server-side tagging permet de garder GA4 tout en maitrisant ce qui est reellement envoye a Google.

En resume : GA4 n'est pas interdit, il est encadre. Une installation conforme repose sur trois piliers — consentement prealable, parametrage sobre, documentation a jour. Faites l'impasse sur l'un d'eux et vous exposez votre site a une sanction et a des donnees juridiquement fragiles. Faites-les bien, et vous obtenez une mesure d'audience exploitable et sereine.