Google Analytics est-il illégal en France ?

Réponse courte : non. En 2026, un site français peut utiliser Google Analytics 4 légalement. Mais il ne peut pas le faire sans demander le consentement des visiteurs, et la base juridique qui couvre l'envoi des données aux États-Unis est encore contestée devant la justice européenne. Voici comment on en est arrivé là et ce que cela change pour un éditeur. C'est une information générale, pas un conseil juridique.

2022 : la CNIL juge les transferts illégaux

En juillet 2020, la Cour de justice de l'Union européenne a annulé le Privacy Shield, l'accord qui encadrait les transferts de données personnelles vers les États-Unis (arrêt Schrems II). L'association noyb a alors déposé 101 plaintes contre des sites européens qui utilisaient Google Analytics.

Le 10 février 2022, la CNIL a annoncé avoir mis en demeure un éditeur français : les données envoyées à Google aux États-Unis n'étaient pas suffisamment protégées, en violation des articles 44 et suivants du RGPD. L'éditeur avait un mois pour se mettre en conformité, et la CNIL indiquait avoir engagé d'autres procédures du même type. L'autorité autrichienne avait pris une décision semblable en janvier 2022, l'italienne en juin 2022, et l'autorité suédoise a infligé des amendes en juillet 2023.

Pour les sites qui voulaient garder l'outil, la CNIL a décrit en 2022 une solution : un serveur mandataire (proxy) qui coupe tout contact direct entre le visiteur et Google. C'est une configuration lourde, que peu de sites ont mise en place.

2023 : le Data Privacy Framework

Le 10 juillet 2023, la Commission européenne a adopté une décision d'adéquation pour le cadre de protection des données UE-États-Unis (Data Privacy Framework). Google LLC est certifiée dans ce cadre, ce qui rend de nouveau licites les transferts vers Google.

Ce cadre reste fragile. Philippe Latombe, député et membre de la CNIL, l'a attaqué à titre personnel (affaire T-553/23). Le Tribunal de l'Union européenne a rejeté son recours en septembre 2025, et l'affaire est désormais en appel devant la Cour de justice. Les deux accords précédents ont été annulés en 2015 et en 2020. Si celui-ci tombe à son tour, la question des transferts reviendra.

Ce qui ne change pas : le consentement

Les transferts ne sont qu'une partie du sujet. L'article 82 de la loi Informatique et Libertés impose le consentement avant de déposer ou de lire des traceurs sur le terminal d'un visiteur, sauf exceptions. GA4 dépose les cookies _ga et _ga_<id>, conservés jusqu'à deux ans.

La CNIL prévoit une exemption pour la mesure d'audience, à des conditions strictes : finalité limitée à la mesure pour le compte de l'éditeur, statistiques anonymes, aucun suivi d'un site à l'autre, aucune réutilisation par le fournisseur. Google Analytics n'a jamais figuré parmi les outils que la CNIL considérait comme pouvant en bénéficier, et ses fonctions publicitaires (liaison avec Google Ads, signaux Google) relèvent du marketing dans la grille d'auto-évaluation publiée en juillet 2025. En pratique : GA4 ne se charge qu'après un clic sur « Accepter ».

Le mode de consentement de Google (Consent Mode v2), exigé depuis mars 2024 pour les fonctions publicitaires dans l'Espace économique européen, ne change pas cette règle. En mode avancé, il envoie des signaux sans cookies avant le choix du visiteur, puis GA4 modélise les données manquantes. Ces signaux lisent eux aussi des informations sur le terminal, et l'article 82 ne se limite pas aux cookies. Nous détaillons ce que valent les chiffres modélisés dans Mode de consentement GA4 et données modélisées.

La CNIL contrôle les cookies

Ces dernières années, les sanctions de la CNIL portent surtout sur les cookies déposés sans consentement valable. Google a été sanctionné de 100 millions d'euros en 2020, de 150 millions annoncés en janvier 2022, puis de 325 millions en septembre 2025 ; Shein de 150 millions le même jour. Ces décisions ne visent pas l'usage de Google Analytics sur un site, mais elles montrent que le bandeau et le respect du refus sont vérifiés.

Ce que cela veut dire pour votre site

• Vous gardez GA4. Il reste derrière le bandeau, ne mesure que les visiteurs qui acceptent, et votre politique de confidentialité mentionne le transfert vers Google. Suivez l'appel dans l'affaire Latombe.
• Vous passez à un outil configuré pour l'exemption. Il compte tous les visiteurs, y compris ceux qui refusent le bandeau, à condition de respecter les critères de la CNIL. Matomo le permet avec sa configuration CNIL (voir Matomo et l'exemption CNIL), Statsdot avec son mode exemption CNIL, et notre auto-évaluation détaille chaque critère.
• Vous faites les deux. Beaucoup de sites gardent GA4 ou Google Ads derrière le bandeau pour la publicité, et un outil exempté pour la fréquentation. Le bandeau reste alors nécessaire, mais vos chiffres de visites ne dépendent plus des refus.

Pour voir ce que votre site charge aujourd'hui, passez sa page d'accueil dans notre vérification gratuite. Le contexte européen est résumé dans Google Analytics et le RGPD en 2026.