Google Analytics est-il conforme au RGPD ?

Google Analytics 4 peut être utilisé légalement dans l'UE, mais il s'accompagne d'obligations que les outils sans cookies évitent. Cette page résume la situation en octobre 2026. C'est une information générale, pas un conseil juridique.

Le consentement est obligatoire

GA4 dépose des cookies (_ga et _ga_<id>, conservés jusqu'à deux ans) pour reconnaître les visiteurs qui reviennent. Selon les règles de l'UE, cela exige le consentement préalable du visiteur, et les règles de Google sur le consentement des utilisateurs de l'UE imposent aux sites de l'obtenir. En pratique : un bandeau cookies, et GA4 ne se charge qu'après l'accord du visiteur.

Transferts vers les États-Unis

Google LLC est une entreprise américaine. Entre 2020 et 2023, plusieurs autorités de l'UE ont estimé que l'utilisation de Google Analytics enfreignait le RGPD, car les données arrivaient aux États-Unis sans protection adéquate. En juillet 2023, l'UE a adopté le Data Privacy Framework UE-États-Unis, et Google est certifié dans ce cadre, ce qui rend de nouveau le transfert licite.

Le cadre n'est pas définitivement établi. Un recours contre lui (affaire T-553/23, Latombe) a été rejeté par le Tribunal de l'Union européenne en septembre 2025 et fait maintenant l'objet d'un pourvoi devant la Cour de justice. Si le cadre tombe, comme ses prédécesseurs en 2015 et en 2020, la question se pose de nouveau.

Conservation des données

GA4 conserve les données au niveau des événements pendant 2 ou 14 mois, selon votre réglage. Les rapports standard agrégés ne sont pas concernés.

Ce que cela signifie pour vous

• Gardez GA4 derrière le consentement et acceptez que les visiteurs qui refusent soient absents de vos rapports.
• Documentez le transfert vers Google dans votre politique de confidentialité et votre registre des traitements.
• Suivez l'appel dans l'affaire Latombe.

Ou utilisez une mesure d'audience qui ne dépose aucun cookie, ne conserve aucune donnée personnelle et stocke tout dans l'UE : rien de ce qui précède ne s'applique alors. C'est ce que fait Statsdot ; voir Statsdot vs Google Analytics.