Google Analytics è illegale in Francia?

Risposta breve: no. Nel 2026 un sito francese può usare Google Analytics 4 legalmente. Non può farlo però senza chiedere il consenso dei visitatori, e la base giuridica che copre l'invio dei dati negli Stati Uniti è ancora contestata davanti ai giudici europei. Ecco come si è arrivati a questo punto e cosa significa per chi gestisce un sito. È un'informazione generale, non una consulenza legale.

2022: la CNIL giudica illeciti i trasferimenti

A luglio 2020 la Corte di giustizia dell'UE ha annullato il Privacy Shield, l'accordo che copriva i trasferimenti di dati personali verso gli Stati Uniti (sentenza Schrems II). L'associazione noyb ha poi presentato 101 reclami contro siti europei che usavano Google Analytics.

Il 10 febbraio 2022 la CNIL ha annunciato di aver ingiunto a un sito francese di mettersi in regola: i dati inviati a Google negli Stati Uniti non erano protetti a sufficienza, in violazione degli articoli 44 e seguenti del GDPR. Il sito aveva un mese, e la CNIL ha indicato di aver avviato altre procedure dello stesso tipo. L'autorità austriaca aveva preso una decisione simile a gennaio 2022, il Garante italiano a giugno 2022, e l'autorità svedese ha inflitto sanzioni a luglio 2023.

Per i siti che volevano tenere lo strumento, nel 2022 la CNIL ha descritto una soluzione: un server proxy che interrompe ogni contatto diretto tra il visitatore e Google. È una configurazione pesante, e pochi siti l'hanno realizzata.

2023: il Data Privacy Framework

Il 10 luglio 2023 la Commissione europea ha adottato una decisione di adeguatezza per il quadro UE-USA sulla protezione dei dati (Data Privacy Framework). Google LLC è certificata nel quadro, il che rende di nuovo leciti i trasferimenti verso Google.

Il quadro è fragile. Philippe Latombe, deputato francese e membro del collegio della CNIL, lo ha impugnato a titolo personale (causa T-553/23). Il Tribunale dell'UE ha respinto il ricorso a settembre 2025, e la causa è ora in appello davanti alla Corte di giustizia. I due accordi precedenti sono stati annullati nel 2015 e nel 2020. Se cade anche questo, la questione dei trasferimenti tornerà.

Cosa non cambia: il consenso

I trasferimenti sono solo una parte. L'articolo 82 della legge francese sulla protezione dei dati richiede il consenso prima di salvare o leggere tracker sul dispositivo di un visitatore, salvo eccezioni. GA4 imposta i cookie _ga e _ga_<id>, che durano fino a due anni.

La CNIL prevede un'esenzione per la misurazione del pubblico a condizioni rigide: misurazione solo per il titolare del sito, statistiche anonime, nessun tracciamento tra siti, nessun riutilizzo da parte del fornitore. Google Analytics non è mai stato tra gli strumenti che la CNIL riteneva idonei, e le sue funzioni pubblicitarie (collegamento a Google Ads, Google Signals) contano come marketing nell'autovalutazione pubblicata dalla CNIL a luglio 2025. In pratica GA4 si carica solo dopo un clic su "Accetta".

La modalità di consenso di Google (Consent Mode v2), obbligatoria da marzo 2024 per le funzioni pubblicitarie nello Spazio economico europeo, non cambia questa regola. In modalità avanzata invia segnali senza cookie prima che il visitatore scelga, e GA4 poi modella i dati mancanti. Anche questi segnali leggono informazioni dal dispositivo, e l'articolo 82 non si limita ai cookie. Cosa valgono i numeri modellati è spiegato in Modalità di consenso GA4 e dati modellati.

La CNIL controlla i cookie

Negli ultimi anni le sanzioni della CNIL hanno riguardato soprattutto cookie senza un consenso valido. Google ha ricevuto 100 milioni di euro nel 2020, 150 milioni annunciati a gennaio 2022 e 325 milioni a settembre 2025; Shein 150 milioni lo stesso giorno. Queste decisioni non riguardano l'uso di Google Analytics su un sito, ma mostrano che il banner e il rispetto del rifiuto vengono controllati.

Cosa significa per il tuo sito

• Tieni GA4. Resta dietro il banner, misura solo chi accetta, e la tua informativa sulla privacy cita il trasferimento a Google. Segui l'appello nella causa Latombe.
• Passi a uno strumento configurato per l'esenzione. Conta tutti i visitatori, anche chi rifiuta il banner, purché rispetti i criteri della CNIL. Matomo lo consente con la sua configurazione CNIL (vedi Matomo e l'esenzione CNIL), Statsdot con la sua modalità esenzione CNIL, e la nostra autovalutazione esamina ogni criterio.
• Fai entrambe le cose. Molti siti tengono GA4 o Google Ads dietro il banner per la pubblicità e uno strumento esente per il traffico. Il banner resta, ma i numeri delle visite non dipendono più dai rifiuti.

Per vedere cosa carica oggi il tuo sito, passa la home page nella nostra verifica gratuita. Il quadro europeo è riassunto in Google Analytics e il GDPR nel 2026.