O Google Analytics é ilegal em França?

Resposta curta: não. Em 2026, um site francês pode usar o Google Analytics 4 legalmente. Mas não o pode fazer sem pedir o consentimento dos visitantes, e a base jurídica que cobre o envio dos dados para os Estados Unidos continua contestada nos tribunais europeus. Eis como se chegou aqui e o que isso significa para quem gere um site. É informação geral, não aconselhamento jurídico.

2022: a CNIL considera ilegais as transferências

Em julho de 2020, o Tribunal de Justiça da UE anulou o Privacy Shield, o acordo que cobria as transferências de dados pessoais para os Estados Unidos (acórdão Schrems II). A associação noyb apresentou então 101 queixas contra sites europeus que usavam o Google Analytics.

A 10 de fevereiro de 2022, a CNIL anunciou que tinha notificado um site francês para se pôr em conformidade: os dados enviados à Google nos Estados Unidos não estavam suficientemente protegidos, em violação dos artigos 44.º e seguintes do RGPD. O site tinha um mês, e a CNIL indicou ter aberto outros processos do mesmo tipo. A autoridade austríaca tinha tomado uma decisão semelhante em janeiro de 2022, a italiana em junho de 2022, e a sueca aplicou coimas em julho de 2023.

Para os sites que queriam manter a ferramenta, a CNIL descreveu em 2022 uma solução: um servidor proxy que corta qualquer contacto direto entre o visitante e a Google. É uma configuração pesada, e poucos sites a montaram.

2023: o Data Privacy Framework

A 10 de julho de 2023, a Comissão Europeia adotou uma decisão de adequação para o Quadro de Privacidade de Dados UE-EUA (Data Privacy Framework). A Google LLC está certificada nesse quadro, o que torna de novo lícitas as transferências para a Google.

O quadro é frágil. Philippe Latombe, deputado francês e membro do colégio da CNIL, impugnou-o a título pessoal (processo T-553/23). O Tribunal Geral da UE rejeitou o recurso em setembro de 2025, e o processo está agora em recurso no Tribunal de Justiça. Os dois acordos anteriores foram anulados em 2015 e 2020. Se este também cair, a questão das transferências volta.

O que não muda: o consentimento

As transferências são apenas uma parte. O artigo 82.º da lei francesa de proteção de dados exige consentimento antes de guardar ou ler rastreadores no dispositivo de um visitante, salvo exceções. O GA4 define os cookies _ga e _ga_<id>, que duram até dois anos.

A CNIL prevê uma isenção para a medição de audiência em condições estritas: medição apenas para o titular do site, estatísticas anónimas, nenhum seguimento entre sites, nenhuma reutilização pelo fornecedor. O Google Analytics nunca esteve entre as ferramentas que a CNIL considerava elegíveis, e as suas funcionalidades publicitárias (ligação ao Google Ads, Google Signals) contam como marketing na autoavaliação que a CNIL publicou em julho de 2025. Na prática, o GA4 só carrega depois de um clique em "Aceitar".

O modo de consentimento da Google (Consent Mode v2), obrigatório desde março de 2024 para as funcionalidades publicitárias no Espaço Económico Europeu, não muda esta regra. No modo avançado envia sinais sem cookies antes de o visitante escolher, e o GA4 modela depois os dados em falta. Esses sinais também leem informação do dispositivo, e o artigo 82.º não se limita aos cookies. O que valem os números modelados está em Modo de consentimento do GA4 e dados modelados.

A CNIL verifica os cookies

Nos últimos anos, as coimas da CNIL foram sobretudo por cookies sem consentimento válido. A Google recebeu 100 milhões de euros em 2020, 150 milhões anunciados em janeiro de 2022 e 325 milhões em setembro de 2025; a Shein 150 milhões no mesmo dia. Estas decisões não tratam do uso do Google Analytics num site, mas mostram que o aviso de cookies e o respeito pela recusa são verificados.

O que significa para o seu site

• Mantém o GA4. Fica atrás do aviso, só mede quem aceita, e a sua política de privacidade menciona a transferência para a Google. Acompanhe o recurso no processo Latombe.
• Muda para uma ferramenta configurada para a isenção. Conta todos os visitantes, incluindo quem recusa o aviso, desde que cumpra os critérios da CNIL. O Matomo permite-o com a sua configuração CNIL (ver O Matomo e a isenção da CNIL), o Statsdot com o seu modo de isenção CNIL, e a nossa autoavaliação percorre cada critério.
• Faz as duas coisas. Muitos sites mantêm o GA4 ou o Google Ads atrás do aviso para a publicidade, e uma ferramenta isenta para o tráfego. O aviso continua, mas os números de visitas deixam de depender das recusas.

Para ver o que o seu site carrega hoje, passe a página inicial pela nossa verificação gratuita. O contexto europeu está resumido em O Google Analytics e o RGPD em 2026.