Conformité RGPD : ce que GA4 peut et ne peut pas faire
La question de savoir si Google Analytics est conforme au RGPD n'a pas de réponse simple. La réalité est plus nuancée, et la comprendre est essentielle si vous gérez un site ciblant des visiteurs européens.
L'installation par défaut n'est pas conforme au RGPD
Par défaut, GA4 envoie des données utilisateur, notamment des adresses IP et des comportements de navigation, aux serveurs de Google aux États-Unis. Depuis l'arrêt Schrems II en 2020, ces transferts sans garanties adéquates sont considérés comme illégaux en vertu du RGPD.
Entre 2022 et 2024, les autorités de protection des données de France (CNIL), d'Autriche, d'Italie, des Pays-Bas, du Danemark, de Suède et de Norvège ont toutes rendu des décisions concluant que l'utilisation standard de Google Analytics violait le RGPD. Plusieurs entreprises françaises ont reçu des mises en demeure formelles.
GA4 peut être rendu conforme, mais cela demande un vrai effort
Suite à l'adoption du Cadre de protection des données UE-États-Unis en juillet 2023, la base juridique des transferts transatlantiques de données a été partiellement rétablie. GA4 peut désormais être utilisé en conformité avec le RGPD, mais uniquement si toutes les conditions suivantes sont remplies :
- Implémenter Google Consent Mode v2 (obligatoire dans l'UE/EEE depuis mars 2024)
- Obtenir un consentement opt-in explicite et spécifique avant tout déclenchement de balise GA4
- Signer un Accord de traitement des données (DPA) avec Google
- Désactiver Google Signals et les fonctionnalités de tracking inutiles
- Limiter la conservation des données au minimum disponible (2 mois)
- Publier une politique de confidentialité divulguant explicitement les transferts internationaux de données



