2026-08-04

Google Analytics et RGPD : est-ce illégal en Europe ?

Vous avez lu le titre en 2022. L'Autriche juge Google Analytics illicite. Puis la France. Puis l'Italie.

Vous tenez une boutique en ligne. Vous n'êtes pas juriste. Vous avez un code de mesure sur chaque page et une autorité de contrôle qui peut sanctionner.

Alors vous avez fait comme presque tout le monde. Vous avez attendu de voir.

Ensuite rien de visible ne s'est produit et la question est descendue en silence au bas de votre liste. Elle y est toujours. Et elle a toujours une vraie réponse.

Voici la version honnête, sans titres alarmistes et sans discours d'éditeur. Ce qui s'est réellement passé, ce qui a changé depuis et les deux questions qui déterminent si vous avez un problème.

Une remarque avant de commencer : ceci n'est pas un conseil juridique. C'est une carte des décisions, pour que vous posiez à votre propre avocat une question plus précise.

Ce qui s'est réellement passé, avec les dates

L'histoire est courte et tient en quatre moments.

Si vous préférez sauter l'historique juridique, la réponse courte est une alternative à GA4.

Juillet 2020. La Cour de justice de l'Union européenne a rendu l'arrêt connu sous le nom de Schrems II. Il a invalidé le Privacy Shield, le cadre qui rendait simples les transferts de données de l'UE vers les États-Unis. Le motif était le droit américain de la surveillance, jugé incompatible avec les protections européennes.

13 janvier 2022. L'autorité autrichienne de protection des données a tranché une affaire type portée par l'organisation noyb. Sa conclusion : un site transférant des données personnelles vers les États-Unis via Google Analytics violait le RGPD.

10 février 2022. La CNIL est parvenue à la même conclusion et a laissé un mois à l'organisme concerné pour se mettre en conformité.

Au cours de 2022. L'Italie et d'autres États membres ont suivi avec des décisions comparables. L'affaire autrichienne était l'une des 101 plaintes déposées par noyb à travers l'Europe : il s'agissait donc d'une vague coordonnée et non d'un accident local.

« Au lieu d'adapter réellement leurs services au RGPD, les entreprises américaines ont essayé d'ajouter simplement du texte à leurs politiques de confidentialité et d'ignorer la Cour de justice. »

Max Schrems, président d'honneur de noyb, 13 janvier 2022

Cela a duré environ dix-huit mois. Puis le fondement juridique s'est déplacé.

Ce qui a changé en 2023

10 juillet 2023. La Commission européenne a adopté une décision d'adéquation pour le cadre de protection des données UE-États-Unis.

En clair, une décision d'adéquation constate qu'un pays protège suffisamment les données personnelles, si bien que les transferts vers ce pays n'ont pas besoin de garanties supplémentaires. Pour les entreprises certifiées dans ce cadre, le problème précis à l'origine des décisions de 2022 a disparu.

C'est la partie que la plupart des articles de 2022 n'ont jamais mise à jour.

C'est aussi celle que les éditeurs exagèrent dans les deux sens. La décision d'adéquation n'a pas déclaré Google Analytics conforme. Elle a levé une objection, celle du transfert, pour les destinataires certifiés.

Deux points restent ouverts.

Le cadre est contesté. Les deux accords précédents, Safe Harbor et Privacy Shield, ont tous deux été annulés par la même juridiction. Des recours existent contre celui-ci. Personne ne peut vous promettre qu'il tiendra encore dans trois ans.

La question des cookies n'a jamais porté sur les transferts. Elle est distincte et rien en 2023 ne l'a touchée.

Alors, est-ce illégal aujourd'hui ?

La réponse utile n'est ni oui ni non. Elle est : sur laquelle des deux obligations êtes-vous exposé ?

Obligation une : le consentement pour le stockage sur le terminal. Elle vient des règles ePrivacy, transposées en France à l'article 82 de la loi Informatique et Libertés. Si vous déposez un cookie qui n'est pas strictement nécessaire au service, il vous faut un consentement préalable. Les statistiques ne sont pas strictement nécessaires.

Cela s'applique quelle que soit la situation des transferts. Cela s'appliquait avant 2022 et cela s'applique aujourd'hui.

Obligation deux : base légale et garanties pour les données personnelles. C'est le RGPD. L'adresse IP et l'identifiant d'appareil sont des données personnelles. Les transferts vers les États-Unis sont actuellement couverts par la décision d'adéquation, si le destinataire est certifié.

La plupart des boutiques qui ont des ennuis en ont à cause de l'obligation une, pas de la deux. Le bandeau est mal réglé, il déclenche la balise avant le consentement ou il n'offre pas de choix réel.

Toujours là ? Bien, car voici ce qu'un contrôle regarde vraiment.

Ce qu'une autorité vérifie réellement

Les autorités de contrôle sont pragmatiques. Lors d'un contrôle déclenché par une plainte, elles regardent une courte liste de points concrets.

• Le traceur se déclenche-t-il avant le consentement ? Ouvrez votre site en fenêtre privée et regardez l'onglet Réseau. Si une requête part avant tout clic, c'est le constat le plus fréquent.
• Refuser est-il aussi simple qu'accepter ? Un bouton Accepter bien visible à côté d'un lien Paramètres discret est un problème documenté dans toute l'UE.
• Votre politique de confidentialité correspond-elle à la réalité ? Si elle cite trois outils et que la page en charge cinq, l'écart se voit en trente secondes.
• Pouvez-vous prouver le consentement ? Vous devez pouvoir démontrer qu'il a été donné, donc le conserver.
• Avez-vous un contrat de sous-traitance ? Pour chaque outil qui traite des données personnelles pour votre compte.

Aucun de ces points ne demande un juriste pour être vérifié. Tous demandent que quelqu'un regarde vraiment.

Trois façons de réduire le risque, par ordre d'effet

1. Supprimer l'obligation au lieu de la gérer. Si vos statistiques ne traitent aucune donnée personnelle et ne stockent rien sur le terminal, les deux obligations tombent pour cet outil. Aucun consentement à recueillir, aucun transfert à justifier, aucune preuve à conserver.

2. Garder les données dans l'UE. Si vos statistiques tournent sur des serveurs européens chez un prestataire européen, la question du transfert ne se pose pas, quoi qu'il advienne du cadre d'adéquation.

3. Si vous gardez Google Analytics, réparez d'abord le bandeau. Bloquez la balise jusqu'au consentement, rendez le refus accessible en un clic, journalisez le consentement et mettez à jour votre politique. Cela ne supprime pas le risque, cela le gère. Et vous continuez à perdre ceux qui refusent.

Notez que les deux premières suppriment une catégorie de risque, tandis que la troisième ne fait que la réduire. Cette différence pèse plus lourd que n'importe quelle décision isolée.

Ce que coûte l'inaction

Les amendes font les titres, mais elles sont rarement la première chose qui arrive. Une plainte commence généralement par une demande d'informations et un délai.

Les vrais coûts sont plus discrets.

Vous passez des heures sur l'outil de consentement. Vous expliquez à un client ou à un partenaire pourquoi ses données partent vers une entreprise américaine. Vous portez une ligne dans le registre des risques qui ne se referme jamais. Et vous décidez sur des chiffres où manquent tous ceux qui ont dit non.

Là où StatJolt intervient

StatJolt est conçu pour que les deux obligations cessent de s'appliquer.

Il ne dépose pas de cookies et n'écrit rien sur le terminal du visiteur. Cela supprime l'exigence de consentement de l'article 82 pour les statistiques elles-mêmes.

Il ne collecte pas de données personnelles et ne construit pas de profils. Il n'y a rien pour quoi chercher une base légale.

Les serveurs sont dans l'UE, en Allemagne et en Finlande. La question du transfert ne se pose pas et ne se posera pas si le cadre d'adéquation change de nouveau.

Pour un audit, cela transforme une longue conversation en une courte. Il n'y a aucune preuve de consentement à produire pour les statistiques, puisqu'il n'y a aucun consentement à recueillir.

Si vous ne lisez qu'un encadré

Plusieurs autorités européennes ont bien jugé Google Analytics illicite en 2022, sur le terrain des transferts de données et la décision d'adéquation de 2023 a levé cette objection précise pour les destinataires certifiés. L'obligation de consentement pour les cookies n'a jamais été concernée par tout cela et c'est là que la plupart des boutiques sont réellement exposées. Si vous voulez clore la question plutôt que la gérer, utilisez des statistiques qui ne stockent rien sur le terminal et tournent dans l'UE.

Retour