Google Analytics 4 dépose des cookies ou lit des identifiants sur l'appareil et transmet des données d'usage à Google (États-Unis). Ce n'est pas un procédé techniquement nécessaire.
Concrètement, cela signifie : la balise Google Analytics ne peut s'exécuter qu'après que les visiteurs ont activement consenti. Un bandeau qui n'est qu'affiché pendant que GA se charge déjà en arrière-plan ne remplit pas l'exigence de l'art. 25 al. 1 TDDDG — l'essentiel est qu'avant le consentement aucun script de googletagmanager.com ou google-analytics.com ne soit chargé et qu'aucun identifiant ne soit posé.
Même avec un consentement fonctionnel, le transfert vers les États-Unis reste un point de contrôle distinct : depuis le EU-US Data Privacy Framework (décision d'adéquation du 10 juillet 2023), le transfert vers Google LLC est en principe sécurisé tant que Google est certifié sous le framework. La politique de confidentialité doit malgré tout nommer le destinataire, la finalité, la base légale (consentement), la durée de conservation et la base du transfert.
Qui utilise Google Consent Mode v2 devrait connaître la différence entre « basic » et « advanced » : en mode advanced, GA envoie des pings anonymes et sans cookie avant même le consentement. La compatibilité avec l'art. 25 TDDDG est appréciée différemment parmi les spécialistes de la protection des données — le mode basic (aucune communication avant le consentement) est le choix le plus prudent.
Deux réglages de GA4 sont particulièrement pertinents pour la protection des données et sont mal positionnés par défaut : « Signaux Google » (Administration → Paramètres des données → Collecte de données) associe le comportement aux comptes Google connectés pour le suivi multi-appareils et les audiences publicitaires — pour une simple mesure d'audience, il devrait rester désactivé. Et la « Conservation des données d'événements » (Paramètres des données → Conservation des données) est réglée sur 2 mois comme valeur économe ; 14 mois sont le maximum et ne se justifient qu'avec un motif documenté. L'option « Réinitialiser à chaque nouvelle activité » prolonge de fait la conservation indéfiniment et devrait être désactivée.
Le tagging côté serveur (GA4 via son propre conteneur serveur Google Tag Manager) n'est pas un moyen de contourner le consentement. Le hit de mesure est certes envoyé via son propre domaine, mais le Client ID est toujours posé ou lu dans le navigateur, et les données arrivent finalement quand même chez Google. L'intérêt réside dans une meilleure qualité des données et un meilleur contrôle sur ce qui est transmis — le conteneur serveur doit appliquer la vérification du consentement tout comme la balise côté client.
L'accès à l'appareil à des fins d'analyse n'est autorisé selon § 25 al. 1 TDDDG qu'avec consentement préalable ; le traitement qui suit s'appuie sur l'art. 6 al. 1 pt a RGPD. Sans consentement fonctionnel (l'outil se charge malgré le refus, ou pas de bannière), il n'y a pas de base légale. Les autorités de contrôle ont contesté à plusieurs reprises des intégrations d'Analytics sans consentement.
L'analyse gratuite vérifie le HTML livré et montre quels services sont intégrés, si une bannière cookies est détectée et si les liens vers la confidentialité et les mentions légales sont présents — avec un éclairage pour chaque constat. Elle ne remplace pas un conseil juridique.
Ce texte est une information générale au mieux de nos connaissances, pas un conseil juridique. Pour un cas particulier, consultez un cabinet spécialisé en droit des nouvelles technologies.