Le tag Google Analytics a été posé par l'agence en 2019, le jour de la mise en ligne. Personne ne l'a touché depuis. Le tableau de bord existe, mais le dernier à l'avoir ouvert a quitté l'entreprise. Pourtant, à chaque visite, le script se charge, dépose son identifiant et envoie les données de navigation vers les serveurs de l'outil. Ce scénario est celui d'une bonne partie des sites de PME françaises. Il pose deux questions distinctes que cet article démêle : où partent les données, et le visiteur a-t-il donné son accord avant le dépôt du traceur ? Les solutions viennent en premier, parce qu'elles sont plus utiles que les rappels de sanction.
Avertissement : cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Les textes cités sont ceux en vigueur à la date de rédaction ; pour une situation particulière, consultez un professionnel du droit.
Ouvrez votre site avec les outils de développement du navigateur (onglet « Réseau ») et répondez à ces trois questions.
Si le script attend le consentement, si le fondement du transfert est documenté et si les statistiques servent, le reste de l'article confirme ce que vous avez déjà en place. Sinon, il vous indique par où commencer.
Le 10 février 2022, la CNIL a annoncé avoir mis en demeure un gestionnaire de site web au sujet de l'utilisation de Google Analytics et des transferts de données vers les États-Unis. D'autres mises en demeure ont suivi, en coopération avec ses homologues européens. Le motif : les données de navigation partaient vers les États-Unis sans encadrement suffisant pour les droits des personnes. La CNIL le rappelle dans son rapport annuel 2022 et dans son bilan 2022 de son action répressive. Les organismes concernés ne sont pas nommés ici : ce qui compte pour votre site, c'est le raisonnement.
En juin 2022, la CNIL a publié des questions-réponses sur ces mises en demeure, annoncées dans sa lettre d'information de juin 2022. Leur contenu technique vit aujourd'hui sur la page « Mesure d'audience et transferts de données ». Deux points à retenir :
Le chapitre V du RGPD encadre les transferts de données personnelles vers des pays tiers. Son article 44 pose le principe : un transfert n'a lieu que si les conditions du chapitre sont respectées. L'article 45 permet le transfert vers un pays couvert par une décision d'adéquation de la Commission européenne. À défaut, l'article 46 exige des outils d'encadrement, dont les clauses contractuelles types.
Le 16 juillet 2020, la Cour de justice de l'Union européenne a rendu son arrêt dans l'affaire C-311/18. Elle a invalidé la décision d'adéquation 2016/1250 (le « Privacy Shield ») qui couvrait les transferts vers les États-Unis, tout en jugeant que la décision 2010/87 sur les clauses contractuelles types restait valide. À partir de cette date, un site français qui envoyait les données de ses visiteurs vers un prestataire américain ne pouvait plus s'appuyer sur une décision d'adéquation. C'est la situation de Google Analytics tel qu'installé par défaut, et c'est ce que la CNIL a constaté en 2022.
Le 10 juillet 2023, la Commission européenne a adopté la décision d'exécution (UE) 2023/1795 relative au cadre de protection des données UE–États-Unis (« Data Privacy Framework », DPF). Elle constate que les États-Unis assurent un niveau de protection adéquat pour les données transférées vers les organismes américains qui adhèrent aux principes du cadre et figurent sur la liste tenue par le ministère américain du Commerce (actualité CNIL du 10 juillet 2023).
| Question | Réglée par la décision de 2023 ? | Ce qu'il reste à faire |
|---|---|---|
| Transfert vers un organisme américain inscrit sur la liste du DPF | Oui, sur le fondement de l'article 45 du RGPD | Vérifier que le prestataire figure sur la liste et dater cette vérification (questions-réponses CNIL) |
| Transfert vers un organisme américain absent de la liste | Non | Outils de l'article 46 du RGPD, clauses contractuelles types par exemple |
| Dépôt du traceur sur le terminal du visiteur | Non, question distincte | Consentement préalable, ou conditions de l'exemption (article 82 de la loi Informatique et Libertés) |
| Information des visiteurs | Non | Outil, finalité, durée et transfert éventuel dans la politique de confidentialité (article 13 du RGPD) |
La troisième ligne est la plus souvent mal comprise. La décision de 2023 porte sur le lieu où les données arrivent. Elle ne dit rien sur le moment où le traceur est déposé. Cette seconde question relève de l'article 82 de la loi Informatique et Libertés et des lignes directrices de la CNIL du 17 septembre 2020 (délibération n° 2020-091), et elle n'a pas bougé. Le comportement du bandeau est traité dans l'article sur le bouton « Tout refuser » ; le fondement de transfert de vos autres prestataires dans l'article sur les transferts hors UE.
L'article 82 demande que l'utilisateur soit informé et ait exprimé son consentement avant tout accès à son terminal, sauf si l'opération a pour finalité exclusive de permettre la communication électronique ou si elle est strictement nécessaire au service demandé. L'article 5 de la délibération n° 2020-091 précise à quelles conditions un traceur de mesure d'audience relève de cette seconde exception ; la CNIL les reprend sur sa page « Solutions pour les outils de mesure d'audience ». Le traceur doit :
La même page recommande d'informer les personnes dans la politique de confidentialité, de limiter la durée de vie du traceur à 13 mois sans prolongation automatique et la conservation des données à 25 mois. Un outil qui envoie des données à un prestataire pour ses propres besoins, ou qui relie le visiteur à d'autres sites, sort de l'exemption, quel que soit son nom.
(a) Un outil configuré pour respecter les conditions de l'exemption. Trois catégories : les outils auto-hébergés sur votre serveur (Matomo en est un exemple), les outils hébergés par un prestataire établi dans l'Union européenne (Plausible ou Piwik PRO, par exemple), et les statistiques tirées des journaux du serveur par l'hébergeur. Ces noms illustrent des catégories, sans jugement sur leur situation : c'est la configuration retenue qui compte, pas la marque. La plupart proposent un mode « exemption » qui désactive recoupement et suivi inter-sites ; il se vérifie réglage par réglage et se documente.
(b) Conserver Google Analytics avec consentement préalable et analyse du transfert. Le script ne se charge qu'après « Tout accepter », avec un « Tout refuser » aussi accessible. Le transfert est documenté : présence du prestataire sur la liste du DPF à une date notée, mention dans la politique de confidentialité et dans le registre des traitements. Le prix : une statistique partielle, car les visiteurs qui refusent disparaissent.
(c) Un serveur mandataire (proxy). La CNIL décrit sur sa page « Mesure d'audience et transferts de données » les mesures que le mandataire met en œuvre : aucune adresse IP transmise, identifiant utilisateur remplacé avec une composante temporelle variable, suppression du site référent externe et des paramètres d'URL (UTM, routage interne), retraitement des informations d'empreinte du navigateur, aucun identifiant inter-sites ou déterministe, suppression de toute donnée permettant une réidentification, et hébergement excluant tout transfert vers un pays sans protection équivalente. C'est un chantier d'ingénierie, rarement justifié pour une PME.
(d) Se demander si la mesure d'audience est nécessaire. Si personne ne lit les tableaux de bord, retirer le tag supprime le traceur, le transfert, la ligne du registre et le paragraphe de la politique de confidentialité. Les journaux du serveur suffisent souvent.
| Option | Consentement ? | Transfert hors UE ? | Effort | Pour qui |
|---|---|---|---|---|
| (a) Outil configuré selon l'exemption (délibération n° 2020-091, art. 5) | Non, si toutes les conditions sont réunies | Non, si hébergé dans l'UE | Faible à moyen | La majorité des sites vitrines et boutiques |
| (b) Google Analytics avec consentement (art. 82 LIL) et analyse DPF (décision (UE) 2023/1795) | Oui | Oui, à documenter | Moyen | Sites qui dépendent des fonctions publicitaires de l'outil |
| (c) Proxy selon les mesures décrites par la CNIL | Selon la configuration finale | Données pseudonymisées seulement | Élevé | Équipes techniques avec un besoin précis |
| (d) Retrait de l'outil | Non | Non | Minimal | Sites dont personne ne lit les statistiques |
Sous WordPress, l'extension de mesure d'audience et le gestionnaire de consentement se règlent dans l'administration ; le guide WordPress et CNIL 2026 décrit l'ordre des opérations.
La vérification gratuite Sitetals examine votre page d'accueil et signale, entre autres, l'absence d'une page de mentions légales ou de politique de confidentialité accessible, ainsi que les services tiers chargés par votre site. C'est un point de départ pour la relecture décrite ci-dessus, pas un substitut à celle-ci.
À lire également :
Sources : Règlement (UE) 2016/679, articles 13, 44, 45 et 46 · Loi n° 78-17 du 6 janvier 1978, article 82 · Délibération CNIL n° 2020-091 du 17 septembre 2020, article 5 · CJUE, arrêt du 16 juillet 2020, affaire C-311/18 · Décision d'exécution (UE) 2023/1795 du 10 juillet 2023 · CNIL, rapport annuel 2022 · CNIL, « Mesure d'audience et transferts de données » · CNIL, « Solutions pour les outils de mesure d'audience » · CNIL, « Adéquation des États-Unis : les premières questions-réponses » · Méthodologie Sitetals.
Rédaction Sitetals