GA4 et RGPD : ce que vous devez respecter pour collecter
La question n'est plus de savoir si l'outil est permis, mais dans quelles conditions vous l'employez. GA4 et le RGPD posent des obligations de collecte et d'hébergement que chaque annonceur doit examiner pour sa propre configuration, et ce cadre encadre tout notre travail d'implémentation du tracking et de conformité RGPD.
- Aucun outil n'est conforme ou non conforme en soi : la conformité tient aux données collectées, au recueil du consentement et aux garanties encadrant les transferts.
- L'interdiction des données identifiantes couvre tous les vecteurs, y compris le paramètre d'URL, le nom de page et la dimension personnalisée alimentée par un champ libre.
- La CNIL présente le serveur mandataire comme une solution opérationnelle possible, sous sept conditions techniques précises.
- GA4 ne propose que deux durées de conservation au niveau utilisateur, deux mois ou quatorze mois : la plus courte prive de toute comparaison annuelle.
- L'exemption de consentement suppose quatre conditions cumulatives posées par la CNIL, à examiner sérieusement avant de conclure quoi que ce soit.
- GA4 et RGPD : les données interdites de collecte
- La question des transferts hors Union européenne
- Durées de conservation et droits des personnes
- Les alternatives quand le cadre devient trop contraignant
- Questions fréquentes sur GA4 et le RGPD
Ce contenu cite des sources publiques et datées. Il ne remplace pas l'avis de votre conseil juridique ou de votre délégué à la protection des données, seuls compétents pour qualifier votre situation, et nos consultants en mesure de la performance travaillent systématiquement avec eux sur ces sujets.
GA4 et RGPD : les données interdites de collecte
La première règle vient de Google, indépendamment du règlement. L'éditeur interdit l'envoi de toute donnée qu'il pourrait utiliser ou reconnaître comme identifiant une personne, adresses de courriel, numéros de mobile personnels ou numéros de sécurité sociale. Sa politique de consentement européenne prévoit par ailleurs, en cas de manquement à ses règles, la limitation ou la suspension de l'usage du produit.
Cette interdiction couvre tous les vecteurs, y compris ceux auxquels personne ne pense. Un paramètre d'URL qui transporte une adresse de courriel après validation de formulaire, un nom de page qui contient un identifiant client, une dimension personnalisée alimentée par un champ libre : chaque cas produit la même exposition.
Un identifiant technique interne, dépourvu de sens hors de vos systèmes, reste utilisable pour la réconciliation. La frontière entre pseudonymisation acceptable et donnée identifiante mérite un examen au cas par cas, avec votre délégué à la protection des données.
La question des transferts hors Union européenne
Le sujet a connu plusieurs étapes publiques et il vaut mieux les citer avec leurs dates. La CNIL a publié le 15 novembre 2023 des recommandations sur la mise en conformité des outils de mesure d'audience, où elle indique qu'un serveur mandataire correctement configuré peut constituer une solution opérationnelle, sous des conditions précises : aucune transmission de l'adresse IP, remplacement de l'identifiant utilisateur par un algorithme de hachage variant dans le temps, suppression des informations de référent externe et des paramètres d'URL, traitement des données de configuration du navigateur, absence d'identifiant déterministe entre sites, et hébergement du serveur dans l'Union européenne.
Le cadre de transfert vers les États-Unis a de son côté été contesté devant la justice européenne. Le Tribunal de l'Union européenne a rejeté ce recours le 3 septembre 2025 dans l'affaire Latombe contre Commission, confirmant la validité de la décision d'adéquation et rappelant que la Commission doit surveiller en continu l'application du cadre. Un pourvoi devant la Cour de justice reste possible, et le cadre fait l'objet d'un réexamen périodique.
La question des transferts de données hors Union européenne reste donc un sujet vivant, dont l'état se vérifie à la date de votre décision. Toute affirmation définitive sur ce point, dans un sens comme dans l'autre, mérite méfiance.
Durées de conservation et droits des personnes
Le réglage de conservation se paramètre dans la propriété et il engage votre analyse. Google propose pour les données au niveau utilisateur deux valeurs seulement, deux mois ou quatorze mois, une propriété restée sur la plus courte privant vos équipes de toute comparaison annuelle.
La CNIL recommande de son côté, pour les traceurs de mesure d'audience susceptibles d'être exemptés de consentement, une durée de vie limitée et un réexamen périodique des données conservées. Ces recommandations s'articulent avec vos propres durées de conservation, documentées dans votre registre des traitements.
Les droits des personnes supposent une capacité opérationnelle. Savoir répondre à une demande de suppression implique de pouvoir identifier les données concernées dans l'outil, ce qui suppose une architecture pensée pour cela plutôt qu'improvisée le jour de la demande.
Les alternatives quand le cadre devient trop contraignant
Certaines organisations préfèrent une solution qui déplace la question. Un outil hébergé dans l'Union européenne, ou administré par vos soins, supprime le sujet du transfert et le remplace par des sujets d'infrastructure et de coût.
L'exemption de consentement constitue l'autre motivation fréquente. La CNIL pose quatre conditions cumulatives pour qu'un outil de mesure d'audience en bénéficie : une finalité strictement limitée à la mesure d'audience pour le compte exclusif de l'éditeur, des statistiques anonymes uniquement, aucun recoupement avec d'autres traitements ni transmission à des tiers, et aucun suivi global de la navigation sur différents sites, page mise à jour le 4 juillet 2025.
Le passage à une solution de mesure alternative se décide sur ces critères, avec le coût de migration en face. Notre silo dédié aux alternatives à GA4 détaille les solutions du marché et leurs conditions réelles d'exemption, sans présenter aucune d'entre elles comme conforme par nature.
Questions fréquentes sur GA4 et le RGPD
Un dispositif de mesure se conçoit avec la conformité, pas contre elle. Nos consultants travaillent avec votre délégué à la protection des données sur les choix techniques, demandez un cadrage de votre dispositif. Vos leviers d'acquisition restent pilotés par notre agence de marketing digital.