Imaginez: vous ouvrez vos emails le matin et vous trouvez un message d’un régulateur européen. Une amende d’un million d’euros. Le motif: Google Analytics, que vous avez installé il y a trois ans et que vous avez oublié. Ce n’est pas une fiction. En octobre 2025, la cour d’appel de Stockholm a confirmé la sanction contre Tele2. Le recours a été rejeté, l’amende est devenue exécutoire.

Sept pays européens ont rendu des décisions contre Google Analytics dans la configuration que 90% des propriétaires de sites web utilisent. Le problème n’est pas l’outil en lui-même, mais l’endroit et la manière dont les données des utilisateurs européens fuient.

Google a réagi: GA4 avec anonymisation forcée des adresses IP, Consent Mode v2, serveurs de traitement européens. La Commission européenne a adopté le Data Privacy Framework. Mais cela suffit-il en 2026? Et surtout, que doit faire un propriétaire de site web dès maintenant pour éviter de subir le même sort que Tele2? Faisons le point en nous appuyant sur les faits et sur les décisions réelles des tribunaux et des régulateurs.

💡 Aperçu rapide:

• Découvrez pourquoi l’arrêt Schrems II de 2020 a invalidé le Privacy Shield et sapé la base légale de Google Analytics en Europe
• Examinez les amendes réelles: Tele2 a payé 1 million d’euros, CDON 27 700 euros, et le recours de Tele2 a échoué en octobre 2025
• Explorez la carte des interdictions: sept pays de l’UE avec des décisions officielles contre des implémentations spécifiques de GA
• Évaluez la réponse de Google: anonymisation forcée des adresses IP, serveurs européens, Consent Mode v2
• Comprenez le statut du Data Privacy Framework: il est en vigueur, mais NOYB prépare déjà Schrems III
• Parcourez une checklist en huit points pour mettre GA4 en conformité avec le RGPD
• Comparez GA4 avec des alternatives sans cookies: Plausible, Fathom, Umami, et pesez honnêtement ce que vous perdez

Schrems II: la décision qui a sapé la base légale de Google Analytics

Le 16 juillet 2020, la Cour de justice de l’Union européenne a rendu son arrêt dans l’affaire Schrems II (affaire C-311/18). La Cour a invalidé le Privacy Shield. Ce mécanisme était la seule base légale qui permettait aux entreprises américaines de recevoir légalement des données personnelles depuis l’UE.

La cause profonde: la section 702 de la FISA et le décret présidentiel 12333. Ces deux textes donnent aux agences de renseignement américaines un accès aux données détenues par les fournisseurs américains. Google, dont le siège est en Californie, tombe entièrement sous leur champ d’application.

Après Schrems II, les entreprises se sont retrouvées avec une seule voie pour les transferts légaux de données vers les États-Unis: les clauses contractuelles types (CCT) assorties de «mesures supplémentaires». Mais la CJUE a clairement indiqué que les promesses contractuelles ne priment pas sur les lois relatives à la sécurité nationale. Aucun contrat n’oblige les agences de renseignement américaines à ignorer la FISA. Cette impasse juridique est devenue le fondement des décisions contre Google Analytics.

Plus de détails: audit RGPD.

Les premières amendes: Tele2, CDON et le précédent suédois

En juin 2023, l’Autorité suédoise de protection de la vie privée (Integritetsskyddsmyndigheten, IMY) a infligé des amendes à deux acteurs majeurs:

• Tele2 (opérateur télécom): 1 million d’euros (12 millions de couronnes suédoises) pour avoir utilisé Google Analytics sans mesures de protection des données suffisantes.
• CDON (détaillant en ligne): 27 700 euros (300 000 couronnes) pour les mêmes violations.

Les deux entreprises transféraient des données vers les États-Unis via des CCT. Mais le régulateur a estimé que les mesures techniques de protection supplémentaires étaient insuffisantes. Le contrat existait, mais il n’y avait pas de protection réelle contre l’accès par les agences de renseignement américaines.

Tele2 a fait appel de l’amende. En octobre 2025, la cour d’appel de Stockholm a rejeté le recours et confirmé la sanction. C’est un moment clé: le tribunal a confirmé qu’utiliser Google Analytics sans mesures supplémentaires adéquates n’est pas une lacune technique, mais une violation à part entière du RGPD.

En parallèle, l’IMY a examiné les cas de Coop et de Dagens Industri. Ces entreprises utilisaient également Google Analytics. Elles n’ont pas reçu d’amende. La différence: elles ont réalisé un audit technique, mis en œuvre un chiffrement à un niveau que le régulateur a jugé adéquat, et documenté chaque étape.

L’enseignement du précédent suédois: Google Analytics en soi n’est pas interdit. Ce qui est interdit, c’est de transférer des données sans mesures de protection éprouvées et fonctionnelles. La différence entre une amende d’un million d’euros et l’absence de réclamation tient au volume de travail technique, pas au choix de l’outil.

La carte des interdictions: quels pays de l’UE ont rendu des décisions contre GA

Depuis 2022, sept pays européens ont publié des décisions officielles déclarant illégale l’utilisation de Google Analytics dans les implémentations spécifiques examinées:

Chaque décision concernait une implémentation spécifique de GA sur un site web spécifique. Il ne s’agit pas d’une interdiction à l’échelle de l’UE. Mais la position coordonnée via le Comité européen de la protection des données (CEPD) signifie qu’une décision dans un pays sert de précédent pour les autres.

La campagne de NOYB (l’organisation de Max Schrems) a déposé 101 plaintes dans 30 pays de l’UE et de l’EEE dès août 2020. Le processus s’est étalé sur des années, mais il ne s’est pas arrêté. Les régulateurs continuent d’ouvrir des procédures.

Ce que Google a changé: GA4, serveurs européens et Consent Mode v2

Suite à la vague de décisions, Google a introduit trois changements significatifs du point de vue du RGPD.

Anonymisation des adresses IP par défaut. Dans Universal Analytics, l’anonymisation était une option. Elle était souvent oubliée, et ce fait même figurait dans les décisions autrichienne et française. Dans GA4, l’anonymisation est forcée et ne peut pas être désactivée: les adresses IP des utilisateurs européens sont nettoyées avant que les données n’entrent en traitement.

Traitement sur des serveurs de l’UE. Depuis 2023, le trafic européen peut être traité sur des serveurs de Google situés dans l’UE avant d’être envoyé hors de la région. La maison mère aux États-Unis reste soumise aux lois américaines sur la surveillance, mais la surface d’exposition aux réclamations est devenue sensiblement plus petite.

Consent Mode v2, obligatoire depuis mars 2024. Il s’agit d’une couche JavaScript entre le bandeau de consentement et les balises Google. Lorsqu’un utilisateur refuse les cookies, Consent Mode v2 ne se contente pas de bloquer l’installation du traceur; il envoie des «pings sans cookies» anonymisés. Sans Consent Mode v2, GA4 ne peut pas fonctionner légalement avec le trafic européen.

Une nuance importante: Consent Mode v2 a deux modes. Le mode Basique bloque les balises jusqu’à l’obtention d’un consentement explicite, une option juridiquement solide. Le mode Avancé envoie des signaux sans cookies dans tous les cas, même sans consentement. Google obtient plus de données pour la modélisation, mais juridiquement, c’est une voie plus contestable. Le choix du mode est l’une des premières décisions que vous devrez prendre lors de la configuration.

Cadre de protection des données (Data Privacy Framework): salut ou simple pansement temporaire

Le 10 juillet 2023, la Commission européenne a adopté une décision d’adéquation pour le Cadre de protection des données UE-États-Unis (Data Privacy Framework, DPF). Il s’agit du successeur du Privacy Shield, invalidé par l’arrêt Schrems II. Google LLC s’est certifié en vertu du DPF, ce qui règle formellement le principal problème de conformité juridique: les transferts de données vers des entreprises certifiées aux États-Unis disposent à nouveau d’une base légale.

Mais il est trop tôt pour se relâcher. Trois facteurs de risque.

Premièrement: le DPF repose sur des décrets présidentiels américains. Un changement d’administration pourrait affaiblir ou révoquer ces décrets. Max Schrems a déclaré publiquement qu’il ne voyait pas comment «un ordre imposé aux États-Unis par les Européens, réglementant la surveillance américaine à l’étranger, survivrait à la logique America First».

Deuxièmement: NOYB conteste déjà le DPF en justice. La première attaque juridique contre le DPF a été repoussée, mais NOYB prépare un nouveau dossier, plus large, Schrems III. Les avocats parlent d’une question de temps, pas de probabilité.

Troisièmement: le DPF ne résout que la question du transfert transfrontalier. Toutes les autres exigences du RGPD, consentement, minimisation des données, limitation des finalités, restent en vigueur. Une bannière qui n’est pas conforme à l’article 7 du RGPD rend l’ensemble de la chaîne illégal, indépendamment du DPF.

L’autorité norvégienne Datatilsynet l’a formulé avec précision: «Ce qui constituait jusqu’à présent le principal problème avec Google Analytics semble être résolu. Cependant, nous n’excluons pas que l’outil puisse présenter d’autres problèmes de vie privée.»

GA4 est-il donc légal en Europe en 2026

La réponse courte: il est légal lorsqu’il est configuré correctement. Avec des réserves.

Si vous utilisez GA4 avec le Consent Mode v2, une bannière de consentement valide (boutons «Accepter» et «Refuser» de poids égal, pas de cases pré-cochées), un traitement sur des serveurs européens, des clauses contractuelles types signées et une collecte de données minimisée, vous êtes dans une position défendable. Des réclamations restent possibles. Mais vous disposez d’une conformité documentée, et c’est précisément ce que le régulateur examine.

Le problème est que la plupart des sites web n’atteignent pas cet état. Une analyse de 254 000 sites web réalisée en 2025 a montré que seulement 15% des bannières de cookies en Europe satisfont aux exigences minimales du RGPD. Une autre étude portant sur 35 000 sites web a relevé des infractions sur 49% des ressources contrôlées. Si la bannière n’est pas valide, la mise en œuvre de GA4 hérite automatiquement de cette invalidité.

Un casse-tête distinct: la perte de données. La même recherche fait état d’une perte de 40 à 70% des données suivies lorsqu’une véritable bannière avec un bouton «Refuser» de poids égal est déployée. Lorsque jusqu’à deux tiers des visiteurs européens refusent les cookies, les chiffres dans GA4 deviennent modélisés plutôt que mesurés. Les régulateurs posent déjà des questions: la modélisation elle-même crée-t-elle de nouveaux problèmes au regard du RGPD.

L’enseignement pratique: GA4 en Europe en 2026 est un risque géré, pas un dossier clos.

Que faire dès maintenant: une liste de contrôle pratique

Voici huit points que les régulateurs européens examinent lorsqu’ils auditent une implémentation de GA. Passez-les en revue un par un.

• Passez à GA4 si vous êtes encore sur Universal Analytics. Universal Analytics a été arrêté par Google en juillet 2024. Les données ne sont plus collectées, mais les risques liés au RGPD n’ont pas disparu.

• Implémentez le Consent Mode v2. Sans lui, GA4 ne peut pas traiter licitement le trafic européen. L’intégration se fait via une plateforme CMP: CookieYes, Cookiebot, Complianz ou iubenda. Choisissez le mode Basic pour une protection juridique maximale.

• Vérifiez votre bannière de consentement. Deux boutons de poids égal: «Tout accepter» et «Tout refuser». Pas de cases pré-cochées, pas d’«intérêt légitime» comme prétexte à la collecte. Vérifiez via l’onglet Réseau des DevTools: lorsque vous refusez les cookies, aucune requête ne doit partir vers google-analytics.com.

• Activez le traitement sur des serveurs européens. GA4, Administration, Paramètres des données, Collecte de données, Collecte de données régionale. Deux minutes.

• Réglez la conservation des données sur 14 mois. GA4, Administration, Paramètres des données, Conservation des données. C’est la période la plus courte autorisée par Google. Le RGPD exige que les données ne soient pas conservées plus longtemps que nécessaire.

• Désactivez le partage de données avec les produits Google. GA4, Administration, Paramètres des données, Partage de données: décochez toutes les cases. Par défaut, Google reçoit vos données pour améliorer ses services. Pour la conformité RGPD, cela doit être désactivé.

• Signez un accord de traitement des données avec Google. Le DPA est disponible dans les paramètres de votre compte GA4. Vérifiez que la politique de confidentialité de votre site mentionne explicitement l’utilisation de Google Analytics et les finalités du traitement.

• Auditez vos processus de collecte et de stockage des données. Pour les entreprises ayant des volumes de trafic importants, ce n’est pas une option, c’est une exigence. Un auditeur comparera les flux de données réels aux processus documentés. Un écart entre ce qui est indiqué dans la politique et ce que GA4 collecte réellement est une voie directe vers une amende.

Une piste distincte pour ceux qui ne souhaitent pas du tout gérer ce risque: les outils sans cookies. Plausible, Fathom, Umami et Swetrix ne collectent par définition aucune donnée personnelle. Pas de cookies, pas d’obligation de bannière de consentement. Pas de transferts de données vers les États-Unis, pas de problème Schrems II. Le prix à payer: vous perdez les entonnoirs de conversion, l’attribution Google Ads et la profondeur de segmentation habituelle. Pour les projets de contenu, les blogs et les petites entreprises, c’est souvent un compromis honnête.

⁉️🤔 Questions fréquentes

Google Analytics est-il totalement interdit en Europe?

Non. Certains pays de l’UE ont jugé illégales des implémentations spécifiques de GA sur des sites précis. Il n’existe pas d’interdiction à l’échelle européenne. GA4 avec Consent Mode v2, des serveurs européens et une bannière de consentement valide se trouve dans une position défendable en 2026.

Il est important de comprendre l’échelle: les décisions concernaient des cas où les données étaient transférées vers les États-Unis sans garanties techniques supplémentaires. Le simple fait d’utiliser GA4 avec une stack de conformité complète n’a, à ce jour, jamais donné lieu à une amende. Mais ce n’est pas une garantie: les régulateurs travaillent avec un décalage de deux à trois ans, et les procédures ouvertes en 2023-2024 n’ont pas encore atteint le stade de la décision.

En quoi GA4 diffère-t-il d’Universal Analytics du point de vue du RGPD?

Dans GA4, l’anonymisation de l’IP est imposée et ne peut pas être désactivée. Universal Analytics la rendait optionnelle, et c’est précisément ce qui a fondé les premières décisions en Autriche et en France. GA4 utilise un modèle événementiel plutôt que par sessions, ce qui réduit le volume de données personnelles collectées. S’y ajoute l’obligation du Consent Mode v2.

GA4 a été architecturalement conçu pour la réalité post-Schrems. Les adresses IP sont supprimées avant traitement, le Consent Mode v2 est devenu obligatoire en mars 2024, et le traitement des données sur des serveurs européens réduit la surface des recours. Mais la conformité dépend de votre configuration: GA4 ne rend pas un site conforme au RGPD à lui seul.

Que coûte concrètement une amende pour violation du RGPD via Google Analytics?

Le plafond prévu par l’article 83 du RGPD: jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial. Amendes enregistrées pour GA: Tele2, 1 million d’euros, CDON, 27 700 euros. Le montant dépend de l’ampleur des violations, du volume de données traitées et des garanties démontrées au régulateur.

Le précédent suédois l’a montré: la différence entre l’absence de griefs et une amende d’un million d’euros tient au volume de travail technique et de documentation, pas au choix de l’outil. Coop et Dagens Industri utilisaient le même Google Analytics, mais avec des mesures supplémentaires adéquates, et n’ont pas été sanctionnés.

Ai-je besoin du Consent Mode v2 si je n’utilise pas Google Ads?

Oui. Le Consent Mode v2 est obligatoire pour tout site ayant du trafic européen et utilisant GA4. Que vous utilisiez Google Ads ou non est sans importance. Depuis mars 2024, sans Consent Mode v2, GA4 ne peut pas collecter licitement les données des visiteurs européens.

Le Consent Mode v2 gère les signaux analytics_storage et ad_storage. Sans consentement correctement configuré, GA4 soit ne collecte aucune donnée, soit les collecte en violation du RGPD. Du point de vue du régulateur, il n’y a pas de différence entre «juste de l’analytics» et «de l’analytics pour la publicité»: le traitement de données personnelles exige un consentement dans les deux cas.

Que se passe-t-il si le Data Privacy Framework est invalidé?

La situation reviendrait à l’ère post-Schrems II: les entreprises transférant des données vers les États-Unis devraient s’appuyer sur les clauses contractuelles types (CCT) assorties de garanties supplémentaires. La différence, c’est que GA4 avec Consent Mode v2 et serveurs européens est mieux préparé à un tel scénario qu’Universal Analytics ne l’était en 2020.

Une invalidation du DPF ne serait pas instantanée: les procédures judiciaires dans l’UE prennent des années, et les entreprises bénéficieraient d’une période de transition. Conseil pratique: testez une alternative sans cookies en parallèle de GA4 pendant un mois. Si le DPF s’effondre, vous basculerez en un jour, au lieu d’un mois de migration d’urgence.

Puis-je utiliser GA4 sur un site en Ukraine et dans d’autres pays hors UE?

Techniquement, oui. Légalement: le RGPD s’applique au traitement des données des résidents de l’UE, quel que soit l’emplacement géographique du site. Si votre site est visité par des utilisateurs d’Allemagne, de France ou de Pologne, vous traitez leurs données personnelles et devez respecter le RGPD. La localisation du serveur est sans importance.

Le RGPD est par nature extraterritorial. Un site ukrainien avec une audience européenne se trouve exactement dans la même situation juridique qu’un site allemand. La différence pratique réside uniquement dans la probabilité de mise en œuvre: l’IMY suédoise n’ira pas sanctionner directement une entreprise ukrainienne, mais les utilisateurs européens peuvent déposer une plainte via NOYB, et le régulateur local s’impliquera via la coordination du CEPD.

En résumé: peser le risque et l’action

GA4 en 2026 n’est ni «interdit» ni «totalement sûr». C’est un outil qui exige une configuration réfléchie. Sept pays de l’UE ont rendu des décisions à son encontre, une amende d’un million d’euros a déjà été prononcée et confirmée en appel, et NOYB continue de faire pression sur les régulateurs. Dans le même temps, Google a construit une stack de conformité qui n’existait pas en 2020: anonymisation IP imposée, Consent Mode v2, serveurs européens, certification DPF.

Pour un propriétaire de site, le choix se résume à deux options. Si vous avez besoin de toute la profondeur de GA4 (entonnoirs, attribution, remarketing, intégration Google Ads), suivez la checklist en huit points ci-dessus, configurez chaque élément et dormez sur vos deux oreilles avec une conformité documentée. Si la profondeur n’est pas critique et que la sécurité juridique prime, passez à un outil sans cookies et réglez définitivement la question RGPD.

La troisième option, «installer GA4 tel quel et espérer que ça passe», n’existe plus en 2026. Les régulateurs européens ont prouvé qu’ils sanctionneraient ce comportement. Avec de l’argent réel, pas des avertissements. La décision vous appartient, mais elle doit être prise en connaissance de cause.