Google Analytics est-il conforme au RGPD ?
Dernière mise à jour : 5 juillet 2026
En 2022, la CNIL a mis en demeure plusieurs gestionnaires de sites web utilisant Google Analytics, estimant que les transferts de données vers les États-Unis qui en résultaient n'offraient pas un niveau de protection adéquat au sens du chapitre V du RGPD (art. 44 à 49), dans la continuité de l'arrêt Schrems II de la Cour de justice de l'Union européenne (16 juillet 2020) qui avait invalidé le « Privacy Shield ».
Ce qui a changé depuis : le Data Privacy Framework
La Commission européenne a adopté le 10 juillet 2023 une nouvelle décision d'adéquation pour les transferts vers les États-Unis dans le cadre du « EU-US Data Privacy Framework », confirmée par le Tribunal de l'Union européenne en 2025. Un sous-traitant américain certifié dans ce cadre peut donc recevoir des données personnelles depuis l'UE sans garantie supplémentaire (clauses contractuelles types, etc.).
En pratique, la conformité de Google Analytics dépend donc aujourd'hui du statut de certification réel du sous-traitant au moment du traitement — un élément que seul un audit du registre de traitements (et non un simple scan de page) peut vérifier avec certitude.
Ce qu'un scan automatisé peut (et ne peut pas) vérifier
RGPD Scanner détecte la présence de scripts connus pour transférer des données hors UE (dont Google Analytics) chargés avant tout consentement, ce qui constitue déjà en soi une violation de l'article 5(3) de la directive ePrivacy si le script est non essentiel. En revanche, seul l'exploitant du site peut confirmer si son sous-traitant dispose d'une garantie de transfert valide à jour — d'où une pénalité mineure (et non critique) sur ce point précis dans notre méthode de notation.
- Vérifier que Google Analytics (ou tout autre outil hors UE) est bloqué avant consentement.
- Documenter dans votre registre de traitements le statut de certification Data Privacy Framework du sous-traitant, ou à défaut les clauses contractuelles types en vigueur.
- Envisager une alternative hébergée dans l'UE si vous souhaitez éviter tout risque de transfert (Matomo auto-hébergé, par exemple).