Comment configurer Google Analytics dans le respect du RGPD ?

Pour utiliser Google Analytics en conformité avec le RGPD, la mesure d'audience ne doit se déclencher qu'après le consentement de l'internaute, via votre bandeau cookies, sauf si vous optez pour une configuration exemptée de consentement. Déclencher Analytics dès l'arrivée sur le site, sans choix préalable, n'est pas conforme.

Trois approches sont possibles. La première : conditionner le chargement d'Analytics au consentement recueilli par une solution de gestion (CMP). La deuxième : configurer un mode « consentement » qui n'active la mesure complète qu'après acceptation. La troisième : recourir à une solution de mesure d'audience exemptée de consentement (paramétrée pour ne pas suivre l'utilisateur individuellement), qui peut alors fonctionner sans bandeau — utile pour ne pas perdre de données.

Dans tous les cas, il faut aussi anonymiser ce qui peut l'être, informer les visiteurs dans la politique de confidentialité, et vérifier les conditions de transfert des données. Un paramétrage approximatif expose à la fois à un risque de non-conformité et à des statistiques faussées.

Le piège concret : un bandeau affiché ne suffit pas

C'est l'erreur la plus fréquente constatée sur les sites qu'on reprend : le bandeau cookies est bien présent, mais la balise GA4 s'exécute quand même dès le chargement de la page, avant tout clic. Le site paraît conforme, il ne l'est pas. La conformité ne se vérifie pas à l'écran mais dans l'ordre réel de déclenchement des scripts : tant que le visiteur n'a pas accepté la catégorie « statistiques », aucune requête de mesure ne doit partir.

En pratique, le câblage qui tient consiste à rattacher la balise GA4 à la catégorie « statistiques » du gestionnaire de consentement — par exemple en marquant le script de mesure avec l'attribut qui le lie à cette catégorie (de type data-category="statistics" selon la CMP), de sorte qu'il ne soit injecté qu'après acceptation. L'alternative est le mode consentement de Google : les balises sont présentes mais démarrent en état « refusé » par défaut, et ne passent à « accordé » qu'au clic d'acceptation. Dans les deux cas, le test de recette est le même : ouvrir les outils de développement, recharger sans rien accepter, et vérifier qu'aucune requête vers le domaine de collecte ne part tant que le consentement n'est pas donné.

Ce réglage, à la croisée du technique et du légal, gagne à être audité. Pulsar Agency le contrôle et l'ajuste dans le cadre de son accompagnement SEO et mesure d'audience. Informations données à titre indicatif, sans valeur de conseil juridique.