Explication pratique - Google Analytics et vie privée

Ce guide explique le sujet Google Analytics et vie privée avec un contexte pratique. La bonne question n'est pas de savoir si GA est « mauvais », mais si votre usage tient face à l'exigence d'analytics respectueux de la vie privée : nécessité, proportion, transparence, base légale.

Google Analytics n’est pas automatiquement illégal, et GA4 n’est pas le même produit qu’Universal Analytics. Mais les préoccupations de confidentialité demeurent, car GA fait partie d’un écosystème publicitaire et de données plus large, et de nombreuses implémentations collectent plus d’informations qu’un site web n’en a réellement besoin.

La question pratique n’est pas de savoir si Google Analytics est « mauvais ». Elle est de savoir si votre usage est nécessaire, proportionné, transparent, fondé sur le consentement lorsque celui-ci est requis, et juridiquement soutenu pour les pays et les utilisateurs concernés.

Les améliorations de confidentialité de GA4 ne mettent pas fin à l’analyse

Google indique que GA4 ne consigne ni ne stocke les adresses IP, et sa documentation décrit des contrôles pour les fonctionnalités publicitaires, la personnalisation et la conservation (mesures de protection Google Analytics). C’est une amélioration significative par rapport aux hypothèses associées aux versions plus anciennes.

Cependant, le traitement de l’adresse IP n’est qu’un facteur. GA4 peut toujours collecter des données d’événements, des URL de pages, des données d’appareil et de navigateur, des paramètres de campagne, des identifiants utilisateur s’ils sont configurés, Google signals s’il est activé, des événements ecommerce et des dimensions personnalisées. Certaines de ces données peuvent être personnelles ou le devenir lorsqu’elles sont combinées.

Par exemple, une URL comme /reset-password?email=name@example.com ne devrait jamais parvenir à l’analytics. Un événement personnalisé qui inclut un identifiant utilisateur, une requête de recherche sur un problème médical ou une saisie libre de formulaire peut créer des enregistrements analytics sensibles, même si l’outil lui-même dispose de contrôles de confidentialité.

Consentement et cookies

GA4 utilise couramment des cookies first-party et des identifiants pour mesurer les sessions et les utilisateurs. Dans de nombreux contextes européens, les cookies analytics non essentiels nécessitent un consentement, sauf si une exemption étroite de mesure d’audience s’applique. Cette exemption dépend du droit local et de la configuration, et ne doit pas être présumée pour une analytics complète liée à la publicité ou à des services cross-site.

Si GA se déclenche avant le consentement, vous pouvez avoir un problème de conformité cookies indépendamment des questions de transfert au titre du RGPD. Si GA ne se déclenche qu’après consentement, vos données peuvent devenir biaisées en faveur des personnes qui acceptent le suivi. C’est l’une des raisons pour lesquelles une analytics sans cookies peut produire des rapports opérationnels plus stables.

Les intégrations publicitaires augmentent le risque

GA devient plus sensible du point de vue de la confidentialité lorsqu’il est connecté à Google Ads, au remarketing, aux audiences ou à des signals qui prennent en charge la personnalisation publicitaire. Une configuration limitée au reporting et une configuration d’activation publicitaire présentent des profils de risque différents.

Si vous utilisez GA uniquement pour comprendre les pages et les conversions, désactivez les fonctionnalités dont vous n’avez pas besoin. Si vous utilisez GA pour le remarketing, soyez explicite dans les notices et les choix de consentement. N’enterrez pas les finalités publicitaires dans un langage analytics générique.

Préoccupations liées aux transferts UE-États-Unis

Après Schrems II, les autorités européennes ont examiné Google Analytics de près, car les données transférées vers les États-Unis pouvaient relever des lois américaines d’accès aux données. Les recommandations de la CNIL sur la mesure d’audience et les transferts expliquent comment les outils analytics peuvent être rendus conformes et comment le cadre de protection des données UE-États-Unis a modifié les transferts vers les entités américaines certifiées (recommandations de la CNIL).

Le Data Privacy Framework de 2023 a rouvert une voie d’adéquation pour les organisations certifiées, mais les responsables du traitement doivent toujours vérifier le mécanisme, le périmètre et le flux de données. Une notice de confidentialité qui dit « nous utilisons Google Analytics » n’est pas une analyse de transfert.

Conservation et accès

Les paramètres de conservation de Google Analytics influencent la durée de conservation des données au niveau utilisateur et au niveau événement pour certains rapports. Les équipes doivent fixer la conservation délibérément, exporter uniquement ce dont elles ont besoin et éviter de conserver indéfiniment des données brutes dans BigQuery ou des data warehouses sans finalité.

Le contrôle d’accès compte aussi. L’analytics contient souvent des données commercialement sensibles et potentiellement personnelles. Limitez les personnes qui peuvent consulter, exporter et connecter les données GA à d’autres systèmes.

Checklist de mise en œuvre plus sûre

Si vous conservez GA4, au minimum :

• désactivez les fonctionnalités publicitaires sauf si elles sont activement nécessaires et consenties ;
• évitez les identifiants utilisateur sauf s’il existe une raison solide ;
• bloquez l’analytics jusqu’au consentement lorsque c’est requis ;
• auditez tous les événements et paramètres personnalisés ;
• supprimez les données personnelles des URL avant qu’elles ne soient reçues par l’analytics ;
• configurez la conservation intentionnellement ;
• examinez les mécanismes de transfert et la documentation fournisseur ;
• documentez pourquoi GA4 est nécessaire par rapport à des options moins intrusives ;
• testez les parcours de refus dans le navigateur ;
• comparez les conversions analytics avec les enregistrements backend.

Quand changer d’outil est plus simple

Si votre organisation a besoin d’attribution avancée, d’audiences publicitaires et d’intégration Google Ads, GA4 peut encore faire partie de la stack. Si vous avez besoin d’une analytics web de base, il peut être excessif.

L’analytics respectueux de la vie privée est intéressante parce qu’elle réduit le problème. Pas de cookies, pas de profils personnels, pas d’enrichissement par réseau publicitaire, une conservation minimale et des rapports agrégés peuvent répondre à la plupart des questions de performance web avec moins de risque juridique et réputationnel.

Une bonne analytics doit aider à améliorer le site. Elle ne devrait pas exiger que les visiteurs deviennent partie d’un système de suivi cross-service simplement pour que vous puissiez voir quel article de blog a converti.

Décidez ce dont vous avez réellement besoin en analytics

Un exercice interne utile consiste à lister chaque rapport analytics récurrent et la décision qu’il soutient. Si un rapport n’a ni propriétaire ni décision, retirez-le. Si une décision peut être prise avec des données agrégées, ne collectez pas de données au niveau utilisateur pour cela. Si une métrique n’est nécessaire que pour l’optimisation publicitaire, gardez-la derrière le consentement publicitaire au lieu de la mélanger à l’analytics générale du site.

Cet exercice révèle souvent qu’une entreprise utilise Google Analytics par habitude, non par nécessité. L’équipe peut avoir besoin d’un reporting fiable sur les campagnes, les objectifs de conversion, la performance des landing pages et les abandons de funnel. Ces besoins peuvent être couverts avec une empreinte de données plus petite et respectueux de la vie privée.

Les préoccupations de confidentialité deviennent plus faciles à gérer lorsque le plan de mesure est plus réduit. Réduire le périmètre n’est pas une régression si cela supprime des données sur lesquelles personne n’agit.

Audit de configuration GA4

N’examinez pas Google Analytics comme un outil simplement acceptable ou non. Inventoriez enhanced measurement, Google Signals, ads personalization, User-ID, l’export BigQuery, Consent Mode, cross-domain measurement, les liens produits et les paramètres propres aux régions.

Pour chaque paramètre, nommez la décision business qu’il soutient ainsi que les contrôles de consentement, de transfert, de conservation et d’accès qui l’entourent. Si un paramètre n’existe que parce qu’il était activé par défaut, désactivez-le et gardez le plan de mesure plus réduit.

Questions fréquentes

GA4 collecte-t-il encore des données personnelles même sans journaliser les adresses IP ?

Le fait que GA4 ne journalise plus les adresses IP a comblé une faille, mais l'outil peut encore collecter des données d'événement, des URL de page, des données d'appareil et de navigateur, des paramètres de campagne, des ID utilisateur, Google Signals et des dimensions personnalisées. Combinées, ces données peuvent devenir personnelles, par exemple quand une URL contient une adresse e-mail ou qu'un événement personnalisé enregistre une recherche. Le traitement des IP n'était qu'un facteur parmi d'autres.

Faut-il un consentement aux cookies pour GA4 en Europe ?

Dans de nombreux contextes européens, les cookies d'analyse non essentiels nécessitent un consentement, sauf si une exemption étroite pour la mesure d'audience s'applique. Cette exemption dépend du droit local et de la configuration et ne doit pas être supposée pour une installation complète liée à la publicité ou à des services intersites. Si GA se déclenche avant le consentement, il y a un problème de conformité cookies indépendant des questions de transfert liées au RGPD.

Google Analytics est-il illégal au regard du RGPD ?

Google Analytics n'est pas automatiquement illégal, et GA4 diffère d'Universal Analytics. La vraie question est de savoir si l'usage est nécessaire, proportionné, transparent, consenti quand il le faut, et juridiquement fondé pour les pays et utilisateurs concernés. Après Schrems II, certaines autorités européennes ont examiné GA précisément pour les transferts de données entre l'UE et les États-Unis.

Quelle différence entre une configuration GA4 reporting uniquement et une utilisation publicitaire ?

Une configuration reporting uniquement mesure seulement les pages et les conversions, avec les fonctionnalités inutiles désactivées. Une configuration d'activation publicitaire connecte GA à Google Ads, au remarketing, aux audiences ou aux signaux qui alimentent la personnalisation publicitaire. Les deux ont des profils de risque différents, donc une configuration publicitaire demande des mentions et des choix de consentement explicites plutôt que d'être noyée dans un langage analytique générique.

Le Data Privacy Framework UE-États-Unis règle-t-il les préoccupations de transfert de Google Analytics ?

Le Data Privacy Framework de 2023 a rouvert une voie d'adéquation pour les organisations américaines certifiées, ce qui a changé la donne après Schrems II. Les responsables doivent malgré tout vérifier le mécanisme, la portée et le flux de données réel de leur propre installation. Une mention de confidentialité qui dit seulement "nous utilisons Google Analytics" n'est pas une analyse de transfert.

Quelles données personnelles peuvent atterrir par accident dans Google Analytics ?

Tout ce qui est capturé dans une URL ou un événement personnalisé finit dans GA4. Cela inclut une adresse e-mail dans un lien de réinitialisation de mot de passe, un ID utilisateur, une recherche sur une condition médicale ou un texte libre saisi dans un formulaire. Les contrôles de confidentialité propres à GA4 n'empêchent pas cela car les données arrivent via des paramètres définis par votre équipe. Elles doivent être retirées avant d'atteindre l'analytics, pas filtrées après coup.

Faut-il désactiver Google Signals et le User-ID dans GA4 ?

Désactivez Google Signals et évitez les ID utilisateur sauf raison forte, car les deux augmentent le caractère identifiable des données d'analyse. L'audit de configuration demande de nommer la décision métier que soutient chaque paramètre, avec les contrôles de consentement, de transfert, de conservation et d'accès associés. Si un paramètre n'est actif que parce qu'il était activé par défaut, il faut le désactiver.

Pourquoi bloquer l'analytics jusqu'au consentement biaise-t-il mes données ?

Si GA ne se déclenche qu'après le consentement, les données penchent vers les personnes qui acceptent le suivi, ce qui constitue un biais de sélection. C'est une des raisons pour lesquelles l'analytics sans cookies peut produire des rapports opérationnels plus stables. Le compromis se joue entre des données complètes avant consentement et des données biaisées mais conformes après.

Combien de temps Google Analytics doit-il conserver les données au niveau utilisateur ?

L'article ne donne pas de durée de conservation précise, mais il indique que la rétention doit être fixée délibérément plutôt que laissée par défaut. Les équipes doivent exporter seulement ce dont elles ont besoin et éviter de garder des données brutes indéfiniment dans BigQuery ou d'autres entrepôts de données sans objectif défini. L'accès à ces données doit lui aussi être limité aux personnes qui en ont besoin.

Que doit vérifier concrètement un audit de configuration GA4 ?

Plutôt que de traiter Google Analytics comme un outil à réponse binaire, il faut inventorier la mesure améliorée, Google Signals, la personnalisation publicitaire, User-ID, l'export BigQuery, Consent Mode, la mesure inter-domaines, les liaisons de produits et les paramètres spécifiques à chaque région. Pour chaque paramètre, il faut nommer la décision métier qu'il soutient ainsi que les contrôles de consentement, de transfert, de conservation et d'accès qui l'entourent. Ce qui n'est actif que parce que c'était le réglage par défaut doit être désactivé.