Google Analytics est-il conforme au RGPD en 2026 ?

En bref

• Oui, Google Analytics est utilisable légalement en France en 2026, à condition de recueillir le consentement via une CMP et de déclarer le transfert des données vers les États-Unis dans votre politique de confidentialité.

• Cette légalité repose entièrement sur un accord politique, le Data Privacy Framework, adopté en juillet 2023. Sans lui, Google Analytics perd sa base légale pour transférer des données aux États-Unis, exactement comme en 2020 et en 2022.

• Or ce cadre s'est fragilisé en 2026. Il a été validé en première instance par le Tribunal de l'Union européenne en septembre 2025, mais un pourvoi est attendu, et l'évolution du droit américain a rouvert le débat sur sa solidité.

• Dans sa configuration par défaut, Google Analytics n'est pas conforme : il faut un consentement préalable, un bouton Refuser aussi simple que le bouton Accepter, et une conservation limitée à 13 mois.

• La vraie question n'est pas de savoir si c'est légal aujourd'hui, mais si vous serez couvert le jour où le cadre tombe. Les outils de mesure d'audience hébergés en Europe ne dépendent pas de cet accord, et plusieurs se passent même de bandeau cookies.

La question tourne en boucle dans les équipes marketing et chez les DPO : peut-on encore poser Google Analytics sur son site sans s'exposer ? La réponse courte est oui. La réponse utile tient en une phrase : votre conformité ne dépend pas vraiment du paramétrage de votre balise, mais d'un traité entre Bruxelles et Washington que personne ne contrôle.

Ce qui s'est passé en 2022

En février 2022, la CNIL a mis en demeure plusieurs sites français qui utilisaient Google Analytics. Le reproche ne portait pas sur l'outil lui-même, mais sur le transfert des données de navigation vers les serveurs de Google aux États-Unis, sans garanties suffisantes. Dans ses questions-réponses officielles, la CNIL a écarté les rustines proposées à l'époque : les clauses contractuelles types de Google et l'anonymisation partielle ne corrigeaient pas le problème de fond.

La cause de ce blocage était juridique. Le Privacy Shield, qui couvrait jusque-là ces transferts, avait été invalidé en 2020 par l'arrêt Schrems II de la Cour de justice de l'Union européenne. Pendant plus d'un an, utiliser Google Analytics en France revenait donc à prendre un risque réglementaire bien réel.

Ce qui a changé : le Data Privacy Framework

Le 10 juillet 2023, la Commission européenne a adopté une décision d'adéquation pour le Data Privacy Framework (DPF). Ce texte réautorise le transfert de données personnelles de l'Union vers les entreprises américaines certifiées dans ce cadre. Google en fait partie.

Conséquence directe : la CNIL a retiré ses communications de 2022 sur Google Analytics, et l'outil est redevenu utilisable. En septembre 2025, le Tribunal de l'Union européenne a même confirmé la validité du DPF en rejetant un premier recours, porté par le député Philippe Latombe (affaire T-553/23).

Donc, à la question posée, la réponse factuelle en 2026 est claire : Google Analytics est conforme, sous conditions.

Les conditions à respecter aujourd'hui

Être conforme ne veut pas dire poser la balise et passer à autre chose. Par défaut, Google Analytics n'est pas en règle. Voici ce que la réglementation impose, point par point.

• Un consentement préalable via une CMP. Les cookies de Google Analytics ne sont pas considérés comme strictement nécessaires. Vos scripts ne doivent se charger qu'après acceptation explicite du visiteur.

• Un refus aussi simple que l'acceptation. La CNIL exige que le bouton Refuser soit équivalent au bouton Accepter. Un bandeau qui n'affiche que Tout accepter est non conforme.

• La mention du transfert vers les États-Unis dans votre politique de confidentialité, en désignant Google comme sous-traitant et en indiquant la base juridique, le DPF.

• Une durée de conservation maîtrisée. La CNIL recommande de ne pas dépasser 13 mois pour les traceurs de mesure d'audience.

Il existe une voie pour se passer du consentement, via un proxy européen ou un serveur de tag qui supprime les données personnelles avant tout envoi à Google. C'est lourd à déployer, et la CNIL ne valide plus les outils au cas par cas. Depuis 2025, elle fonctionne par auto-évaluation : c'est à vous de démontrer votre conformité, pas à elle de la certifier. Le détail de cette exemption figure dans sa page sur les solutions de mesure d'audience.

La vraie question n'est pas celle-là

Tout ce qui précède décrit une conformité suspendue à un fil : la solidité du Data Privacy Framework. Et en 2026, ce fil s'est effiloché.

Trois signaux concordent. Un pourvoi est attendu devant la Cour de justice de l'Union européenne : le DPF a tenu en première instance, mais l'affaire n'est pas close, et le Tribunal lui-même a laissé au requérant des motifs d'appel. Le Privacy Shield, lui aussi, avait tenu quelques années avant d'être balayé.

Ensuite, la décision d'adéquation européenne reposait sur une hypothèse : que l'autorité américaine chargée de faire respecter le cadre soit indépendante. L'évolution du droit américain en 2026, dont une décision de la Cour suprême sur l'indépendance des agences fédérales, a sapé cette hypothèse sans supprimer le DPF.

Enfin, le socle côté américain dépend d'un décret présidentiel et d'un dispositif de surveillance dont une partie a expiré en 2026. Tout cela est réversible au gré de l'administration en place à Washington.

Mis bout à bout, cela donne la situation réelle : Google Analytics est légal tant que le DPF survit, et personne ne peut garantir qu'il survivra au pourvoi. Si l'histoire du Safe Harbor puis du Privacy Shield se répète, les entreprises qui dépendent de Google Analytics se retrouveront du jour au lendemain sans base légale pour leurs transferts. Ce n'est pas un risque de configuration. C'est un risque structurel.

La souveraineté comme couverture de risque

C'est ici que le raisonnement bascule. Choisir un outil de mesure d'audience hébergé en Europe, ou auto-hébergé, ne relève pas de la posture. C'est une façon de sortir votre analytics de la dépendance au climat politique transatlantique.

Un outil dont les données ne quittent jamais l'Union européenne n'a pas besoin du Data Privacy Framework pour être en règle. Il est immunisé contre le prochain Schrems. En prime, plusieurs de ces solutions fonctionnent sans cookie, ce qui règle d'un coup la question du bandeau et améliore mécaniquement la qualité de votre mesure, puisque vous ne perdez plus les visiteurs qui refusent le consentement.

L'exemple le plus parlant de cette dépendance, c'est le destin d'un ancien champion français. Piano Analytics est l'héritier d'AT Internet, le pionnier français de la mesure d'audience, racheté par l'américain Piano Software. Malgré son héritage et un hébergement européen, l'éditeur relève désormais du droit des États-Unis. La leçon est nette : la nationalité d'origine d'un outil ne dit rien de qui le contrôle aujourd'hui.

Google Analytics face aux alternatives souveraines

Voici comment se situent les principales alternatives européennes référencées sur SaasTeaser, sur les critères qui comptent vraiment en 2026.

Deux points méritent d'être soulignés. Matomo est l'outil que la CNIL a historiquement cité en exemple de solution de mesure d'audience exemptée de consentement, à condition d'être bien paramétré, et en auto-hébergé les données restent sur votre propre infrastructure. Et plusieurs de ces outils ne déposent aucun cookie, ce qui supprime le bandeau et la perte de données associée.

La liste complète, avec le détail de chaque solution, est sur notre page des alternatives à Google Analytics.

Comment décider

Si vous utilisez déjà Google Analytics, inutile de le débrancher ce soir dans la panique : il reste légal aujourd'hui. Mais il est raisonnable de préparer l'alternative pour ne pas la subir en urgence si le DPF tombe. Trois profils de décision se dégagent.

• Le moins de friction possible. Un outil européen sans cookie et exempté de consentement comme Plausible, Simple Analytics ou Abla Analytics vous débarrasse à la fois du risque de transfert et du bandeau.

• La maîtrise totale des données. Matomo en auto-hébergé place les données sur votre propre infrastructure. Rien ne sort, rien ne dépend d'un accord international.

• Des besoins analytics avancés en entreprise. Piwik PRO offre une profondeur proche des suites américaines, avec un hébergement européen et un historique dans les secteurs régulés.

En résumé

Google Analytics est conforme au RGPD en 2026, à condition de recueillir le consentement et de le configurer proprement. Mais cette conformité est suspendue à un accord politique dont la solidité s'est dégradée cette année. La question n'est donc pas de savoir si c'est légal maintenant, mais si vous êtes prêt le jour où ça ne l'est plus. Les outils de mesure d'audience hébergés en Europe répondent à cette question en amont. C'est, au fond, le seul moyen de rendre votre analytics indépendant du prochain revirement juridique.

Pour aller plus loin sur le sujet de fond, lisez notre guide Qu'est-ce que la souveraineté numérique.