Pour utiliser Google Analytics 4 sur un site français, il faut en principe recueillir le consentement de l'utilisateur avant que la balise ne dépose ou ne lise quoi que ce soit sur son terminal. La règle vient de l'article 82 de la loi Informatique et Libertés, que la CNIL présente comme la transposition en droit français de l'article 5, paragraphe 3, de la directive 2002/58/CE. Le RGPD s'applique ensuite au traitement des données collectées.

Cet article explique ce que la CNIL écrit sur le sujet, pourquoi la page qu'elle consacre à la mesure d'audience ne règle pas à elle seule le cas de GA4, et comment le choix fait dans la bannière de cookies arrive jusque dans la balise. Techniquement, le chemin passe par Google Consent Mode. Ce texte ne constitue pas un conseil juridique : l'analyse de votre configuration revient à votre DPO ou à votre conseil.

Sur sa page « Cookies et traceurs : que dit la loi ? », mise en ligne en septembre 2020, la CNIL pose la règle sans nuance : « tant que la personne n'a pas donné son consentement, les cookies ne peuvent pas être déposés ou lus sur son terminal ».

Le consentement s'entend au sens des articles 4(11) et 7 du RGPD, donc libre, spécifique, éclairé et univoque. La CNIL range les traceurs de publicité personnalisée et ceux des réseaux sociaux parmi ceux qui l'exigent.

Les exceptions sont étroites. Dans sa FAQ sur les cookies, publiée en avril 2026, la CNIL rappelle que l'exemption ne vaut que pour ce qui est strictement nécessaire au service expressément demandé par l'utilisateur. Une mesure d'audience n'entre pas dans cette catégorie par défaut, sauf à remplir les conditions décrites plus bas.

Pour voir comment une bannière doit se présenter, lisez notre guide sur le bandeau cookies conforme aux exigences de la CNIL.

La CNIL publie une page sur les solutions de mesure d'audience qui peuvent être exemptées de consentement (version du 4 juillet 2025). Pour que l'exemption joue, l'outil doit remplir toutes les conditions suivantes :

• la finalité se limite à mesurer l'audience du site, pour le seul compte de l'éditeur ;
• les données produisent des statistiques anonymes ;
• il n'y a pas de croisement avec d'autres traitements, ni de transmission à des tiers de données qui ne seraient pas anonymes ;
• l'outil ne suit pas une personne de façon globale à travers plusieurs sites ou applications, y compris par des identifiants partagés.

La CNIL recommande en outre une durée de vie du cookie d'environ 13 mois, sans prolongation automatique, et une conservation des données de 25 mois au maximum. Et la FAQ ajoute trois précisions utiles : c'est à vous de pouvoir démontrer que les conditions sont remplies, la pseudonymisation n'équivaut pas à l'anonymisation, et le RGPD continue de s'appliquer, avec un droit d'opposition facile à exercer si vous vous fondez sur l'intérêt légitime.

Cette page ne cite aucun produit, ni Google Analytics, ni un outil concurrent. Elle renvoie les fournisseurs vers un outil d'auto-évaluation. Nous n'avons pas trouvé de texte de la CNIL qui classe GA4 comme exempté ou comme non exempté.

Savoir si une configuration donnée de GA4 tient toutes les conditions ci-dessus est donc une analyse qui vous appartient, à documenter, et non une position de l'autorité. Tant que cette analyse n'est pas faite, la voie prudente consiste à placer la balise derrière le consentement.

Le consentement et le transfert sont deux questions distinctes. Dans sa page sur la mesure d'audience et les transferts (novembre 2023), la CNIL écrit que l'exemption de consentement « est sans incidence » sur les questions de transfert. Elle précise aussi que, depuis la décision d'adéquation de la Commission européenne du 10 juillet 2023, les transferts vers des entités américaines certifiées peuvent s'effectuer librement, sans encadrement spécifique. La page ne nomme pas Google Analytics.

Pour votre dossier, retenez deux choses. Le consentement ne dispense pas de vérifier la base du transfert, et l'adéquation ne dispense pas du consentement pour la lecture et l'écriture sur le terminal.

Côté Google, la documentation d'aide indique que GA4 n'enregistre ni ne stocke les adresses IP individuelles des utilisateurs de l'UE, de la Suisse et du Royaume-Uni. C'est un élément utile pour la fiche de traitement, mais il ne répond pas à la question du consentement : l'article 82 vise l'accès au terminal, pas seulement l'adresse IP.

Un consentement n'a d'effet que s'il arrive dans la balise. Google Consent Mode est le moyen de le transmettre : la CMP (plateforme de gestion du consentement) communique l'état du consentement à Google, et la balise GA4 adapte son comportement.

Pour GA4, le paramètre déterminant est analytics_storage. Il part à denied au chargement de la page et ne passe à granted que si l'utilisateur accepte. La CMP envoie une valeur par défaut au chargement, puis une mise à jour quand l'utilisateur a choisi. La documentation de Google décrit les deux appels, ainsi que wait_for_update pour les CMP qui répondent de façon asynchrone.

L'aide Google Analytics décrit deux modes. En mode basic, les balises ne se chargent qu'après le consentement. En mode advanced, elles se chargent avant, ne stockent pas de cookies d'analyse tant que analytics_storage vaut denied, et envoient des requêtes sans cookies dont Google tire une modélisation.

Lequel tient en France ? Nous n'avons trouvé aucune prise de position publique de la CNIL sur le mode advanced. Le mode basic est le plus protecteur, puisque rien ne part avant le choix. Le mode advanced mérite une décision motivée, prise avec votre DPO, datée et conservée. Notre guide Google Consent Mode v2 en France détaille ce compromis.

Il prend quelques minutes et ne demande aucune compétence de développement :

1. Ouvrez le site dans une fenêtre propre et supprimez toutes les données de site, c'est-à-dire les cookies et le stockage local.
2. Ouvrez les outils de développement, onglet Réseau, et filtrez sur google-analytics.
3. Dans la bannière, cliquez sur « Tout refuser », puis rechargez la page.
4. En mode basic, aucune requête vers Google Analytics ne doit apparaître. En mode advanced, regardez ce que les requêtes contiennent, pas seulement si elles existent.
5. Refaites le test en acceptant, et vérifiez que la mesure démarre.

Notez la date et le résultat. Avec le registre du consentement, c'est un début de preuve. Pour dresser un inventaire fiable des traceurs de votre site, voyez notre guide sur le fonctionnement d'un scanner de cookies.

• La base juridique est documentée, et le choix du consentement ou de l'exemption est motivé.
• La bannière nomme Google comme destinataire, avec la finalité, sans case précochée.
• analytics_storage est à denied par défaut et ne passe à granted que par un acte positif.
• Le retrait du consentement est accessible à tout moment, et la balise s'arrête ensuite.
• La politique de confidentialité décrit l'usage, avec le fournisseur et la finalité.
• Le test « refuser puis accepter » est refait après chaque changement de bannière ou de conteneur Google Tag Manager.

La CMP est le lien entre la bannière et la balise. Elle recueille le choix, le conserve et transmet l'état à Google. AdOpt enregistre chaque choix dans le Consent Log, avec la date et l'heure, les tags et cookies acceptés ou refusés, et les versions de vos documents. Si vous voulez voir ce que cela donne sur votre site, vous pouvez démarrer gratuitement avec AdOpt : l'essai gratuit de 30 jours inclut l'analyse des cookies.

• Pixel Meta et RGPD : consentement avant le premier envoi
• Google Tag Manager et RGPD : le consentement dans le conteneur

En principe oui. L'article 82 de la loi Informatique et Libertés subordonne l'accès au terminal de l'utilisateur à son consentement, sauf exception. La CNIL admet une exemption pour certaines mesures d'audience, à conditions strictes, mais ne nomme aucun produit. Tant que vous n'avez pas démontré que votre configuration remplit toutes les conditions, placez GA4 derrière le consentement.

Non. Google indique que GA4 n'enregistre pas les adresses IP individuelles des utilisateurs de l'UE, mais l'article 82 concerne l'accès au terminal, pas seulement l'adresse IP. Les autres données d'usage restent à analyser, et la CNIL rappelle que la pseudonymisation n'est pas l'anonymisation.

Non. C'est un produit de Google, pas un texte de loi. Il est le moyen technique de transmettre le choix de la bannière à Google. Ce qui compte juridiquement, c'est de savoir si des données sont lues ou écrites avant le consentement, et si le retrait est effectif.

Supprimez les données de site, refusez dans la bannière et observez l'onglet Réseau. En mode basic, aucune requête vers Google Analytics ne doit partir. En mode advanced, examinez leur contenu. Refaites le test en acceptant, et à chaque modification de votre configuration.

Vous voulez savoir si votre refus arrive vraiment dans Google Analytics ? Parlez à l'équipe AdOpt et nous vérifions ensemble.