RGPD : Pourquoi la CNIL interdit Google Analytics ?

Actuellement le monde du web est en ébullition suite aux dernières préconisations de la CNIL afin de se mettre en conformité avec la nouvelle réglementation RGPD.
En effet, la CNIL estime que l’usage de Google Analytics est une violation du RGPD. Afin de mieux comprendre ce qu’il en est, j’ai interviewé Elsie Fantino, spécialiste et formatrice certifiée

Sommaire

Quel est ton métier et en quoi consiste-t-il ?

Je suis déléguée à la protection des données personnelles certifiée par PECB depuis janvier 2021 et formatrice certifiée (CFP de formateur) depuis 2001. Je sensibilise les personnes au RGPD (règlement général sur la protection des données), les forme aux bonnes pratiques, puis je les accompagne à la mise en conformité RGPD soit dans le cadre de la formation professionnelle, soit dans le cadre de ma fonction de Déléguée à la Protection des Données dont les prérogatives sont indiquées aux articles 38 et 39 du Réglement Général du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données mis en application au 25 mai 2018.

As-tu une spécialité ? Si oui, laquelle ?

Je suis plutôt spécialisée sur l’aspect juridique et organisationnel, c’est à dire la mise en conformité des structures dans le cadre de leur organisation, de la sensibilisation et de la formation du personnel de l’entreprise, et d’un point de vue juridique (démarches à effectuer, registres à créer et à actualiser, conseils pour la réalisation d’une analyse d’impact aussi appelée PIA, point de contact unique et coopération avec l’autorité de contrôle….). En aucun cas je ne me substitue au responsable de traitement, mais je le conseille dans ses démarches et vérifie leurs mises en œuvre afin d’assurer la conformité de l’organisation (institution, association ou entreprise) au RGPD. La forte implication de la direction de la structure dans la démarche RGPD est un pilier pour réussir à faire changer les mentalités et les processus dans l’organisation engageant l’ensemble des services qui traitent des données à caractère personnel dans une amélioration continue pour garantir la sécurité, la confidentialité, l’intégrité et la disponibilité des données, éviter toute violation, informer les personnes concernées et répondre à l’exercice de leurs droits.

Qu’est-ce que le RGPD ?

Le RGPD (règlement général sur la protection des données) est un règlement émanant de l’Union Européenne, visant à harmoniser la protection des libertés et droits fondamentaux des personnes physiques en ce qui concerne les activités de traitement et à assurer le libre flux des données à caractère personnel entre les États membres et leur transfert vers des pays tiers et à des organisations internationales, tout en assurant un niveau élevé de protection des données à caractère personnel, afin de susciter la confiance qui permettra à l’économie numérique de se développer dans l’ensemble du marché intérieur. Il s’applique à l’ensemble des Etats membres.

Une donnée à caractère personnel correspond à une donnée permettant d’identifier une personne, par exemple un nom et un prénom, ou un prénom et une date de naissance, la plaque minéralogique d’un véhicule, un numéro de téléphone, une adresse mail, une adresse IP… Suivant les dispositions des Art 4, 9 et 10 RGPD, certaines données sont communes (dont celles citées plus haut), d’autres sont considérées comme sensibles (notamment les données médicales ou bancaires), et certaines totalement interdites (croyances philosophiques ou religieuses, opinion politique, origine raciale…, données relatives aux infractions et condamnations pénales).

Il faut rappeler que la conformité ne concerne pas seulement les données à caractère personnel traitées numériquement, mais également sur tout autre support, dont le papier.

Dans le cadre de son activité quotidienne, une entreprise traite des données à caractère personnel aussi bien pour sa comptabilité (devis, factures…), ses déclarations fiscales et sociales, des relations avec ses partenaires, fournisseurs, clients…. et même au niveau de son site web (formulaire de contact, inscription à une newsletter, cookies…).

C’est le responsable de traitement, donc le responsable de l’entreprise, mais cela est également valable pour une institution publique ou une association, qui est juridiquement responsable des traitements effectués par sa structure, tant envers la CNIL qu’envers les personnes concernées. Au-delà des sanctions administratives prononcées par la CNIL, il peut y avoir des condamnations civiles ou pénales. Cela peut même affecter l’entreprise dans le cadre de marchés conclus qui peuvent être dénoncés pour absence de conformité au RGPD.

Par ailleurs, les personnes concernées, c’est-à-dire les personnes dont les données sont collectées, disposent de droits quant à leur données : informations sur les modalités de collecte et de traitement des données, droit d’accès, de rectification, droit à l’effacement (“droit à l’oubli”), droit à la limitation des traitements, droit à la portabilité des données, droit d’opposition. La personne concernée peut refuser de faire l’objet d’un traitement automatisé, y compris le profilage.

Le responsable de traitement doit s’assurer à tout moment de la confidentialité, de l’ intégrité et de la disponibilité des données à caractère personnel.

Avant toute opération de traitement, il est fortement conseillé de réaliser une analyse d’impact quant aux risques réels ou possible de violation et aux conséquences que cela pourrait entraîner pour la personne concernée.

Par ailleurs, toute violation doit faire l’objet d’un compte rendu qui devra être stocké, et, selon la gravité de la violation, être signalé à l’autorité de contrôle (la CNIL pour la France) ainsi qu’aux personnes concernées. La simple panne d’électricité affectant un serveur correspond à une violation (mineure) qui devra être consignée. Si les données ne sont pas impactées (aucune perte, aucune détérioration, aucune fuite), il n’est pas nécessaire d’effectuer un signalement à la CNIL.

En cas de sous-traitance ou de co-traitance des données, le sous-traitant ou le co-traitant doit tenir un registre de traitement des données à caractère personnel sous la responsabilité du responsable de traitement. Un contrat de sous-traitance devra être signé par les parties.

Lorsque l’entreprise, ou son siège social, se situe en dehors du territoire de l’Union Européenne, mais qu’il a une activité professionnelle avec des acteurs (clients, fournisseurs…) situés sur le territoire de l’Union Européenne, il doit désigner un correspondant dans le pays dans lequel il a la plus grande part d’activité.

De plus, lorsque l’entreprise ou son sous-traitant, ou co-traitant, transfère des données en dehors de l’Union Européenne ou auprès d’une organisation internationale (dont les GAFAM) doit s’assurer auprès de l’autorité de contrôle qu’une décision d’adéquation existe. Rappelons qu’une décision d’adéquation vient reconnaître qu’un pays, une organisation, un territoire ou encore un secteur assure un « niveau de protection adéquat »* (Art. 45 RGPD). Cette notion est à interpréter à la lumière de la Charte des droits fondamentaux de l’Union européenne (point 94), et comprend notamment le respect du principe de proportionnalité (article 52, 1. de la Charte) et un droit à un recours effectif (article 47 de la Charte). SInon, elle devra mettre en place un contrat spécifique, juridiquement contraignant et exécutoire, assurant des garanties appropriées assurant aux personnes concernées des droits opposables et des voies de droit effectives similaires à ce que propose le RGPD. Ce contrat devra être soumis à l’autorité de contrôle.

L’Arrêt Schrems 2, du 16 juillet 2020, la CJUE (Cours de Justice de l’Union Européenne), invalidant le système du « Privacy Shield » qui permettait le transfert de données personnelles vers les Etats-Unis estimant que la législation actuellement en vigueur aux Etats-Unis ne permet pas d’assurer un niveau de protection adéquat pour les personnes concernées européennes dont les données transiteraient par les Etats-Unis, invalide le Privacy Shield, dont l’objet était précisément de pallier ces insuffisances. Or, le CLOUD Act est une loi qui permet aux forces de l’ordre américaines de demander l’accès à des données stockées par des entreprises américaines dès lors qu’elles sont nécessaires dans une enquête judiciaire et le Patriot Act, fondés sur l’article 702 du Foreign Intelligence Surveillance Act (FISA) de 1978 et sur l’Executive Order (E.O.) 12333 de 1981, prévoit une extraterritorialité des lois américaines concernant les entreprises situés dans des pays tiers (dont l’Union Européenne), permettant aux services de renseignement américains de collecter et de traiter massivement des données, y compris relatives à des résidents européens, ce qui rend vulnérable tout accord de transfert de données vers des entités américaines. Dès lors, les organisations françaises (institutions, entreprises, associations….) n’ont plus le droit de transférer leur données à caractère personnel auprès d’entreprises américaines, quand bien même les données seraient stockées sur le territoire de l’Union Européenne.

Cela pose donc le problème de l’utilisation de serveurs web hors de l’Union Européenne pour héberger des données des sites web ou des applications à destination de personnes situées dans l’espace géographique européen, mais également l’usage de services détenus par des entreprises américaines situés sur le sol européen, notamment les outils de stockage, logiciels SAAS ou applications web proposés par Google (Drive, Workspace…), Amazon, Microsoft, Salesforce, Oracle, Mailchimp, Zoom…., ainsi que des réseaux sociaux (Facebook, Club House, LinkedIn, Whatsapp….) ou de toute extension web faisant transiter de la donnée à caractère personnel au sein de son système d’information (dont les auto-répondeurs, les gestionnaires d’agenda, les plateformes e-learning…).

Pourquoi ne peut-on faire abstraction du RGPD ?

Pourquoi la conformité est-elle importante et quels sont les avantages à utiliser un pro ?

La conformité des organisations est OBLIGATOIRE depuis le 25 mai 2018. La CNIL a laissé un peu de temps aux entreprises pour s’adapter. Maintenant, plus de deux ans après, toutes les structures devraient être en conformité.

Pour autant ce n’est pas le cas, et certains dirigeants minimisent le risque. Pourtant deux médecins libéraux ont été condamnés, fin 2021 à 15 000 Euros d’amende par la CNIL pour non-conformité. Et les contrôles s’intensifient avec les moyens supplémentaires octroyés à la CNIL.

Le nombre de cyber-attaques, notamment la multiplication des attaques de rançongiciels en France, comme dans le monde, depuis plusieurs mois, est qualifiée d’« Explosion totale » par Guillaume Poupard, Directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

C’est dans ce contexte que la désignation d’un délégué à la protection des données est devenue importante

En effet elle permet :

au responsable du traitement ou au sous-traitant ainsi que pour les employés qui procèdent au traitement d’être informés et conseillés sur les obligations qui leur incombent, notamment avec la mise en place d’ actions de formation.
d’obtenir un audit de départ sur le fonctionnement de l’entreprise quant à la collecte et au traitement des données à caractère personnel. Il s’agit d’une photographie à l’instant T.
d’obtenir un check-list des mesures d’ordre techniques et organisationnelle appropriée à mettre en place, notamment la mise en place d’une politique de gouvernance des données à caractère personnel, des divers registres obligatoires (dont le registre de traitements), d’un code de conduite qui devra être respecté par chaque personne traitant des à caractère personnel, etc., de manière à démontrer et à garantir que chaque traitement est effectué conformément au RGPD et en assurer leur sécurité.
d’être conseillé, sur demande, lors d’analyses d’impact, lorsque celles-ci sont nécessaires, compte tenu de la nature, de la portée, du contexte et des finalités du traitement, lorsqu’il peut y avoir un risque élevé pour le droit et les libertés des personnes concernées. Dans un certain nombre de cas, elles sont obligatoires, notamment dans le cadre du commerce électronique.
de s’assurer que l’organisation (et ses acteurs) respectent bien le règlement et que tout est mis en œuvre pour garantir cette conformité,
de connaître les risques en cas de violation, de faciliter la coopération avec l’autorité de contrôle, d’activer le plan de continuité ou de reprise d’activité,
de mettre en place des procédures afin de réaliser régulièrement des tests pour vérifier et évaluer le niveau d’efficacité des mesures techniques et organisationnelles mises en place pour assurer la sécurité des traitements,
vérifier que le responsable de traitement s’assure systématiquement de la conformité RGPD de ses partenaires, fournisseurs, sous-traitants… et établit des contrats contenant les clauses RGPD,
d’avoir un interlocuteur identifié auprès de l’autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable, et mener des consultations, le cas échéant, sur tout autre sujet.
d’avoir un point de contact unique pour l’exercice des droits des personnes concernées.

L’engagement d’un délégué à la protection des données relève d’une stratégie à long terme, avec une mise en conformité, mais également un suivi régulier pour accompagner le responsable de traitement ou le sous-traitant dans le maintien de sa conformité au RGPD.

Y a t’il des cas où on peut faire sans ? Quels sont les risques et les inconvénients ?

Par dérogation, les entreprises de moins de 250 salariés ne sont pas tenues de désigner un délégué à la protection des données, sauf lorsque:

le traitement est effectué par une autorité publique ou un organisme public, à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle;
les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées; ou
les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l’article 9 (données sensibles ou interdites) et de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10.

Attention, par “suivi régulier et systématique à grande échelle des personnes concernées” il faut analyser cela en proportion du nombre total de personnes concernées par ce traitement. Même si cela ne concerne que 30 personnes par mois, à partir du moment où ces 30 personnes représentent la majorité des personnes concernées faisant l’objet de traitements de données à caractère personnel dans l’entreprise, la désignation d’un délégué à la protection des données devient obligatoire.

Le principal risque demeure dans la fiabilité de l’organisation et de la gestion au quotidien de son système d’information.

Ceci tant au niveau des compétences techniques ou administratives, que de la mise en place de la politique de sécurité, de la charte informatique, et des process de mise en œuvre, de tests et de vérification des résultats, mais également de la sensibilisation et de la formation du responsable de traitement, ou du sous-traitant, et des employés qui procèdent au traitement, chaque élément pris individuellement pouvant mettre en péril toute volonté de conformité.

En effet, la plupart des risques se situent au niveau humain :

armoire contenant des documents comptables qui reste ouverte dans un bureau qui n’a pas de serrure => n’importe qui peut accéder aux données, donc violation potentielle.
carte de self ou de machine à café perdue => le numéro de la carte est rattaché à une personne physique : qui a accès à la base de données ? De quelle manière peut-on y accéder ?
cartes de visites récupérées lors d’un petit-déjeuner ou d’un afterwork par un membre de l’entreprise, enregistrées dans une base de données puis soit conservées soit jetées. => Qui a accès à la base de données ? Les personnes concernées ont-elles été averties de ce traitement ? Quelle sera la durée de conservation ( 1 – Pour les cartes de visite ; 2 – Pour les données entrées dans la base de données) ? De quel fondement juridique le responsable de traitement peut-il se prévaloir ? Quelles seront les méthodes de conservation ? Que se passe-t-il à la fin du cycle ? Et comment ?
envoi en réparation d’un ordinateur appartenant à l’entreprise sans vérification de la conformité RGPD du prestataire et sans signature préalable d’un contrat de sous-traitance des données à caractère personnel => pourtant, le professionnel a potentiellement accès à toutes les données de l’entreprise stockées dans la machine : que va-t-il faire de ces données ? S’il doit changer un disque dur défectueux, que fera-t-il du disque usagé ? Quelles seront les conséquences pour les données qui y sont contenues ?
la fraude au président : le fraudeur téléphone ou envoie un mail au comptable de l’entreprise en se faisant passer pour le PDG, lui-même en déplacement. Prétextant la signature urgente d’un contrat stratégique, le criminel demande d’effectuer rapidement un virement bancaire. L’attaque a lieu en général lorsque le responsable financier est en congé afin d’échanger avec l’adjoint, plus vulnérable. Cela peut être évité par une action continue de sensibilisation.
le phishing : technique de fraude dans laquelle les cybercriminels se font passer pour un tiers de confiance (banque, administration…) afin d’obtenir des renseignements sensibles tels que les noms d’utilisateurs, les mots passe ou les détails des cartes de crédit. La formation régulière aux bonnes pratiques permet aux personnes qui travaillent dans l’entreprise de repérer les mails malveillants et d’alerter immédiatement les bonnes personnes.
le ransomware : un malware prend en otage des données personnelles et une rançon est demandée en échange de la clef de chiffrement des données cryptées. Sauf que, dans 80% à 90% des cas (en France) l’entreprise qui paie la rançon ne retrouvera pas ses données. Connaître les procédures à suivre en cas d’attaque permet de limiter les risques de perte de données. Le DPO peut vous les indiquer dans le cadre de sa mission.

La liste n’est pas exhaustive. En cas de violation, l’entreprise s’expose à des amendes administratives de la CNIL pouvant aller jusqu’à 20 millions d’euros ou 4% du chiffre d’affaire mondial, le montant le plus élevé étant retenu, le but des sanctions étant d’être dissuasives, sans préjudice de toute autre action des personnes concernées auprès d’autres juridictions (civiles ou pénales).

D’où l’importance de réaliser un état des lieux exhaustif des données contenues dans l’entreprise, des traitements qui y sont appliqués, des personnes chargées de les mettre en place, de les réaliser et de les suivre, de la licéité de ces traitements et de leurs fondements juridiques, des processus mis en place, des risques potentiels de violation, des conséquences potentielles pour les personnes concernées…

Une fois cette cartographie obtenue, il est nécessaire de mettre en place des processus d’amélioration permanente pouvant garantir la confidentialité, l’intégrité, la disponibilité et la résilience des données contenues dans le système d’information de l’organisation (institution, association ou entreprise), tant d’un point de vue technique qu’organisationnel. C’est le travail du DPO que de réaliser cette photographie à l’instant T et de vous aider à atteindre et à maintenir la conformité au RGPD.

Gestion des données personnelles : vaut-il mieux faire appel à un freelance ou à une agence ?

Dans l’activité de Délégué à la protection des données à caractère personnel il n’y a pas d’agence. Il existe quelques plateformes spécialisées qui mettent en relation les entreprises avec des DPO. Ensuite il y a des ESN spécialisées dans la cybersécurité et dans le RGPD.

Il y a aussi des délégués internes (salariés), qui peuvent exécuter d’autres missions et tâches dans l’entreprise. Dans ce cas, le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n’entraînent pas de conflit d’intérêt. La plupart des délégués salariés sont soit des responsables de la sécurité des systèmes d’information (RSSI) ou des Directeurs des Systèmes d’Information (DSI) soit des juristes, voire des responsables qualité. Dans certaines institutions, et dans les grands groupes, nous rencontrons aussi des délégués mutualisés qui sont chargés de veiller à la conformité au sein de plusieurs entités.

Les délégués externes sont des prestataires de services soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l’exercice de leurs missions. L’avantage c’est que le DPO externe voit différents cas, différentes problématiques, alors que le délégué interne ne voit que le cas de son entreprise. Le fait d’avoir une vue plus large permet de faire face plus rapidement à une situation parce qu’on a déjà rencontré une situation similaire par ailleurs.

Après, tout dépend de vos besoins :

si vous avez un RSSI ou un DSI dans l’entreprise, votre besoin risque davantage d’être organisationnel et juridique,
si, au contraire, vous avez un juriste dans l’entreprise et que vous n’avez pas d’opérationnel pour réaliser la mise en conformité technique et organisationnelle, c’est sur ce point que vous devrez mettre l’accent,
si vous n’avez personne, vous risquez d’avoir besoin d’un DPO qui sache gérer l’ensemble de la démarche RGPD,
si vous avez déjà un juriste et un RSSI ou un DSI, vous n’aurez besoin que d’un « chef d’orchestre » qui va guider vos équipes dans leur démarche de manière cohérente dans un objectif commun qu’est la conformité.

* ce qui pose actuellement problème avec google
https://www.cnil.fr/fr/cookies-la-cnil-sanctionne-google-hauteur-de-150-millions-deuros
https://www.cnil.fr/fr/utilisation-de-google-analytics-et-transferts-de-donnees-vers-les-etats-unis-la-cnil-met-en-demeure

Mise à jour février 2026

D’après les sources disponibles (février 2026), la position de la CNIL concernant Google Analytics reste inchangée :

1. Google Analytics toujours considéré comme non conforme au RGPD

La CNIL maintient que l’utilisation de Google Analytics (versions standard) viole le RGPD, principalement en raison du transfert de données personnelles vers les États-Unis sans garanties suffisantes de protection (arrêts « Schrems II » de la CJUE).

2. Alternatives recommandées par la CNIL

La CNIL propose des solutions pour se conformer :

Utiliser des outils d’analytics européens (ex : Matomo, Piwik Pro, AT Internet) hébergés en UE.
Configurer Google Analytics en mode « anonymisé » (mais cela ne suffit pas à éliminer tous les risques).
Signer des clauses contractuelles types (SCC) + mesures supplémentaires (chiffrement, minimisation des données) si l’usage de Google Analytics est indispensable.

3. Sanctions possibles

Amendes jusqu’à 20M€ ou 4% du CA mondial (RGPD, art. 83).
Exemples de sanctions : En 2022, la CNIL a infligé des amendes à des sites utilisant Google Analytics (ex : Décision contre un site français).

4. Évolution récente (2025-2026)

Aucun accord UE-USA définitif : Le « Data Privacy Framework » (2023) est contesté par la CJUE, et les transferts de données vers les États-Unis restent risqués.
La CNIL renforce ses contrôles : Les sites publics et privés sont de plus en plus audités sur leur conformité.

Que faire en 2026 ?

Vérifier votre version de Google Analytics :

GA4 (la version actuelle) est toujours concernée par les mêmes risques.
Server-side tracking peut réduire les risques, mais ne les élimine pas.

Privilégier des alternatives RGPD-friendly :

Matomo (open-source, hébergement UE possible).
Plausible (léger, conforme RGPD).

Documenter votre conformité :

Registre des traitements (obligatoire RGPD).
Analyse d’impact (PIA) si vous traitez des données sensibles.

Sources officielles à consulter

Conclusion : Oui, la CNIL interdit toujours Google Analytics en l’état actuel, sauf si des mesures strictes sont appliquées (ce qui est complexe). Les entreprises doivent migrer vers des solutions alternatives pour éviter les sanctions.

Bien entendu, tous les sites livrés par Malibellule, avec ou sans IA intégrée, sont conformes RGPD