Google Analytics collecte-t-il des données personnelles ?
Commencez par examiner la configuration précise : quelle propriété et quels paramètres Google Analytics ?
La réponse courte est : parfois. La collecte de données personnelles par Google Analytics au sens du RGPD dépend des données envoyées par un site, de la façon dont Google les traite et de la possibilité de les relier à une personne identifiable. Le simple nom du produit ne suffit pas au propriétaire d’un site pour trancher la question. Pour déterminer si Google Analytics collecte-t-il des données personnelles ?, il faut donc examiner la configuration réelle et les traitements associés.
Commencez par identifier la propriété utilisée. Un site peut utiliser Google Analytics 4 (GA4), une ancienne propriété Universal Analytics, ou les deux pendant une période de transition. Leurs méthodes de collecte et les commandes disponibles diffèrent, et le fonctionnement des produits Google évolue au fil du temps. Vérifiez la configuration actuelle de la propriété et des balises au lieu de vous fier à un ancien guide d’installation.
Cartographiez ensuite l’ensemble du système. Une balise GA4 peut être déclenchée par Google Tag Manager, une plateforme de gestion du consentement, une balise publicitaire ou un plug-in qui ajoute automatiquement des champs. Un outil de formulaire ou une base de données clients peut également transmettre des identifiants à Analytics. Une même propriété peut donc soulever des questions de confidentialité différentes selon le site.
Gardez un périmètre précis : une propriété, un ensemble de balises et les données qu’elles envoient réellement. Si un compte comprend des propriétés distinctes pour un blog public et un service nécessitant une connexion, examinez-les séparément. Leurs finalités et leurs flux de données peuvent être différents.
Suivez le parcours d’une visite dans le pipeline Analytics
Imaginez un visiteur qui ouvre une page produit à partir d’un résultat de recherche. La page charge une balise Google Analytics, qui peut envoyer un événement comme une vue de page, ainsi que des détails configurés par le site. Selon la mise en œuvre, ces détails peuvent inclure l’adresse de la page, des informations sur le navigateur, le nom d’un événement ou un identifiant.
Google reçoit ensuite la requête et la traite selon la configuration du produit et les conditions applicables. Le site peut aussi envoyer des informations par l’intermédiaire de services associés, comme des fonctionnalités publicitaires ou une audience importée. Une visite ne correspond pas nécessairement à un enregistrement isolé : les paramètres peuvent influer sur la manière dont les événements sont associés, présentés dans les rapports ou partagés avec d’autres outils.
Examinez attentivement l’adresse de la page. Une URL peut contenir une adresse e-mail, un terme de recherche, un numéro de compte ou d’autres informations si le site les insère dans un paramètre de requête. Par exemple, un lien de réinitialisation de mot de passe peut contenir un jeton. Si une balise enregistre l’URL complète, le site peut envoyer davantage que le seul nom de la page.
Une seule requête peut suffire.
Cela ne signifie pas que chaque visite identifie une personne par son nom. En revanche, le propriétaire du site doit examiner la requête et les systèmes associés, au lieu de supposer qu’Analytics ne reçoit que des statistiques anonymes. Les outils du navigateur, l’aperçu des balises et une visite de test peuvent aider à voir ce qui est envoyé ; consignez les résultats pour la propriété examinée.
Distinguez la collecte de données de leur caractère personnel
La collecte de données et leur caractère personnel sont deux questions liées, mais distinctes. Un événement de vue de page constitue une donnée. Pour déterminer s’il s’agit d’une donnée personnelle au sens du RGPD, il faut tenir compte de son contenu et du contexte, notamment de la possibilité d’identifier une personne directement ou indirectement à l’aide d’informations accessibles au site ou à un tiers.
Un identifiant d’apparence aléatoire peut tout de même être important. S’il permet de distinguer un navigateur au fil du temps ou d’être associé à un dossier client, il peut contribuer à singulariser une personne, même si le rapport Analytics n’affiche aucun nom. Si le site peut relier un identifiant d’événement à un compte connecté, il doit évaluer ce lien, et pas seulement se fier à l’étiquette du champ.
Le contexte change la réponse.
Considérez deux enregistrements portant le même nom d’événement, « view_item ». Le premier correspond à un décompte général des visites d’une page produit publique. Le second comprend un identifiant utilisateur persistant que l’entreprise peut associer à un compte et à l’historique des achats. Le nom de l’événement n’a pas changé, mais la possibilité de relier l’enregistrement, oui.
C’est pourquoi la question « Google Analytics collecte-t-il des données personnelles au sens du RGPD ? » n’appelle pas une réponse générale par oui ou par non valable pour tous les sites. L’évaluation pratique porte sur les identifiants, les données complémentaires, les accès et les possibilités de rapprochement propres au traitement concerné. Une information pseudonymisée n’est pas automatiquement anonyme simplement parce qu’elle ne contient pas de noms.
Vérifiez les champs et les fonctionnalités qui peuvent changer l’évaluation
Examinez les champs et les fonctionnalités susceptibles d’influer sur l’identifiabilité ou sur la quantité d’informations collectées. Ne présumez pas qu’une fonctionnalité est activée ou désactivée simplement parce qu’elle figurait dans un ancien guide de configuration. Vérifiez les paramètres actuels de la propriété et la documentation de Google.
Traitement des adresses IP : Vérifiez quelles données la version actuelle du produit reçoit et traite, ainsi que les commandes disponibles. Évitez d’affirmer que les adresses IP sont anonymisées en vous fondant sur un paramètre d’une ancienne version d’Analytics.
Identifiants utilisateur : Si le site transmet un identifiant de compte, vérifiez s’il est stable, s’il peut être associé à un client et si le site est autorisé à l’envoyer pour la finalité configurée.
Google Signals et fonctionnalités publicitaires : Vérifiez si ces fonctionnalités sont activées, quelles informations elles utilisent et si elles modifient les rapports ou le partage des données de la propriété.
Paramètres d’URL : Testez des pages réelles pour repérer des données personnelles dans les chaînes de requête, les fragments et les liens de redirection. Un jeton ou une adresse e-mail peut se retrouver dans l’adresse d’une page, même si personne n’avait prévu de l’utiliser comme champ Analytics.
Dimensions et événements personnalisés : Examinez les noms et les valeurs envoyés par le site. Un champ personnalisé appelé « type d’abonnement » peut être anodin dans une configuration, tandis qu’un champ contenant une adresse e-mail, une réponse en texte libre ou une information de santé soulève un autre problème.
Vérifiez également ce qui se passe après l’arrivée des données dans la propriété. Les comptes associés, les exportations et les intégrations peuvent élargir l’accès à ces informations ou les possibilités d’utilisation. Un paramètre qui limite la collecte ne répond pas à toutes les questions relatives à l’utilisation ultérieure des données.
Ce que le rôle de Google et ses conditions règlent — ou non
Les documents contractuels de Google peuvent décrire les rôles de Google et du client pour certains traitements, notamment les cas où Google agit en qualité de sous-traitant. Lisez les conditions applicables au service et au compte, et vérifiez leur formulation actuelle. La description d’un produit ne suffit pas à établir l’ensemble de la situation du site au regard du RGPD.
Le propriétaire du site doit toujours évaluer ses propres finalités, sa base juridique, ses obligations de transparence, sa configuration et les éventuelles divulgations ou transferts applicables. Un fournisseur peut proposer des paramètres et des conditions contractuelles, mais cela ne rend pas automatiquement licite toute utilisation d’Analytics. De même, l’activation d’une bannière de consentement ne prouve pas que les balises se comportent comme elle le laisse entendre.
Les rôles peuvent aussi dépendre du traitement concerné. Un site peut décider pourquoi il souhaite mesurer les visites et quels événements envoyer, tandis qu’un fournisseur traite les informations selon des conditions de service précises. Les détails comptent : évitez d’attribuer des rôles à partir d’un modèle générique sans vérifier les modalités réelles du service.
Pour un petit éditeur de site, la mesure pratique consiste à consigner la propriété, les balises, les services associés, les finalités et les conditions pertinentes. Pour répondre à la question « Google Analytics et RGPD : quelles obligations ? », il faut notamment examiner les bases juridiques, la transparence, les paramètres et les flux de données réellement en place. Si le site traite des informations sensibles ou s’appuie sur des intégrations publicitaires complexes, demandez conseil à un spécialiste qualifié de la protection des données au lieu de considérer un écran de paramètres comme un examen juridique.
Réalisez un audit ciblé de votre site
Un audit bref et documenté est plus utile qu’une vague promesse d’« utiliser des paramètres respectueux de la vie privée ». Suivez ces étapes pour chaque propriété Analytics :
Répertoriez la propriété et les balises. Notez si le site utilise GA4, une ancienne propriété, Google Tag Manager, des plug-ins ou du code intégré directement. Indiquez les pages sur lesquelles chaque balise se déclenche.
Effectuez une visite de test. Ouvrez une session de navigation vierge, consultez les pages clés et examinez les requêtes sortantes à l’aide des outils de développement du navigateur ou d’une fonctionnalité de débogage des balises. Relevez les noms d’événements, les adresses des pages et les identifiants, puis supprimez ou masquez toute donnée sensible trouvée.
Vérifiez le comportement lié au consentement. Testez les deux choix proposés dans l’interface de consentement du site. Vérifiez si les balises Analytics attendent, sont bloquées ou se comportent différemment, puis comparez le résultat avec la politique annoncée par le site.
Examinez les événements et les intégrations. Passez en revue les événements personnalisés, les identifiants utilisateur, les services publicitaires associés, les importations et les exportations. Demandez à l’équipe responsable de chaque intégration quelles données elle envoie et pourquoi.
Vérifiez la durée de conservation et les accès. Examinez les paramètres de conservation de la propriété, les utilisateurs du compte et les destinations des exportations. Supprimez les accès qui ne répondent plus à un besoin professionnel et consignez les paramètres en vigueur.
Corrigez les transmissions involontaires. Supprimez les données personnelles des URL ou des valeurs d’événement à la source lorsque c’est possible. Si un champ ne doit pas être envoyé, bloquez-le avant qu’il n’atteigne la balise plutôt que de vous fier uniquement à un filtre dans les rapports.
Pour savoir « Comment vérifier les données envoyées à Google Analytics ? », effectuez une visite de test et examinez les requêtes sortantes avec les outils de développement du navigateur ou le débogage des balises. Relevez les événements, les URL, les paramètres et les identifiants, puis vérifiez si des données personnelles ou sensibles sont transmises. Refaites ces vérifications après une refonte ou l’installation d’un nouveau plug-in. Un nouveau parcours de paiement, de connexion ou de formulaire peut modifier les données envoyées, même si personne ne touche directement à la propriété Analytics.
Donnez aux visiteurs une réponse précise et nuancée
Une politique de confidentialité utile doit décrire les pratiques réelles du site, sans affirmer de façon générale que « Google Analytics est anonyme ». Indiquez la finalité, par exemple comprendre quelles pages les visiteurs consultent, et expliquez les catégories de données collectées, les éventuels partages pertinents et les choix offerts aux visiteurs. Veillez à ce que le texte corresponde aux balises observées pendant l’audit.
Expliquez la base juridique sur laquelle le site s’appuie pour chaque finalité concernée, ainsi que la manière dont un visiteur peut exercer les droits applicables. Dans certaines situations, le consentement peut être requis pour certains suivis, mais il ne répond pas à lui seul à toutes les questions liées au RGPD ; le site doit évaluer le traitement et les règles applicables.
Soyez clair sur les limites. Si le site utilise un identifiant qui peut être associé à un compte connecté, dites-le en termes précis ; s’il n’envoie pas cet identifiant, ne laissez pas entendre le contraire. La réponse doit correspondre à la propriété, aux balises et au flux de données testés sur le site, et non à une description générique de Google Analytics.
