Faut-il un consentement pour les cookies analytics ?

Le cadre juridique applicable

La réponse courte est oui, dans la majorité des cas. Le dépôt de cookies analytics est soumis à la directive ePrivacy (transposée en France par l’article 82 de la loi Informatique et Libertés) qui exige le consentement préalable de l’utilisateur pour tout accès ou inscription d’informations dans son terminal, sauf exceptions limitées.

Google Analytics, qu’il s’agisse d’Universal Analytics ou de GA4, utilise des cookies pour identifier les visiteurs et suivre leur parcours. Ces cookies ne sont pas strictement nécessaires au fonctionnement du service demandé par l’utilisateur. Ils requièrent donc un consentement libre, spécifique, éclairé et univoque avant tout dépôt. Cette position a été confirmée par la CNIL dans ses lignes directrices de 2020 et par le Comité européen de la protection des données.

L’exception pour la mesure d’audience

La CNIL prévoit une exemption de consentement pour certains outils de mesure d’audience, à condition qu’ils respectent des critères stricts : finalité limitée à la production de statistiques anonymes, pas de croisement avec d’autres traitements, pas de transfert de données hors UE, durée de vie des cookies limitée à 13 mois et conservation des données agrégées à 25 mois maximum.

En pratique, seuls Matomo configuré spécifiquement et quelques autres outils (AT Internet/Piano Analytics) peuvent bénéficier de cette exemption. Google Analytics ne remplit pas ces critères et nécessite toujours un consentement.

Conséquences pratiques pour votre site

Implémentez une CMP conforme qui bloque le chargement des scripts GA4 tant que le visiteur n’a pas accepté. Activez le Consent Mode v2 pour récupérer des données modélisées même sans consentement. Documentez le traitement dans votre politique de confidentialité et votre registre. Le non-respect expose à des amendes significatives : la CNIL a sanctionné plusieurs éditeurs français pour des dépôts de cookies sans consentement valide.