Utiliser GA4 conformément à la protection des données : IP, consentement et sans cookies

Vous voulez savoir d'où viennent vos visiteurs et quelles pages fonctionnent bien, c'est tout à fait compréhensible. Google Analytics 4, GA4 en abrégé, est l'outil courant pour cela, gratuit et puissant. Mais dès qu'il est question de données de visiteurs, deux questions surgissent vite : ai-je seulement le droit de faire cela ? Et que dois-je faire pour que ce soit propre ? C'est précisément le sujet ici, sans jungle de paragraphes, mais avec des réponses claires.

Précision d'emblée : je suis développeur web, pas avocat. Ce que vous lisez ici est le point de vue pratique issu de nombreux projets de PME, pas un substitut à un conseil juridique au cas par cas. Mais cela vous amène au point où vous pouvez prendre les bonnes décisions.

Pourquoi la protection des données GA4 est un sujet

Dès que vous mesurez qui visite votre site, vous traitez des données personnelles, par exemple l'adresse IP ou un identifiant d'appareil. En Suisse s'applique la loi révisée sur la protection des données (nLPD), et dès que vous avez aussi des visiteurs de l'UE, le RGPD s'y ajoute. Tous deux exigent au fond la même chose : la transparence, un bon motif de traitement et, dans bien des cas, le consentement de la personne.

À cela s'ajoute que les données GA4 arrivent chez Google, donc chez un fournisseur américain. Ce n'est pas automatiquement interdit, mais cela doit être documenté proprement. Qui bâcle cela s'expose à des mises en demeure, à une perte de confiance et, dans le pire des cas, à une amende.

L'adresse IP : c'est aujourd'hui réglé

Autrefois, l'IP anonymisée était un grand sujet. La bonne nouvelle : dans GA4, c'est largement désamorcé. GA4 ne stocke pas les adresses IP dans les rapports et ne les utilise que brièvement pour une localisation grossière, avant qu'elles soient rejetées. Une anonymisation manuelle de l'IP comme autrefois avec Universal Analytics n'est plus nécessaire, elle est intégrée au système.

Cela vous décharge d'un travail, mais ne résout pas tout. Car GA4 continue de poser des cookies et de collecter des données de comportement. Et c'est justement pour cela qu'il vous faut une base.

Consentement : pas de suivi sans accord

La brique la plus importante est le consentement. En pratique, cela signifie : une bannière de cookies qui apparaît à la première visite et demande si des cookies analytiques peuvent être posés. Le point décisif est que GA4 ne se charge qu'une fois que le visiteur a donné son accord, pas avant.

Pour que cela fonctionne, vous devriez veiller à quelques points :

• Opt-in plutôt qu'opt-out : par défaut, rien n'est coché. Seul un oui actif autorise le suivi.
• Un vrai choix : «Refuser» doit être aussi simple qu'«Accepter», pas de petits caractères cachés.
• Pas de chargement anticipé : le code GA4 ne doit pas déjà tourner en arrière-plan tant que la bannière est encore visible.
• Révocation possible : les visiteurs doivent pouvoir modifier leur décision par la suite.

Cela paraît beaucoup, mais se résout proprement sur le plan technique. Sur ce site, je procède exactement ainsi : GA4 n'est chargé dans la page qu'après un accord actif. Qui refuse n'est pas mesuré, point.

Sans cookies : moins de bannières, moins de friction

Beaucoup de PME sont gênées par la bannière, parce qu'elle freine les visiteurs dès le début. C'est ici qu'entre en jeu le suivi sans cookies, une approche qui se passe des cookies classiques et fonctionne parfois entièrement sans consentement.

L'idée : au lieu de reconnaître chaque visiteur via des cookies, on ne saisit que des chiffres anonymes et agrégés, combien de pages vues, quels contenus sont populaires, d'où vient grosso modo le trafic. Personne n'est suivi individuellement. Des outils respectueux de la vie privée comme Plausible ou Matomo (en mode sans cookies) partent précisément de là. L'avantage :

• Souvent aucune bannière de cookies nécessaire, le site paraît plus épuré.
• Selon l'outil, les données restent en Europe ou en Suisse.
• Nettement moins d'effort juridique et de documentation.

Le prix : vous obtenez moins de profondeur de détail qu'avec GA4. Pour la plupart des PME, ce n'est toutefois pas une perte, mais un gain de clarté, ces outils répondent de toute façon aux questions importantes.

Quelle voie vous convient ?

Il n'y a pas une seule bonne réponse, mais une qui correspond à votre entreprise :

• GA4 avec bannière de consentement : judicieux si vous avez besoin d'analyses approfondies, d'une liaison publicitaire ou d'une mesure des conversions. Alors, une bannière propre est incontournable.
• Outil sans cookies : idéal si vous voulez simplement savoir ce qui se passe sur votre site et vous épargner bannière et efforts.

Les deux peuvent être exploités en toute sécurité juridique. L'erreur que je vois le plus souvent n'est pas le choix de l'outil, mais GA4 qui tourne simplement sans le moindre consentement. C'est l'écueil que vous devez absolument éviter.

Comment vous y prendre concrètement

La protection des données pour Analytics n'a rien de sorcier si on y pense dès le début. Ma démarche : d'abord clarifier quels chiffres vous sont vraiment nécessaires. Puis choisir l'outil adéquat. Et enfin l'intégrer proprement sur le plan technique, une bannière qui ne se charge qu'après consentement, une déclaration de protection des données honnête et la possibilité de révoquer.

Si vous n'êtes pas sûr que votre Analytics actuel tourne proprement, je jette volontiers un œil, souvent il ne s'agit que d'un ou deux réglages. Contactez-moi simplement via le formulaire de contact, et nous trouverons la voie qui vous convient. Vous trouverez d'autres articles autour des sites web et de la visibilité dans nos autres articles.