Site en Règle

Google Analytics et consentement : vérifier en 2 minutes

Publié le · par Site en Règle

C'est l'écart que nous trouvons le plus souvent : le bandeau cookies est bien là, mais Google Analytics est déjà chargé. Le visiteur n'a encore rien cliqué, et une requête de mesure est partie. Le bandeau est alors décoratif.

Bonne nouvelle : on peut le vérifier soi-même en deux minutes, avec le navigateur et sans outil payant. Ce guide explique la règle, puis le test.

Ce guide est une information générale, pas un conseil juridique.

Pourquoi Google Analytics demande un consentement

La règle générale est posée par l'article 82 de la loi Informatique et Libertés : le dépôt ou la lecture d'un traceur sur l'appareil du visiteur suppose son consentement préalable, sauf exemption. Source : CNIL, Cookies et autres traceurs : que dit la loi ?.

La CNIL admet qu'une mesure d'audience puisse être exemptée de consentement, mais à des conditions strictes : usage exclusivement pour l'éditeur du site, statistiques anonymes uniquement, pas de croisement des données avec d'autres traitements, pas de suivi d'un site à l'autre. Elle recommande 13 mois maximum pour la durée de vie du cookie et 25 mois maximum pour la conservation des données.

Dans sa page sur la mesure d'audience, la CNIL cite Google Analytics, avec Quantcast Analytics et Facebook Analytics, parmi les offres qui sortent de l'exemption, parce que le fournisseur réutilise les données pour son propre compte. Pour un site qui utilise Google Analytics, la conséquence pratique est simple : l'outil ne doit se charger qu'après un « Accepter ».

Source : CNIL, Mesurer la fréquentation de vos sites web et de vos applications.

Nous ne prenons pas position ici sur la question distincte des transferts de données hors Union européenne : ce guide porte uniquement sur le moment où l'outil se charge.

Le test en deux minutes

Vous avez besoin de Chrome, Edge ou Firefox. Faites le test en navigation privée, sans extension de blocage, pour partir d'un état « premier visiteur ».

Étape 1 : ouvrir les outils du navigateur

  1. Ouvrez une fenêtre de navigation privée.
  2. Appuyez sur F12 pour ouvrir les outils de développement.
  3. Allez dans l'onglet Réseau (Network). Cochez « Conserver le journal » si l'option existe.

Étape 2 : charger la page sans cliquer

  1. Saisissez l'adresse de votre page d'accueil et validez.
  2. Ne touchez pas au bandeau cookies.
  3. Dans le champ de filtre de l'onglet Réseau, tapez successivement googletagmanager, google-analytics et collect.

Ce que vous cherchez :

  • un fichier gtag/js?id=G-… ou gtm.js?id=GTM-… (le script lui-même) ;
  • des requêtes vers google-analytics.com ou vers un chemin /g/collect (l'envoi de données de mesure).

Étape 3 : regarder les cookies

  1. Allez dans l'onglet Application (Chrome, Edge) ou Stockage (Firefox).
  2. Ouvrez Cookies, puis le nom de votre site.
  3. Cherchez des cookies dont le nom commence par _ga, comme _ga ou _ga_ suivi d'un identifiant.

Étape 4 : interpréter le résultat

Ce que vous voyez, sans avoir cliquéCe que cela signifie
Aucun script ni requête Google, aucun cookie _gaBon signe : l'outil attend votre choix
Le script se charge, mais aucune requête collect ni cookie _gaÀ examiner de près : le script est présent, il faut vérifier qu'il n'envoie rien tant que le visiteur n'a pas choisi
Requêtes collect ou cookie _gaÉcart : l'outil mesure avant consentement

Étape 5 : refaire le test après un refus

Rechargez la page, cliquez sur « Tout refuser », puis rechargez encore en regardant l'onglet Réseau et les cookies. Un refus doit empêcher tout envoi de mesure. Si les requêtes continuent après un refus, c'est un écart au moins aussi grave que l'absence de bandeau.

Où se cache le chargement anticipé

Quand nous trouvons un chargement avant consentement, la cause vient presque toujours d'un de ces endroits :

  • Le thème ou le CMS : l'identifiant de mesure est collé dans l'en-tête du thème, hors de tout gestionnaire de consentement.
  • Google Tag Manager : la balise Google Analytics est déclenchée par « Toutes les pages », sans condition de consentement.
  • Un plugin : une extension de statistiques installe sa propre balise, en plus de celle du gestionnaire de consentement.
  • Un doublon : la balise est bien conditionnée, mais une seconde copie dans un pied de page de développement ne l'est pas.

La correction consiste à rattacher la balise à votre gestionnaire de consentement, de façon qu'elle ne s'exécute qu'après un « Accepter », puis à refaire le test ci-dessus.

À vérifier soi-même

  • Test en navigation privée, sans extension de blocage, page d'accueil chargée sans clic.
  • Onglet Réseau : aucune requête vers google-analytics.com ou /g/collect avant le choix.
  • Onglet Application : aucun cookie _ga avant le choix.
  • Après « Tout refuser » et rechargement : toujours aucune requête de mesure ni cookie _ga.
  • Après « Tout accepter » : la mesure démarre bien (sinon la balise est cassée et vous perdez vos statistiques).
  • Même test sur une page produit, la page panier et la page de confirmation de commande, pas seulement l'accueil.
  • Même test sur mobile ou avec la simulation mobile des outils de développement.
  • Recherche d'un second identifiant de mesure : cherchez G- et GTM- dans le code source de la page pour repérer les doublons.
  • Durée de vie des cookies de mesure notée (la CNIL recommande 13 mois maximum pour l'exemption, qui ne s'applique pas à Google Analytics, mais c'est un repère utile pour votre registre).

Si vous préférez ne pas le faire seul

Nous répétons ce test sur la page d'accueil et les pages clés de votre site, puis nous vous remettons un rapport : liste des traceurs déposés avant consentement avec leur éditeur, comportement après un refus, et correction à faire. Le Check-up express (29 €) couvre l'accueil et 4 pages, le Check-up complet (79 €) jusqu'à 20 pages avec un re-contrôle gratuit après correction. C'est un audit technique, sans garantie de conformité totale.

Ce guide est une information générale, pas un conseil juridique.