Google Analytics et RGPD en Belgique : où en est-on ?

L’essentiel : L’usage par défaut de Google Analytics a été jugé non conforme au RGPD par plusieurs autorités européennes en 2022, parce qu’il transfère des données vers les États-Unis sans garantie suffisante, dans la lignée de l’arrêt Schrems II. Depuis juillet 2023, le Data Privacy Framework offre à nouveau une base légale reconnue par la Commission européenne, et Google y est certifié. Ce cadre a même survécu à une première contestation devant la justice européenne en 2025. Conclusion prudente : Google Analytics est aujourd’hui utilisable pour une PME belge, mais sur un fondement juridique déjà retoqué une fois par le passé et qui peut encore être contesté. Ceci n’est pas un avis juridique personnalisé.

Quand j’ai retiré Google Analytics de mes sites, la raison visible était le bandeau cookies, cette fenêtre qui agace tout le monde et que je pouvais enfin supprimer. Mais la vraie question, celle qui trottait derrière, était plus sérieuse : est-ce que je suis vraiment couvert légalement si je le garde ?

Je ne suis pas juriste, et cet article n’est pas un avis d’avocat. C’est le point de la situation tel que je l’ai compris en tant qu’opérateur qui a dû trancher pour sa propre entreprise. Le sujet est plus mouvant qu’on ne le croit, et surtout moins tranché dans un sens que dans l’autre.

Pourquoi mesurer son audience tombe sous le RGPD

On imagine souvent que le RGPD ne concerne que les grosses bases de données clients. En réalité, dès qu’un outil dépose sur le navigateur d’un visiteur un identifiant qui permet de le reconnaître, on manipule une donnée personnelle. Un cookie de mesure d’audience entre dans cette catégorie, au même titre qu’un traceur publicitaire.

En Belgique, cela relève de la directive ePrivacy, transposée en droit national, et de l’Autorité de protection des données (l’APD, anciennement Commission vie privée). Le principe est simple : sauf exception technique stricte, déposer ce type de traceur exige le consentement préalable du visiteur. C’est précisément ce qui impose le fameux bandeau. Et le consentement n’est qu’une partie du problème. L’autre partie, plus lourde, concerne l’endroit où partent les données une fois collectées.

2022 : les autorités européennes mettent Google Analytics sous pression

Tout part de l’arrêt Schrems II, rendu par la Cour de justice de l’Union européenne en 2020. Cet arrêt a invalidé le Privacy Shield, l’accord qui encadrait jusque-là les transferts de données entre l’Europe et les États-Unis. La Cour a estimé que le droit américain, via ses lois de surveillance, ne protégeait pas suffisamment les données des Européens.

Google Analytics, dans son fonctionnement classique, envoie des données vers des serveurs américains. À partir de là, les plaintes ont suivi. L’association NOYB, fondée par le juriste Max Schrems, a déposé une série de plaintes coordonnées dans plusieurs pays. Les autorités ont réagi les unes après les autres. En France, la CNIL a mis en demeure, le 10 février 2022, un gestionnaire de site web, estimant que l’usage de Google Analytics transférait illégalement des données vers les États-Unis, en violation des articles 44 et suivants du RGPD. L’autorité autrichienne avait ouvert la voie quelques semaines plus tôt, l’italienne a suivi dans l’année.

Aucune de ces décisions n’a interdit Google Analytics en tant que tel. Elles ont visé son usage sans garanties suffisantes, à un moment où aucun cadre de transfert valable n’existait entre l’Europe et les États-Unis. Ce vide, lui, n’a pas duré.

Juillet 2023 : le Data Privacy Framework rebat les cartes

Le 10 juillet 2023, la Commission européenne a adopté une nouvelle décision d’adéquation : le Data Privacy Framework. En clair, elle a de nouveau reconnu que les entreprises américaines certifiées offraient un niveau de protection considéré comme équivalent à celui du RGPD.

Google s’est certifié sous ce cadre. Concrètement, cela veut dire que le transfert de données vers Google aux États-Unis a retrouvé une base légale reconnue. La situation de 2022, où le transfert se faisait dans le vide juridique, n’est plus tout à fait la même. Pour une entreprise qui utilise Google Analytics aujourd’hui, le fondement existe. C’est important à dire, parce que beaucoup d’articles en ligne sont restés bloqués sur l’état de 2022 et laissent croire que l’outil est purement et simplement illégal. Ce n’est pas le cas.

Un cadre déjà attaqué, et ce qui s’est passé

Là où il faut rester lucide, c’est sur la solidité de ce cadre dans la durée. Le Data Privacy Framework a été contesté en justice presque aussitôt. Une première action en annulation a été portée devant le Tribunal de l’Union européenne. Elle a été rejetée le 3 septembre 2025 : le cadre a donc passé son premier test judiciaire et reste en vigueur.

Mais un appel devant la Cour de justice reste possible, et NOYB a laissé entendre qu’une contestation plus large pourrait suivre. Surtout, il y a un précédent qui invite à la prudence. Le Data Privacy Framework est le troisième accord du genre. Le premier, le Safe Harbor, a été invalidé par la Cour en 2015. Le deuxième, le Privacy Shield, a été invalidé en 2020. Chacun avait été présenté comme robuste au moment de son adoption. Rien ne dit que le troisième connaîtra un sort différent, ni qu’il tiendra. C’est un pari sur l’avenir, pas une certitude.

Ce qu’une PME belge risque concrètement

Reste la question qui intéresse vraiment un dirigeant : qu’est-ce que je risque, moi, concrètement ? Le RGPD prévoit des sanctions théoriques élevées, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial (article 83). Il faut voir ce chiffre pour ce qu’il est : un plafond maximum, pensé pour les grands groupes, pas une prévision pour un cabinet ou une PME belge.

En pratique, une petite structure ne se réveille pas un matin avec une amende record pour un outil de mesure d’audience. Le déclencheur habituel, c’est une plainte, d’un client, d’un visiteur attentif, parfois d’un ancien employé. L’APD instruit, demande des explications, et le plus souvent commence par une mise en demeure de se mettre en conformité. Le vrai risque, pour une PME, n’est pas tant l’amende que de se retrouver démuni le jour où on doit répondre. Expliquer où partent les données de vos visiteurs par « je ne sais pas, c’est Google qui gère » est une position inconfortable devant une autorité de contrôle. Pouvoir dire « elles ne quittent pas l’Europe et je maîtrise l’outil » en est une autre.

Pourquoi j’ai tranché sans attendre la Cour

C’est exactement ce calcul qui m’a fait basculer, au printemps 2026, avant même de connaître l’issue des recours en cours. Je pouvais garder Google Analytics et suivre chaque rebondissement judiciaire du Data Privacy Framework, en croisant les doigts pour que le cadre tienne. Ou je pouvais choisir un outil qui rend la question sans objet.

Pour une entreprise dont tout le discours repose sur la souveraineté des données, continuer à envoyer les statistiques de mes propres visiteurs vers une régie publicitaire américaine était une contradiction que je ne voulais plus porter. J’ai raconté le côté pratique de cette bascule, ce que j’ai gagné et ce que j’ai perdu, dans un autre article dédié. Ici, ce qui compte, c’est la logique : je n’avais pas envie que la conformité de mon outil de mesure dépende d’une décision de justice que je ne contrôle pas.

L’alternative : mesurer sans jamais transférer de données

Le point clé est là. Tout le débat juridique, décisions de 2022, Data Privacy Framework, recours devant la Cour, tourne autour d’une seule chose : le transfert de données vers les États-Unis. Si les données ne quittent jamais l’Europe, ce débat ne vous concerne plus.

C’est ce que permet un outil de mesure d’audience auto-hébergé. Chez Digitis, nos statistiques tournent sur nos propres serveurs, en Europe, sans cookie et sans transfert vers un pays tiers. Il n’y a pas de bandeau à afficher, parce qu’il n’y a pas de traceur soumis à consentement, et il n’y a pas d’actualité juridique à surveiller, parce que la question du transfert ne se pose tout simplement pas. C’est un problème résolu par conception plutôt que géré au cas par cas. Le détail de cette approche, et ce qu’on mesure vraiment, est sur notre page dédiée aux statistiques web sans cookie. Elle s’inscrit dans une démarche plus large de souveraineté numérique que je documente au fil de mes propres choix.