Faut-il un bandeau cookies pour Google Analytics ? (réponse : oui)

Ce que dit la loi

La règle belge n'est pas dans le RGPD mais dans l'article 129 de la loi du 13 juin 2005, qui transpose l'article 5, § 3, de la directive « vie privée et communications électroniques » (2002/58/CE) : stocker des informations sur l'appareil d'un visiteur ou y accéder exige son consentement préalable, sauf si l'opération est strictement nécessaire au service qu'il a lui-même demandé. Le consentement, lui, se définit selon le RGPD (article 4, 11°) : libre, spécifique, éclairé et univoque. Deux conséquences concrètes : pas de cookie statistique avant le choix du visiteur, et pas de consentement déduit de la poursuite de la navigation.

Pourquoi la mesure d'audience n'est pas « strictement nécessaire »

L'exception légale vise ce qui est nécessaire au visiteur : maintenir un panier, retenir une session, mémoriser un choix de langue. Vos statistiques sont utiles à votre entreprise, pas au service demandé par le visiteur : elles ne rentrent donc pas dans l'exception. C'est la position constante de l'APD, dont la checklist cookies range les cookies statistiques parmi ceux qui exigent un consentement préalable. La doctrine applicable en Belgique est celle-là : les tolérances accordées ailleurs, comme l'exemption étroite que la CNIL française admet pour certains outils de mesure spécialement configurés, ne s'y transposent pas.

Les idées reçues qui coûtent cher

« Google Analytics 4 est anonyme. » Non : GA4 attribue des identifiants au visiteur, via les cookies _ga, pour le reconnaître d'une visite à l'autre. Des données pseudonymisées restent des données personnelles au sens du RGPD.

« Je ne regarde presque jamais les statistiques. » Sans effet : c'est le dépôt du traceur qui déclenche l'obligation, pas l'usage que vous faites des rapports.

« J'ai un bandeau. » La question est de savoir ce qu'il commande. Le manquement le plus répandu est le bandeau décoratif : Google Analytics se charge pendant que le visiteur « choisit ». Vu de l'extérieur, et c'est ainsi que regardent un plaignant et un contrôleur, le site trace sans consentement.

« Le consent mode s'en occupe. » Le consent mode de Google est un mécanisme technique, pas une dispense : il faut le configurer, le relier à un outil de consentement conforme, et vérifier le comportement réel des pages après coup.

Et les transferts vers les États-Unis ?

En 2022, plusieurs autorités de contrôle européennes avaient jugé illégaux les transferts de données opérés par Google Analytics vers les États-Unis. La Commission a ensuite adopté, le 10 juillet 2023, une décision d'adéquation couvrant les entreprises américaines certifiées au cadre de protection des données UE-États-Unis. Le Tribunal de l'Union a validé cette décision d'adéquation le 3 septembre 2025 (affaire T-553/23), mais un pourvoi reste pendant devant la Cour de justice : tenir ce cadre pour définitivement acquis serait imprudent.

Surtout, la question des transferts est distincte de celle du consentement. Même avec des transferts en règle, l'article 129 continue d'exiger un accord préalable avant le dépôt des cookies. L'un ne rachète pas l'autre.

Combien de temps le consentement reste-t-il valable ?

Ni l'article 129 ni le RGPD ne fixent de durée de validité au consentement. Ce qui est fixé, ce sont ses qualités : il doit rester libre, spécifique, éclairé et univoque (article 4, 11°), et pouvoir être retiré aussi facilement qu'il a été donné (article 7, § 3). Il s'ensuit qu'un consentement recueilli il y a trois ans, pour des finalités qui ont changé depuis, n'est plus éclairé : ajouter un pixel publicitaire ou un nouvel outil de mesure crée une finalité nouvelle, donc un consentement à redemander. Les tolérances chiffrées que l'on cite parfois, comme les six mois recommandés par la CNIL française, sont des recommandations nationales : elles n'ont pas valeur de règle en Belgique.

En pratique, trois réglages tiennent la route. Redemander le choix à chaque évolution significative de vos traceurs, et le documenter. Fixer une durée de vie raisonnable au cookie qui mémorise le choix, plutôt que de le figer pour des années. Et laisser au visiteur un moyen permanent de revenir sur sa décision : un lien « Gérer mes cookies » dans le pied de page suffit, et c'est aussi ce qui matérialise le droit de retrait. Notez que la durée du consentement et celle des cookies déposés sont deux choses différentes : le cookie _ga est posé par défaut pour deux ans, une durée que la configuration de l'outil permet de réduire.

La configuration correcte en trois points

Un : Google Analytics est soumis à l'outil de consentement, et aucun cookie _ga n'apparaît tant que le visiteur n'a pas accepté. Deux : le refus figure au premier niveau du bandeau, aussi simple que l'acceptation, sans case pré-cochée. Trois : le consentement est journalisé, car l'article 7, § 1er, du RGPD vous impose de pouvoir le démontrer. Si la mesure d'audience vous importe plus que Google Analytics lui-même, des outils configurables sans cookies existent : ils allègent la question du consentement, à condition de vérifier leur comportement réel, pas leur brochure.

Un quatrième point s'oublie souvent : l'outil de mesure traite des données personnelles pour votre compte, il est donc votre sous-traitant au sens de l'article 28 du RGPD. Deux conséquences. Le contrat de traitement des données proposé par l'éditeur doit être accepté et conservé, ce qui se fait en quelques clics dans les paramètres du compte, mais ne se fait pas tout seul. Et votre politique de confidentialité doit nommer l'outil, décrire la finalité de mesure d'audience, indiquer la durée de conservation retenue et, le cas échéant, mentionner les transferts hors Union européenne. Une politique qui reste muette sur un outil visible dans le code source de vos pages est un écart facile à constater.