GA4 est-il vraiment un cookie nécessaire ? L’approche de la KVKK

Mise à jour : 3 septembre 2026 · Catégorie : KVKK et conformité numérique

GA4 est-il vraiment un cookie nécessaire ? L’approche de la KVKK

Il n’existe pas de nouvelle décision du Conseil turc de protection des données personnelles propre à GA4. Ses décisions sur les cookies et le Guide des pratiques en matière de cookies montrent toutefois qu’il faut distinguer les cookies de performance/d’analyse des cookies strictement nécessaires. En l’absence d’autre condition légale de traitement, ils doivent fonctionner sur consentement explicite opt-in exprimant un choix actif de l’utilisateur. Les installations GA4 doivent aussi être évaluées quant à leur finalité, à la minimisation des données et aux transferts internationaux.

Table des matières

Réponse courte
Pourquoi est-ce important ?
Qu'est-ce que les entreprises devraient faire?
Comment le mesurer ?
Sources
Questions fréquentes

Réponse courte

GA4 ne doit pas être automatiquement classé par son nom comme cookie nécessaire ou exigeant un consentement explicite dans tous les cas. Selon la KVKK, il faut évaluer l’installation réelle : cookies, finalités de mesure, fonctionnalités Google, flux de données personnelles et existence d’une autre condition légale de traitement. Dans le cas de la décision 2024/1361, un consentement explicite opt-in était requis pour le cookie d’analyse non essentiel, faute d’autre condition légale de traitement.

Pourquoi est-ce important ?

Une erreur fréquente consiste à remplacer la catégorie juridique par le nom de la technologie. « Nous utilisons Google Analytics, donc c’est un cookie nécessaire » et « tout usage analytique relève exactement du même régime » ignorent l’architecture réelle du traitement. L’évaluation KVKK doit déterminer quelles données sont traitées, à quelles fins, quels cookies ou identifiants sont utilisés et quels tiers reçoivent les données.

Dans la décision 2024/1361, le Conseil a jugé illicite le fonctionnement du cookie d’analyse non essentiel du site sans opt-in actif : il n’était pas nécessaire au service expressément demandé et aucune autre condition légale de traitement ne s’appliquait. Cette décision ne vise pas spécifiquement GA4 ; elle montre la nécessité d’auditer le comportement réel des installations d’analyse web.

Pourquoi la configuration GA4 est-elle importante?

Deux entreprises peuvent utiliser GA4 avec des flux de données différents. L’une mesure seulement le trafic de base, l’autre active des fonctionnalités publicitaires, la mesure interdomaines, User-ID, des signaux avancés, le rapprochement CRM ou d’autres intégrations. Le nom de catégorie sur la bannière ne suffit donc pas.

Le contrôle doit couvrir les cookies du navigateur ainsi que les événements et paramètres transmis. Empêchez l’envoi inutile de données personnelles via URL, champs de formulaire, chaînes de requête ou événements personnalisés. Le marquage côté serveur ne supprime pas l’évaluation juridique ; il modifie seulement l’architecture technique du flux de données.

Que devraient faire les entreprises ? Contrôle KVKK de GA4 en huit étapes

Effectuez une analyse réelle des cookies. Examinez les cookies réellement déposés en production plutôt que la seule documentation.
Inventoriez les fonctionnalités GA4. Consignez séparément les fonctionnalités publicitaires, Google Signals, User-ID, la mesure interdomaines et les intégrations personnalisées.
Distinguez les finalités. Ne considérez pas la mesure de base, l’analyse de performance, le remarketing et l’optimisation publicitaire comme une finalité unique.
Testez le consentement avant déclenchement des balises. Lorsque le consentement explicite est requis, vérifiez techniquement que les balises et cookies concernés ne fonctionnent pas avant l’acceptation.
Testez le parcours de refus. Le refus doit être aussi simple que l’acceptation et effectivement appliqué.
Vérifiez les charges utiles des événements. Empêchez l’envoi inutile de données personnelles dans les URL, formulaires, dimensions personnalisées et paramètres d’événements.
Évaluez séparément les transferts internationaux. Ne confondez pas le consentement aux cookies et le mécanisme de transfert des données en un même acte juridique.
Conservez un historique des versions. Refaites l’analyse lorsque le conteneur GTM, les réglages de consentement ou la configuration analytique changent.

Comment tester une bannière de consentement ?

L’affichage de la bannière ne suffit pas. Dans une nouvelle session, observez les requêtes réseau envoyées et les cookies déposés avant tout choix. Testez à nouveau les technologies analytiques et publicitaires après le choix « refuser ».

Répétez ce test après toute modification majeure de GTM ou de la CMP. Même sans changement du texte juridique, une mise à jour du conteneur peut faire fonctionner une balise auparavant bloquée hors du contrôle de consentement.

Modèle de mesure proposé pour B10

Contrôle	KPI	Signal de risque
Avant consentement	Nombre de requêtes analytiques avant consentement	Demande inattendue
Cookie	Nombre de cookies non classifiés	Cookie absent de l’inventaire
Refus	Réussite technique du parcours de refus	Balises actives après refus
Charge utile	Nombre de paramètres PII inattendus	Données à caractère personnel inutiles
Configuration	Couverture de l’inventaire des fonctionnalités GA4	Fonctionnalité non documentée
Transfert	Couverture de l’évaluation des transferts	Flux de données non examiné

Ces indicateurs vont au-delà du design de la bannière : ils mesurent si elle modifie réellement le comportement de traitement des données.

Évaluation spécialisée

La conformité GA4 doit classer le traitement plutôt que le produit. Un même outil peut présenter différents risques liés aux données, aux finalités et aux transferts selon sa configuration. Rapprochez dans un inventaire commun le tableau des cookies du service juridique et la configuration GTM/GA4 de l’équipe technique.

Des solutions techniques comme Consent Mode ou le marquage côté serveur ne certifient pas à elles seules la conformité juridique. Vérifiez dans le trafic réel quels signaux sont traités pour chaque choix de consentement.

Analyse des risques numériques et de la conformité

B10 peut réunir dans un Web Analytics Compliance Audit les analyses réelles de cookies/balises du site, les inventaires GTM et GA4, les tests de consentement avant balises, les examens de charges utiles et la cartographie des flux internationaux.

Contenus associés

Sources officielles et primaires

Questions fréquentes Pourquoi est-ce important maintenant?

Qu'est-ce que les entreprises devraient d'abord vérifier?

Analysez les cookies réellement déposés par GA4 et GTM.

Un contrôle ponctuel suffit-il ?

Non. L’évaluation ne repose pas seulement sur la présence de GA4. Examinez ensemble les fonctionnalités, cookies, données d’événements, finalités, mécanisme de consentement et structure des transferts.

Que peut apporter B10 dans ce domaine ?

B10 peut mesurer la différence entre la bannière de consentement et le comportement technique réel grâce à l'analyse de cookies, la demande réseau, la configuration GTM/GA4 et les tests de flux de données.