GA4 vs la CNIL

Google Analytics Universal Studio (GA) devient Google Analytics 4, entre autres raisons pour répondre aux lois européennes sur la protection des données…  mais mieux vaut trouver des solutions alternatives car la CNIL a annoncé que cette nouvelle solution n’est toujours pas conforme à la loi ! Coup dur pour Google qui doit trouver une nouvelle solution pour respecter la légalité sur le territoire européen.

Avec ou sans accord de la CNIL, à partir de juillet 2023, GA4 remplacera définitivement Google Analytics Universal Studio. 

3 dates importantes à retenir

• 16 Mars 2022 : annonce de la fin de Google Analytics 3
• Juillet 2022 : passage, idéal, sur GA4 pour avoir un historique d’un an de données analytics
• 1er Juillet 2023 : fin officielle (et légale) de l’utilisation de Google Analytics 3 en France

Quelles sont les principales évolutions ? Pourquoi la CNIL considère t’elle GA4 comme illégal ? 

GA4 vs. Google Analytics Universal Studio

Le coeur du réacteur modifié 

GA4 regroupe, collecte et stocke les données en provenance de différentes plateformes avec un modèle de données commun établi sur des événements anciennement appelés “hits de pages”.

Cette solution a été pensée pour recueillir également les actions menées sur les applications ou “Single Page App”. Cette application de Google permet en effet de précharger l’ensemble des liens d’une page active. Avec GA, seules les pages consultées (donc chargées) étaient analysées. Avec GA4 le chargement complet d’une page n’est pas nécessaire puisque le lien URL se modifie lorsque l’utilisateur clique dessus. GA4 comptabilise donc le nombre d’url versus le hits de pages.

L’objectif principal est de simplifier, rationaliser et flexibiliser la collecte, le traitement et l’analyse des données provenant des différentes plateformes. 

Les événements : une nouvelle mesure

L’évolution majeure de GA4 est le système de collecte de données qui s’effectue via des évènements. Un événement peut avoir plusieurs paramètres, comme la page_location, page_referrer, page_title, et d’autres encore. 

Plusieurs types d’événements peuvent être collectés : 

• toutes les actions basiques effectuées sur un site, comme la visualisation et/ou le clique sur une annonce. 
• les mesures améliorées permettent de prendre en compte les interactions avec le contenu du site internet. Par exemple, lorsque l’utilisateur clique sur un lien interne, externe ou encore quand il fait une recherche sur le site. 
• les événements recommandés apportent plus d’infos pour enrichir le contexte et la pertinence des actions mesurées.
• les événements personnalisés sont mesurés avec des paramètres encore plus précis. Il est par exemple possible de définir un événement personnalisé “don” qui comptabilise chaque don effectué via le site.

Avec les événements et le machine learning, GA4 n’a plus besoin de cookie pour suivre les utilisateurs. Google présente cette évolution comme étant plus stable et permettant de combler les manques lorsque les cookies sont refusés.

La comptabilisation des sessions évolue

Une session est maintenant  générée par le déclenchement d’un événement. Il en existe 3 sortes : 

• sessions associées aux événements : se déclenche lorsqu’un événement est enregistré. (ie : lorsque l’utilisateur ouvre le site internet, la session commence via l’événement “start”.)
• sessions avec engagement : lorsque l’utilisateur clique, scroll sur le site.
• sessions avec engagement par utilisateur : temps où le site internet est actif en premier plan sur ordinateur, tablette ou mobile. 

Le temps de calcul des sessions devient donc plus précis et plus fiable. Avec ce nouveau système de comptabilisation, GA4 supprime les sessions de rebond.

Un cross-device plus performant 

Le cross-device de GA devient le cross-plateforme sur GA4. Cela permet de suivre un même utilisateur sur plusieurs types d’appareils. Et ce, peu importe la plateforme utilisée, et le tout centralisé au même endroit. 

Le cross-plateform fonctionne grâce à 3 identifications distinctes :

• en fonction de l’appareil avec le cookie “1st party cookie”
• via les comptes Google : chaque utilisateur loggé est entièrement suivi
• via l’user ID

GA4 et la CNIL

Pour mémoire :

• la CNIL est l’institution française qui surveille le respect des lois européennes sur les protections des données personnelles en France. 
• RGPD : Règlement Général sur la Protection des Données : loi européenne entrée en vigueur en 2016 dans l’Union Européenne pour protéger numériquement tous les Européens. 

Pour respecter les lois RGPD, Google a adapté son outil, mais même si GA4 protège mieux les données utilisateurs  il y a encore des efforts à faire.

GA4 fournit aux entreprises une grande variété de fonctionnalités pour contrôler la façon dont leurs données sont utilisées. Comme par exemple, l’anonymisation des adresses IP (fonctionnalité qui répond aux lois RGPD). 

Google a également donné plus de souplesse au temps de stockage des données. Maintenant une donnée peut être gardée entre 2 à 24 mois (effort apprécié par la CNIL). 

Si l’utilisateur refuse les cookies, GA4 ne peut théoriquement collecter aucune donnée. Ceci reste théorique car le machine learning de GA4 compense les pertes de données avec le refus des cookies (fonctionnalité borderline désapprouvée par la CNIL). 

La CNIL reconnaît l’amélioration et l’effort fourni par Google sur son nouvel outil. Mais les données sont toujours hébergées dans des datacenters américains ce qui est interdit. Google a donc un an pour trouver une solution qui soit légale en Europe. En l’état, ni GA, ni GA4 ne sont conformes au RGPD. 

Utiliser GA ou GA4 est-ce vraiment illégal ?

Si GA ou GA4 est utilisé sur un site européen, et notamment français, la CNIL considère que la loi n’est pas respectée. En effet, l’article 44 indique qu’il est interdit de transférer des données personnelles d’utilisateurs européens en dehors de l’UE. Les serveurs de Google étant tous aux Etats-Unis, les données remontées par GA et GA4 transitent forcément par les USA. Le site en question est donc en infraction au regard de l’article 44. 

Utiliser GA ou GA4 est donc illégal dans l’Union Européenne et passible d’une amende. La CNIL s’attaque à de grandes enseignes pour faire plier Google : Sephora, Auchan et Décathlon ont été mises en demeure pour avoir utilisé GA4 !

Conclusion

Il est grand temps de trouver une nouvelle solution analytics avant Juillet 2023. Il en existe plusieurs. Nous vous suggérons fortement de découvrir Matomo, une solution européenne respectueuse des données.

N’hésitez pas à nous contacter, nous serons ravis de vous accompagner sur ce sujet ! 🙂

Retrouvez notre article « Google Analytics et la CNIL : 3 min pour comprendre » !