RGPD, CNIL et Analytics : Consent Mode et IA | 2026

Avant-propos

Ce dossier donne notre grille de lecture sur l'utilisation des outils de mesure d'audience et de publicité dans le cadre du RGPD, de la loi Informatique et Libertés et des différentes positions de la CNIL.

Publié initialement en juin 2022 après les mises en demeure de la CNIL concernant Google Analytics, il a été mis à jour en profondeur en avril 2026 pour intégrer le Data Privacy Framework, le Consent Mode v2, l'AI Act et les tensions géopolitiques UE-US.

EdgeAngel n'est pas un cabinet expert en droit. Nous invitons le lecteur à prendre la hauteur nécessaire concernant nos interprétations et à ouvrir la discussion avec nous si les analyses et conclusions diffèrent : [email protected] 👋

Le cadre réglementaire en 2026

RGPD : les fondamentaux

Le Règlement Général sur la Protection des Données (RGPD), entré en application le 25 mai 2018, s'inscrit dans la continuité de la loi française Informatique et Libertés de 1978. Il harmonise les règles de protection des données personnelles au sein de l'Union Européenne [1].

Qui est concerné ?

Toute organisation dont l'activité est dans l'Union Européenne et qui traite des données personnelles (art. 3 du RGPD).

Qu'est-ce qu'une donnée personnelle ?

"Toute information se rapportant à une personne physique identifiée ou identifiable" (art. 4 du RGPD). Une donnée qui permet d'identifier directement ou indirectement un utilisateur. Sous peine de sanctions pouvant aller de la mise en demeure à des amendes potentiellement conséquentes, sans compter le préjudice d'image.

En 2025, la CNIL a prononcé 487 millions d'euros d'amendes, tous manquements confondus [2]. Le niveau de vigilance est au plus haut.

Art. 82 loi Informatique et Libertés

L'article 82 est la transposition française de la directive européenne ePrivacy (2002/58/CE). Ce texte va plus loin que le RGPD sur un point précis : il encadre tous les traceurs et opérations de lecture/écriture sur le terminal de l'utilisateur (cookies, localStorage, device fingerprinting), pas uniquement les données personnelles [3].

Le consentement de l'utilisateur est requis, sauf si la collecte :

• a "pour finalité exclusive de permettre ou faciliter la communication par voie électronique"
• ou est "strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur"

C'est sur ce texte que la CNIL fonde son intervention sur les traceurs, au-delà du périmètre strict du RGPD. L'interprétation de la "finalité exclusive" est le noeud de la question pour les outils de mesure d'audience.

Point technique : la directive ePrivacy devait être remplacée par un règlement ePrivacy. Ce texte est en négociation au Conseil de l'UE depuis 2017. Il n'est toujours pas adopté en 2026. C'est l'article 82 (et ses équivalents dans les autres pays de l'UE) qui continue de s'appliquer.

Le rôle de la CNIL et ses limites

La CNIL est l'autorité de protection des données en France. Elle fait appliquer le RGPD et la loi Informatique et Libertés. Elle a l'autorité de mettre en demeure, de sanctionner, d'émettre des recommandations et des directives.

Mais elle n'écrit pas la loi. Elle l'interprète et la fait respecter. Son interprétation peut être remise en cause devant les autorités compétentes : Conseil d'État ou Cour de Justice de l'Union européenne (CJUE). C'est un point important.

En 2025-2026, la CNIL a intensifié ses contrôles, notamment sur le e-commerce, les médias, la santé, la finance et les services publics [4]. Son plan stratégique 2025-2028 fait de l'intelligence artificielle un de ses quatre piliers d'action.

AI Act : le nouveau texte à connaître

L'AI Act (règlement (UE) 2024/1689) est le premier cadre juridique au monde dédié à l'intelligence artificielle. Il ne remplace pas le RGPD : il le complète. Quand un système d'IA traite des données personnelles, les deux textes s'appliquent simultanément [5].

Calendrier d'application

• Février 2025 : interdictions (scoring social, reconnaissance biométrique non ciblée)
• Août 2025 : obligations sur les modèles d'IA à usage général (GPAI)
• Août 2026 : obligations pour les systèmes d'IA à haut risque

Pourquoi ça concerne les annonceurs ?

Les systèmes d'IA intégrés aux outils publicitaires (audiences prédictives GA4, Performance Max, Demand Gen) traitent des données. La CNIL a publié des fiches pratiques sur l'entraînement de modèles d'IA avec des données personnelles [6]. L'intérêt légitime est admis comme base légale possible, mais sous conditions strictes : analyse d'impact (AIPD) obligatoire, minimisation des données, documentation exhaustive.

L'AI Act prévoit des sanctions allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites. Le sujet est en cours de structuration. Nous y reviendrons dans la section RGPD et IA.

Google Analytics et la CNIL : de la crise à la résolution

La suite de cette section détaille la chronologie complète, les nuances importantes et les stratégies complémentaires (Server-Side Tagging, exemption de consentement) pour ceux qui souhaitent aller plus loin.

La crise : les mises en demeure de 2022

Le 10 février 2022, la CNIL a mis en demeure un gestionnaire de site français utilisant Google Analytics (dans sa version Universal Analytics). Le constat [7] :

• l'outil collectait des données personnelles (adresse IP, GA Client Id stocké dans le cookie "_ga") et était donc soumis au RGPD ;
• Google n'offrait pas assez de garanties pour le transfert de ces données aux États-Unis. Le Privacy Shield avait été invalidé en 2020 par la CJUE (arrêt Schrems II) ;
• aucune clause de dérogation (art. 49 RGPD) n'était applicable.

Le 7 juin 2022, la CNIL a précisé que quel que soit le paramétrage effectué, l'utilisation de Google Analytics avec des données personnelles pouvait être considérée comme illégale, tant qu'il n'y avait pas de cadre juridique pour les transferts transatlantiques [8].

Précision importante : GA n'a jamais été « interdit ». Le risque était juridique, lié à l'absence de cadre légal pour le transfert de données personnelles vers les États-Unis. C'est cette absence qui a été corrigée depuis.

Quelles données personnelles ?

A minima : l'identifiant visiteur (GA Client Id) et l'adresse IP. S'ajoutent potentiellement les identifiants utilisateurs, identifiants de commande, et les paramètres d'URL liés à la source de trafic (GCLID, UTM). La liaison entre Google Analytics et d'autres produits Google (Google Ads, Google Signals) peut transformer une donnée non personnelle en donnée personnelle par recoupement.

Résonance

Les mises en demeure dépassaient la question de Google Analytics. Elles questionnaient l'ensemble des solutions éditées par des sociétés ayant des liens avec une entité hors Union Européenne. D'autres solutions (Google Ads, Meta) étaient également dans le viseur de NOYB [9].

La résolution : le Data Privacy Framework

Le 10 juillet 2023, la Commission européenne a adopté le Data Privacy Framework (DPF), un nouveau cadre juridique encadrant les transferts de données personnelles vers les États-Unis [10].

Première revue annuelle (octobre 2024)

La Commission a conclu que les structures et procédures nécessaires ont été mises en place par les États-Unis. La Data Protection Review Court (DPRC) fonctionne comme mécanisme de recours indépendant pour les citoyens européens [12].

Le DPF reste sous surveillance

En septembre 2025, le Tribunal général de l'UE a rejeté le recours d'un eurodéputé français qui contestait la décision d'adéquation, confirmant que le DPF offre un niveau de protection "essentiellement équivalent" [13]. Ce jugement a été porté en appel devant la CJUE le 31 octobre 2025. La procédure est en cours. Nous y revenons dans la section Tensions UE-US.

Proxyfication et Server-Side Tagging

Ce que la CNIL avait exigé

En juin 2022, la CNIL a indiqué que Google Analytics pouvait rester utilisable à condition de passer par un serveur intermédiaire (proxy) qui supprime les données personnelles avant tout transfert vers Google [8]. C'est le principe de la proxyfication : en retirant l'adresse IP, le client_id et les identifiants publicitaires côté serveur, le traitement sort du champ du RGPD. Sans ce proxy, GA n'était pas configurable de manière conforme dans le contexte post-Schrems II.

La solution technique la plus répandue pour mettre en place cette proxyfication : Google Tag Manager Server-Side (sGTM). Voir aussi notre offre GTM / sGTM.

Depuis le DPF : plus un prérequis de conformité

Avec l'adoption du Data Privacy Framework en juillet 2023, la question du transfert est juridiquement résolue. La proxyfication n'est plus un prérequis pour utiliser GA de manière conforme. En revanche, elle reste un levier pertinent pour les annonceurs dont le DPO ou la politique interne impose de limiter les données transmises à Google et aux autres outils tiers. Le proxy donne un contrôle total sur ce qui sort : l'annonceur choisit précisément quelles informations transmettre, supprimer ou transformer.

sGTM : une infrastructure à valeur ajoutée bien au-delà du RGPD

Indépendamment de toute question réglementaire, le Server-Side Tagging est une infrastructure technique qui apporte des bénéfices concrets : meilleure qualité de collecte (moins de blocage par les adblockers, événements plus fiables), meilleure web performance (moins de scripts côté client, impact positif sur les Core Web Vitals), et activation facilitée des données first-party (enrichissement serveur, intégrations CRM directes). Pour approfondir le sujet, consultez notre note d'expert dédiée au Server-Side Tagging.

Si le DPF venait à être invalidé (voir Tensions UE-US), les organisations qui ont un sGTM en place disposent en plus d'une assurance structurelle : les données envoyées à Google étant déjà anonymisées, le cadre légal du transfert devient secondaire.

GA4 et le consentement : ce qu'il faut savoir

Pour gérer cette contrainte, Google a mis en place le Consent Mode : un framework qui transmet l'état du consentement de l'utilisateur aux tags Google (granted ou denied) sur différentes finalités. Selon le mode d'implémentation choisi, le comportement de GA4 change radicalement. C'est un choix structurant entre approche conservative (moins de données, moins de risque juridique) et approche complète (zone grise juridique, mais données modélisées dans GA4). Pour un détail technique complet, voir notre note dédiée au Consent Mode v2.

Les nouveaux enjeux

Consent Mode v2 : la grille de lecture

Le Consent Mode a été détaillé dans la section précédente (GA4 et le consentement). L'enjeu à retenir ici est le suivant : le choix entre le mode Basic et le mode Advanced détermine la posture juridique de l'annonceur.

Le mode Basic est juridiquement sûr, mais prive l'annonceur d'une part significative de ses données. Le mode Advanced offre une vue complète (modélisée) dans GA4, mais repose sur un mécanisme que la CNIL n'a pas validé.

Pour les annonceurs qui choisissent le mode Advanced, le Server-Side Tagging permet de mitiger ce risque : le proxy intercepte les pings et supprime les données résiduelles avant qu'ils n'atteignent Google.

Tensions UE-US : le DPF est-il durable ?

Le Data Privacy Framework (DPF) est le troisième accord transatlantique encadrant le transfert de données personnelles vers les États-Unis. Les deux précédents ont été invalidés par la Cour de Justice de l'Union Européenne :

Le DPF tient, mais ses fondations sont fragilisées

Le DPF, adopté en 2023, reste en vigueur. Plus de 3 500 entreprises américaines y sont certifiées, et les transferts de données vers les outils Google (GA4, Google Ads) sont couverts par ce cadre.

Vers un Schrems III ?

Un appel a été déposé à la CJUE en octobre 2025 contre la décision d'adéquation. L'argument : le démantèlement du PCLOB affaiblit les garanties de contrôle indépendant sur lesquelles le DPF a été validé. Si la Cour suit ce raisonnement, le DPF pourrait être invalidé, comme ses deux prédécesseurs [21].

Le climat politique actuel entre les États-Unis et l'UE (tensions commerciales, tarifs douaniers, remise en cause de certaines coopérations transatlantiques) ajoute une couche d'incertitude. Ce n'est pas un risque théorique : c'est un scénario documenté, déjà survenu deux fois. Les annonceurs qui dépendent exclusivement des outils US pour leur mesure et leur activation ont intérêt à prévoir des alternatives ou, a minima, à structurer une architecture modulable.

RGPD et IA : quel cadre pour la modélisation ?

L'intelligence artificielle est désormais intégrée dans les outils de mesure et de publicité. GA4 utilise des modèles pour combler les lacunes de données liées au consentement (modélisation des conversions, audiences prédictives). Performance Max et Demand Gen s'appuient sur l'IA pour l'optimisation des enchères et le ciblage [22].

Côté réglementaire, deux textes se superposent :

• Le RGPD s'applique dès qu'un système d'IA traite des données personnelles (entraînement, inférence, profilage). L'art. 22 donne aux individus le droit de ne pas être soumis à une décision entièrement automatisée ayant des effets significatifs.
• L'AI Act ajoute des obligations de transparence et de documentation, classées par niveau de risque. Les systèmes d'IA à haut risque (dont certains outils de crédit scoring ou de recrutement) ont des obligations spécifiques depuis août 2026.

Les questions ouvertes pour les annonceurs

La CNIL a publié des fiches pratiques sur le sujet [6]. Trois points méritent l'attention :

• Base légale pour l'entraînement : l'intérêt légitime est admis comme base légale possible pour entraîner un modèle d'IA sur des données personnelles, mais avec des conditions strictes (analyse d'impact, minimisation, documentation).
• Modélisation GA4 : les modèles de comportement et de conversion de GA4 traitent des données issues du Consent Mode. La base légale de ce traitement par Google n'est pas formellement clarifiée par les autorités européennes.
• Responsabilité partagée : quand un annonceur utilise des audiences générées par IA (Performance Max, Demand Gen), le traitement des données personnelles est partagé entre l'annonceur et Google. L'annonceur ne peut pas se dégager de sa responsabilité en invoquant la technologie du prestataire.

Ce sujet est en construction. Les premières décisions des autorités de protection des données sur l'articulation RGPD/AI Act sont attendues dans les mois à venir. Nous suivons ce dossier et mettrons à jour cette section au fil des décisions.

L'avis EdgeAngel

La conformité analytics est un sujet technique, mouvant et structurant. Entre les incertitudes sur le DPF, le déploiement de l'AI Act et le passage à l'auto-évaluation CNIL, c'est un dossier qui ne se traite pas une fois pour toutes. Chaque évolution réglementaire impacte la capacité des annonceurs à mesurer, optimiser et activer leurs données.

Notre conviction : investissez dans une architecture modulaire. Les annonceurs les mieux préparés sont ceux qui ont construit un stack de données où les briques sont interchangeables. Un outil de mesure interdit ou dégradé demain ? Vous pouvez pivoter sans repartir de zéro. C'est le principe du modern data stack appliqué à la conformité : CMP, collecte, traitement, activation, chaque couche peut évoluer indépendamment.

Documentez tout. Vos choix de CMP, votre configuration Consent Mode (Basic ou Advanced), vos règles de purge en Server-Side, vos bases légales par traitement. L'ère de l'auto-évaluation CNIL impose de pouvoir justifier chaque décision. Cette documentation n'est pas un exercice bureaucratique : c'est votre levier d'agilité. Quand le cadre évolue, vous savez exactement ce qu'il faut adapter.

Privacy by design, sans perdre le fil business. L'équilibre entre protection des données et performance marketing n'est pas un compromis : c'est une ingénierie. Les annonceurs qui surprotègent sans réfléchir perdent en visibilité. Ceux qui ignorent le sujet s'exposent à des sanctions et à une dette technique. Le bon curseur dépend de votre secteur, de votre exposition au risque et de vos leviers d'activation.

C'est notre quotidien chez EdgeAngel : offrir à chaque annonceur la grille de lecture pour définir son propre cadre, en connaissance de cause.

Dis EdgeAngel, du coup que faut-il faire ?

Concrètement, voici les quatre chantiers que nous recommandons à chaque annonceur.

1. Une CMP qui fonctionne vraiment (Web et App)

• Le choix de la plateforme (Didomi, Axeptio, OneTrust, Cookiebot, ou notre propre solution Cooki Consent...) et son paramétrage ne sont pas des sujets binaires. Le taux d'optin dépend directement de la qualité de l'implémentation : wording, design, timing d'affichage, gestion du refus.
• Objectif : maximiser le consentement éclairé tout en respectant vos utilisateurs. Chaque point de taux d'optin gagné, c'est de la donnée en plus pour piloter votre marketing.
• C'est un sujet d'expertise à part entière, pas un bouton à cocher.

2. Documenter vos choix et votre stratégie consentement

• Quels outils utilisez-vous ? Sur quelle base légale ? Quelle configuration Consent Mode (Basic / Advanced) et pourquoi ? Quelles données collectez-vous, vers quels destinataires ?
• Cette documentation est votre filet de sécurité face à un contrôle CNIL et votre levier d'agilité quand le cadre réglementaire évolue.

3. Définir votre cadre : exemption, Consent Mode, Server-Side

• Consent Mode Basic : la configuration la plus stricte. Les tags ne se déclenchent qu'avec consentement explicite. Conforme, mais vous perdez la visibilité sur le trafic non-consenti.
• Consent Mode Advanced : les pings dégradés alimentent la modélisation Google. Plus de données, mais un risque juridique non tranché. C'est un choix à assumer et à documenter.
• Server-Side Tagging : ses bénéfices premiers sont l'amélioration de la qualité de collecte, la web performance (moins de scripts côté client) et l'activation des données first-party (enrichissement serveur, connexion directe aux API publicitaires). C'est aussi un levier pour poser un cadre RGPD plus maîtrisé : contrôle des données transmises, suppression des données personnelles avant transfert, et potentiel d'exemption de consentement. Un investissement structurant, pertinent pour les organisations qui veulent reprendre la main sur l'ensemble de leur stack de données.

4. Auditer et veiller régulièrement

• Le cadre bouge. DPF, PCLOB, AI Act, lignes directrices CNIL : un audit annuel minimum est indispensable pour vérifier que votre configuration reste alignée.
• Auditez votre tag plan : savez-vous précisément quelles données personnelles sortent de votre site et vers quels destinataires ? C'est la première question en cas de contrôle.
• Mettez en place une veille structurée sur les évolutions réglementaires. Ce n'est pas un nice-to-have, c'est un prérequis pour piloter sereinement.

Sources et références

• [1] CNIL — RGPD, de quoi parle-t-on ?
• [2] CNIL — Bilan d'activité 2025 (487M€ d'amendes)
• [3] Legifrance — Art. 82, loi Informatique et Libertés
• [4] CNIL — Plan stratégique 2025-2028
• [5] EUR-Lex — AI Act (règlement 2024/1689)
• [6] CNIL — Fiches pratiques IA pour les professionnels
• [7] CNIL — Mise en demeure Google Analytics (10 février 2022)
• [8] CNIL — Google Analytics, solution de proxyfication (7 juin 2022)
• [9] NOYB — 101 plaintes sur les transferts UE-US
• [10] CNIL — Adoption du Data Privacy Framework (juillet 2023)
• [11] Data Privacy Framework — Liste des organismes certifiés
• [12] Commission européenne — Première revue annuelle DPF (oct. 2024)
• [13] CJUE — Rejet du recours Latombe (sept. 2025) et appel en cours
• [14] CNIL — Solutions de mesure exemptées de consentement
• [15] CNIL — FAQ Cookies et traceurs (auto-évaluation)
• [16] Google — Documentation Consent Mode
• [17] Google — Guide d'implémentation Consent Mode
• [18] DataGuard — Analyse des risques Consent Mode Advanced
• [19] Lawfare — Analyse PCLOB et impact sur le DPF
• [20] Brennan Center — Révocations PCLOB et procédure judiciaire
• [21] NOYB — Position de Max Schrems sur le DPF
• [22] Google — Modélisation des conversions GA4