Alternative GA4 RGPD : outils et règle CNIL en 2026

Ce que la CNIL demande, avant de comparer les outils

Une alternative à GA4 n’a de sens qu’à partir de la règle du consentement. Un outil de mesure d’audience dépose des traceurs : il faut le consentement, sauf s’il entre dans l’exemption de la CNIL.

Les lignes directrices de la CNIL sur la mesure d’audience, mises à jour le 4 juillet 2025, fixent des conditions cumulatives. Le traceur doit :

• servir uniquement à mesurer l’audience du site, pour le compte exclusif de l’éditeur ;
• ne produire que des données statistiques anonymes ;
• ne pas être recoupé avec d’autres traitements, ni transmis à des tiers sous une forme non anonyme ;
• ne pas suivre une personne sur plusieurs sites ou applications, notamment via un identifiant commun ;
• ne pas être réutilisé par le fournisseur pour son propre compte.

Ces conditions s’accompagnent de recommandations : durée de vie des traceurs limitée (treize mois est l’exemple donné), conservation des données brutes à vingt-cinq mois au maximum, information des personnes dans la politique de confidentialité.

Deux points à vérifier avant de décider. D’après des sources professionnelles, la CNIL ne publie plus de liste publique de solutions exemptées depuis le 1er janvier 2026 : c’est désormais à chaque éditeur de démontrer qu’il remplit les conditions. Ce point demande une vérification directe sur cnil.fr.

Pourquoi GA4 pose une question de transfert

GA4 est soumis au consentement : le bandeau est obligatoire pour déposer ses traceurs. La question du transfert hors Union européenne est l’autre sujet. En février 2022, la CNIL a mis en demeure un éditeur français de mettre fin à l’usage de Google Analytics dans les conditions de l’époque. Il s’agissait d’une mise en demeure, pas d’une sanction. Je n’ai pas trouvé de décision CNIL publiée en 2025 ou 2026 sur ce sujet, et ce point reste à confirmer sur cnil.fr.

Le cadre des transferts vers les États-Unis repose aujourd’hui sur le Data Privacy Framework. Le Tribunal de l’Union européenne a rejeté le recours contre ce cadre le 3 septembre 2025. Un pourvoi est pendant devant la Cour de justice, et le cadre a déjà été invalidé deux fois dans le passé (Safe Harbor, Privacy Shield). Une alternative européenne ne règle pas tout, mais elle retire ce point de discussion.

Le tableau de décision

Critère	Google Analytics 4	Matomo	Piano Analytics	Plausible	Overtracking
Consentement par défaut	Bandeau obligatoire	Exemptable si configuré selon les conditions CNIL	Exemptable selon configuration, à valider	Sans cookie selon l'éditeur	Sans cookie selon l'éditeur
Transfert hors UE	Oui (serveurs Google, DPF)	Aucun si hébergé en UE ou sur votre serveur	Infrastructure européenne (à confirmer contractuellement)	Hébergement UE (éditeur)	À vérifier auprès de l'éditeur
Maîtrise de l'hébergement	Google	Auto-hébergé ou cloud	Cloud éditeur	Cloud éditeur	Cloud éditeur
Heatmaps et replay	Outil externe	Option payante	Selon offre	Non proposé	Selon offre
Profil typique	Écosystème Google Ads, volumes élevés	Souveraineté, équipe technique	Médias, grands comptes, secteur public	Mesure simple, sans cookie	Mesure simple, sans cookie

Matomo : l’alternative la plus documentée

Matomo, auto-hébergé ou en cloud, est l’alternative la plus utilisée pour une mesure exemptable. Vous contrôlez l’hébergement, et la configuration (anonymisation des IP, durée de conservation, absence de partage) détermine si l’exemption s’applique. Le détail est dans le guide Matomo et l’exemption CNIL. Les fonctionnalités avancées (heatmaps, enregistrements) sortent de l’exemption et demandent un consentement.

Piano Analytics : le choix des médias et grands comptes

Piano Analytics est l’ancien AT Internet. Son infrastructure de collecte est européenne et l’outil est fréquent dans les médias et le secteur public français. Le coût et la complexité d’implémentation sont plus élevés que GA4 ou Matomo. Je le compare point par point à GA4 dans le comparatif GA4 vs Piano Analytics, et à Matomo dans le comparatif Matomo vs Piano Analytics.

Plausible et Overtracking : mesure simple, sans cookie

Plausible et Overtracking mesurent sans cookie, ce qui évite le bandeau pour la mesure de base. Leur profil est celui d’une mesure de trafic : pages, sources, conversions simples. Ils ne remplacent pas un outil d’analyse de parcours ou d’attribution. Pour Overtracking, j’ai passé l’outil à la grille CNIL dans Overtracking : analytics sans cookies et exemption.

Quelle alternative selon votre contexte

• Vous voulez garder GA4 pour Google Ads et accepter le bandeau : gardez GA4 et ajoutez un outil exemptable pour la mesure exhaustive du trafic.
• Vous voulez sortir de GA4 et garder un outil complet : Matomo, si votre équipe peut l’héberger ou le confier à un cloud UE.
• Vous êtes un média ou un grand compte avec des exigences de souveraineté : Piano Analytics, après une évaluation de coût.
• Vous voulez une mesure simple sans bandeau : Plausible ou Overtracking, en acceptant leurs limites fonctionnelles.

Dans la pratique, le couple GA4 et Matomo est fréquent : Matomo mesure tout le trafic, GA4 reste consenti pour les audiences publicitaires. Je vérifie ce montage avec votre DPO avant de le mettre en place.

Pour aller plus loin

• GA4 est-il conforme au RGPD ?
• Comment bénéficier de l’exemption CNIL avec Matomo ?
• Matomo : analytics open source
• GA4 vs Matomo : quel outil choisir ?

Sources

• Cookies : solutions pour les outils de mesure d’audience (CNIL, mise à jour du 4 juillet 2025)
• Data Privacy Framework : arrêt du Tribunal de l’UE du 3 septembre 2025 (affaire Latombe)
• Mise en demeure de la CNIL sur l’usage de Google Analytics, février 2022 (presse spécialisée)