Google Analytics est-il conforme au RGPD ? Mon choix : Umami

🇬🇧 Read in English : Is Google Analytics GDPR-compliant? My answer: Umami

J’ai remplacé Google Analytics par Umami, un outil de mesure d’audience open source, sans cookie et auto-hébergé. La raison tient en un chiffre : derrière un bandeau de consentement conforme, environ 40 à 45 % des visites n’apparaissent jamais dans GA4. Et la reconstitution par IA que Google propose en compensation ne s’active jamais sur un site local à taille humaine. Umami mesure 100 % du trafic, légalement, avec un script de moins de 2 Ko.

Points clés

• Entre refus et absence de choix, environ 40 à 45 % du trafic échappe à Google Analytics derrière un bandeau conforme.
• La modélisation par IA de Google exige 1 000 utilisateurs consentants par jour : un site professionnel local ne l’activera jamais.
• Umami mesure 100 % du trafic, sans cookie ni bandeau, avec un script de moins de 2 Ko et des données hébergées chez vous.
• Sous 2 000 visiteurs par jour, GA4 ne peut pas fonctionner comme prévu. Au-dessus, ses estimations restent extrapolées de marchés extérieurs : sur un micro-marché local, Umami reste le bon choix, sauf campagnes Google Ads actives.

Sous 2 000 visiteurs par jour, GA4 ne verra jamais votre trafic en entier. Au-dessus, il le reconstitue à partir de marchés qui ne sont pas le vôtre. Dans les deux cas, sauf à faire de la publicité Google, mon conseil est le même : mesurez chez vous, et pilotez des campagnes plutôt que des individus.

— Olivier Watté, dit Oliver · fondateur de Kimoun

Qu’est-ce qu’Umami ?  

Umami est une plateforme de mesure d’audience web open source, créée en 2020 par Mike Cao. Umami compte les visites, les pages vues, les provenances, les campagnes et les événements personnalisés, sans cookie, sans empreinte numérique, sans collecte de donnée personnelle. Le script pèse moins de 2 Ko, là où l’attelage Google Tag Manager + GA4 dépasse couramment les 100 Ko.

Umami s’installe sur son propre serveur (Docker, quelques minutes) ou s’utilise via l’offre cloud de l’éditeur. Sur les infrastructures que nous gérons, il fait partie du socle livré avec l’hébergement infogéré. Dans le premier cas, les données de visite ne quittent jamais votre infrastructure.

Combien de données le bandeau de consentement fait-il perdre ?  

  Astuce

Avec un bandeau conforme, une part importante des visiteurs échappe à Google Analytics : ceux qui refusent, plus ceux qui ignorent le bandeau.

Deux populations échappent à GA4, et elles s’additionnent. D’abord ceux qui refusent explicitement. La CNIL, qui suit l’effet de son plan d’action sur les bandeaux, constate que le taux de refus a nettement progressé depuis l’obligation d’un bouton « Refuser » aussi accessible que le bouton « Accepter ». Ensuite, et c’est la population qu’on oublie, ceux qui ne répondent rien : le benchmark Didomi 2026 situe ce taux de non-choix entre 21 et 27 % selon les régions européennes. Sans choix explicite, aucun traceur soumis à consentement ne peut être déposé.

En additionnant refus et non-choix, on tombe raisonnablement dans une fourchette de 40 à 45 % de trafic invisible pour GA4. Les mesures publiées varient selon les secteurs, les pays et la façon de compter, et je préfère retenir une estimation basse : elle suffit largement à l’argument. Un outil qui manque deux visiteurs sur cinq n’est pas un outil de pilotage.

  Remarque

Sur les sites que nous suivons en Guadeloupe, GA4 ne voit qu’environ un clic Google sur trois remontés par Search Console, et le volume quotidien d’événements reste un à deux ordres de grandeur sous le seuil de modélisation de Google.

Pourquoi la modélisation par IA ne sauve pas les petits sites ?  

  Astuce

Le « behavioral modeling » de GA4 exige 1 000 événements refusés par jour pendant 7 jours : un site local atteint rarement ce seuil.

Google connaît le problème et propose une réponse : le Consent Mode v2 et sa « modélisation comportementale ». Une IA estime ce que les visiteurs non consentants auraient probablement fait, à partir du comportement de ceux qui ont accepté. Sur le papier, les trous se rebouchent tout seuls.

Dans les faits, deux verrous excluent les sites locaux. Premier verrou : les seuils. Google exige au moins 1 000 événements par jour avec consentement refusé pendant 7 jours consécutifs, et 1 000 utilisateurs consentants par jour sur 7 des 28 derniers jours. Un site professionnel guadeloupéen bien référencé en est à un ou deux ordres de grandeur en dessous : la modélisation ne s’activera jamais, et ses rapports resteront amputés.

Second verrou : le biais. Le modèle extrapole depuis les visiteurs qui acceptent les cookies et depuis des jeux de données comportementales globaux. Rien ne garantit qu’ils ressemblent à un trafic local, peu volumineux mais très qualifié. Et GA4 mélange données observées et données prédites dans les mêmes rapports, sans indiquer lesquelles sont lesquelles. S’ajoute un détail qui fâche : la modélisation exige le mode « avancé » du Consent Mode, où les balises Google se chargent avant le consentement et envoient des signaux anonymisés même après un refus, une mécanique juridiquement contestée en France.

Que change Umami concrètement ?  

Umami inverse le rapport : au lieu de modéliser ce qu’on n’a pas le droit de mesurer, on mesure ce qu’on a le droit de mesurer, c’est-à-dire tout, anonymement. Sans cookie ni donnée personnelle, la mesure d’audience entre dans le cadre d’exemption de consentement prévu par la CNIL : le bandeau devient inutile pour la simple statistique de visite.

Le gain est triple. Des données complètes : 100 % du trafic observé. Des données mesurées, pas modélisées : un chiffre Umami est un fait, pas une estimation d’IA entraînée ailleurs. Des données chez soi : la base tourne sur votre serveur, réversible, exportable, hors de portée du Cloud Act. C’est la même logique que je défends pour les données d’entreprise face aux agents IA et que mesure SovereigntyMap.

Google Analytics est-il encore conforme au RGPD ?  

La question qui vient toujours ensuite : « est-ce que GA4 est encore légal ? ». La réponse juste est nuancée. La CNIL a jugé en 2022 que la configuration alors courante de Google Analytics était incompatible avec le RGPD, en raison des transferts de données vers les États-Unis. Le cadre juridique a évolué depuis, et des configurations conformes existent. GA4 n’est donc pas interdit.

Mais deux contraintes demeurent, et elles sont structurelles. GA4 dépose des cookies : le consentement préalable reste obligatoire, avec les pertes de mesure décrites plus haut. Et la CNIL sanctionne régulièrement les bandeaux non conformes, jusqu’à 325 millions d’euros pour Google en septembre 2025. Autrement dit, plus votre bandeau est honnête, moins GA4 voit de monde. Umami n’a pas ce dilemme : il n’a rien à faire accepter.

L’anonymat change aussi la façon de faire du marketing  

L’objection classique : « sans suivi individuel, comment j’optimise ? ». Mon retour d’expérience : l’anonymisation pousse vers un pilotage par campagne plutôt que par visiteur. On ne se demande plus ce qu’a fait le visiteur n° 4832, on compare ce que produit chaque action : cette publication LinkedIn, ce QR code sur un flyer, cette campagne WhatsApp, via les UTM et les événements agrégés d’Umami.

Pour un site local au trafic qualifié, ce niveau d’agrégation suffit largement à décider : quelle source amène des demandes de devis, quelle page convertit, quelle campagne mérite d’être refaite.

Comment j’ai migré kimoun.com ?  

La migration tient en quatre étapes : export des rapports GA4 à conserver, déploiement d’Umami sur mon infrastructure, pose du script et des événements (clics CTA, WhatsApp, devis), puis retrait de GA4 du chargement par défaut. Le bandeau de consentement ne conditionne plus la mesure d’audience : il ne réapparaîtra que lorsqu’un traceur soumis à consentement s’activera réellement.

  Attention

Si vous avez des campagnes Google Ads actives, ne coupez pas GA4 brutalement : le suivi des conversions publicitaires doit être rebranché proprement avant. C’est l’objet d’un prochain article : activer GA4 uniquement pendant les campagnes, calé sur les événements Umami, avec la procédure complète de bascule.

À qui je conseille Umami plutôt que GA4 ?  

  Astuce

Le seuil de 2 000 visiteurs par jour n’est pas une frontière entre deux outils : c’est le point à partir duquel GA4 commence seulement à fonctionner comme prévu.

Le seuil que je donne en tête d’article, 2 000 visiteurs par jour, n’est pas arbitraire : il découle des conditions de Google lui-même. La modélisation exige 1 000 utilisateurs consentants par jour ; avec un taux d’acceptation de l’ordre de 55 à 60 %, il faut donc de l’ordre de 2 000 visiteurs quotidiens pour espérer l’activer. En dessous, GA4 est structurellement amputé, et en Guadeloupe, l’immense majorité des sites professionnels est en dessous. Pour eux, la question est vite tranchée : garder GA4 est une mauvaise idée.

Au-dessus du seuil, la réponse demande plus de nuance, et elle ne va pas dans le sens qu’on attend. La modélisation s’active, des données de reconstitution sont bien produites, mais elles sont extrapolées depuis des marchés extérieurs : d’autres comportements, une autre échelle, un autre rapport au commerce local. Sur un micro-marché comme les Antilles, ces estimations ne décrivent pas vos visiteurs, elles décrivent une moyenne qui leur ressemble de loin, et le biais que j’évoquais plus haut ne disparaît pas avec le volume : il devient simplement invisible, noyé dans des rapports qui ne distinguent pas l’observé du prédit. Sauf à faire de la publicité Google, où la brique GA4 redevient nécessaire, c’est une fausse bonne idée.

Autrement dit, le choix n’est pas entre un outil riche et un outil pauvre. Il est entre une mesure partielle habillée d’estimations venues d’ailleurs, et une mesure complète assumée. Mon conseil est donc le même des deux côtés du seuil : prendre une solution du type Umami, et faire évoluer ses actions de marketing vers des stratégies de campagne plutôt que du suivi d’individus. C’est plus éthique, et sur un marché local, c’est surtout plus efficace.