Google Analytics est-il légal en Suisse ?

L'équipe AlpiStats · Publié le 16 octobre 2026 · Mis à jour le 17 octobre 2026

Réponse courte : oui. Aucune loi suisse n'interdit Google Analytics. Depuis le 15 septembre 2024, les données peuvent être transférées vers des entreprises américaines certifiées au Swiss-U.S. Data Privacy Framework, dont Google se prévaut. Mais l'utiliser légalement suppose trois choses : informer les visiteurs (déclaration de confidentialité), leur permettre de refuser les cookies de mesure (art. 45c LTC), et obtenir leur consentement préalable si votre site vise aussi des visiteurs de l'Union européenne. Le cadre de transfert reste par ailleurs fragile.

Dernière vérification des sources : 16 octobre 2026. Texte mis à jour le 17 octobre 2026 (régime d'AlpiStats). Cet article informe ; il ne remplace pas un avis juridique.

Pourquoi la question se pose

Google Analytics (GA4) dépose des cookies dans le navigateur du visiteur et envoie des données de navigation à Google LLC, une société américaine. En Suisse, cela touche trois règles différentes :

La loi sur la protection des données (LPD révisée, dite « nLPD »), en vigueur depuis le 1er septembre 2023 : elle encadre tout traitement de données personnelles, y compris les identifiants de cookies et les adresses IP.
L'article 45c de la loi sur les télécommunications (LTC) : il encadre spécifiquement le fait de stocker ou lire des informations sur l'appareil d'autrui, donc les cookies.
Les règles sur la communication de données à l'étranger (art. 16 et 17 nLPD) : elles s'appliquent dès que les données partent hors de Suisse.

Entre 2020 et 2022, plusieurs autorités européennes (Autriche, France, Italie notamment) ont jugé l'utilisation de Google Analytics illicite, faute de protection suffisante aux États-Unis. Ces décisions ont beaucoup circulé en Suisse et nourrissent encore l'idée que « Google Analytics est interdit ». Ce n'est pas le cas en droit suisse, et la situation a changé depuis.

Les transferts vers les États-Unis sont redevenus possibles

Le 14 août 2024, le Conseil fédéral a ajouté les États-Unis à la liste des États offrant un niveau de protection adéquat, pour les seules entreprises certifiées au Swiss-U.S. Data Privacy Framework (DPF). La modification de l'ordonnance sur la protection des données est entrée en vigueur le 15 septembre 2024. Depuis, ces transferts ne demandent plus de garanties supplémentaires.

Google indique s'appuyer sur ce cadre, depuis le 16 septembre 2024 et « dans certaines circonstances », pour les transferts de données de Suisse vers les États-Unis liés à ses produits de publicité et de mesure. Pour les autres cas, Google renvoie aux clauses contractuelles types.

Ce que cela veut dire concrètement : le transfert lui-même n'est plus l'obstacle principal. Il doit toutefois être mentionné dans votre déclaration de confidentialité, avec l'État de destination et la garantie utilisée (art. 19 nLPD).

Un cadre qui reste fragile

Les deux accords précédents entre l'Europe et les États-Unis (Safe Harbor en 2015, Privacy Shield en 2020) ont été invalidés par la Cour de justice de l'UE, et la Suisse a suivi à chaque fois. Le cadre actuel a résisté à un premier recours : le Tribunal de l'UE l'a validé le 3 septembre 2025 (affaire Latombe). Un pourvoi a été formé devant la Cour de justice le 31 octobre 2025 ; à notre connaissance, il est toujours pendant en octobre 2026.

Le cadre suisse est juridiquement distinct du cadre européen, mais il en est le miroir. Si la Cour de justice annulait le cadre UE, une remise en question côté suisse serait probable. Un site qui dépend entièrement de Google Analytics porte donc un risque de rupture, pas seulement un risque juridique.

Les cookies : en Suisse, l'information et le refus sont obligatoires

L'article 45c LTC impose, pour les cookies non indispensables, d'informer le visiteur de leur utilisation et de leur finalité, et de lui indiquer qu'il peut refuser. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a précisé ces règles dans un guide sur les cookies publié en janvier 2025 et mis à jour le 6 octobre 2025.

Ce qu'il en ressort pour Google Analytics :

La mesure d'audience peut se justifier par un intérêt prépondérant de l'exploitant, à condition notamment que les données soient anonymisées dès que possible et que les résultats ne permettent pas d'identifier les personnes (guide PFPDT, ch. 3.8.2).
Mais elle ne dispense jamais du droit de refuser prévu par l'art. 45c LTC. Ce droit doit être visible dès la première visite et exerçable en quelques clics.
Un consentement exprès (opt-in) devient nécessaire si le traitement va jusqu'au profilage à risque élevé ou touche des données sensibles. Le PFPDT demande de présumer ce risque tant qu'on ne peut pas l'exclure. Activer Google Signals, relier GA4 à Google Ads ou croiser les données avec d'autres sources peut faire basculer dans cette catégorie.

👉 Le détail est expliqué dans notre article Faut-il un bandeau cookies en Suisse ?.

Ce que fait GA4 avec les adresses IP

Selon la documentation de Google, pour les visiteurs situés dans l'UE, en Suisse ou au Royaume-Uni, GA4 collecte les données via des serveurs situés en Europe. L'adresse IP y sert à déduire une localisation approximative (pays, région, ville), puis elle est supprimée : elle n'est ni journalisée ni stockée. Les données sont ensuite transmises aux serveurs d'Analytics pour traitement, sans que Google précise leur localisation.

C'est un progrès réel par rapport à l'ancienne version (Universal Analytics). Cela ne suffit pas à rendre les données anonymes : GA4 continue d'utiliser un identifiant de cookie qui reconnaît le même navigateur d'une visite à l'autre, ce qui reste une donnée personnelle au sens de la nLPD.

Qui est responsable, et qu'est-ce qu'on risque ?

L'exploitant du site est responsable, pas Google. Le PFPDT le dit clairement : c'est le propriétaire du site qui décide d'intégrer l'outil, et il ne peut pas se décharger sur les conditions d'utilisation du fournisseur.

La nLPD prévoit des sanctions pénales visant les personnes physiques (dirigeants, responsables), pas l'entreprise elle-même :

jusqu'à CHF 250'000 d'amende en cas de violation intentionnelle du devoir d'information (art. 60 nLPD) ;
la même amende maximale pour certaines violations du devoir de diligence, dont une communication de données à l'étranger qui ne respecte pas la loi (art. 61 nLPD).

Ces infractions sont poursuivies sur plainte et jugées par les autorités pénales cantonales. En pratique, le risque le plus fréquent pour une PME n'est pas l'amende, mais une plainte d'un visiteur, une enquête du PFPDT ou une exigence d'un client (appel d'offres public, grand compte, secteur santé ou finance) qui demande des garanties.

Checklist : utiliser Google Analytics en conformité en Suisse

Déclaration de confidentialité : nommer Google comme destinataire, indiquer les États-Unis comme pays de destination et le Swiss-U.S. DPF comme garantie, décrire les finalités et la durée de conservation.
Droit de refus : un lien ou un bandeau visible dès la première visite, qui bloque réellement GA4 une fois le refus exprimé.
Réglages GA4 : désactiver Google Signals si vous n'en avez pas besoin, limiter les données granulaires de localisation et d'appareil pour la Suisse, réduire la durée de conservation des données au minimum utile, désactiver le partage de données avec Google si possible.
Contrat de traitement : accepter les conditions de traitement des données de Google (Google Ads Data Processing Terms) dans l'interface d'administration.
Pas de données personnelles dans les URL : adresses e-mail, numéros de client ou jetons dans les paramètres d'URL finissent dans les rapports.
Visiteurs de l'UE : si votre site s'adresse aussi à eux, mettre en place un consentement préalable (opt-in) avant de charger GA4. Voir Site suisse et visiteurs européens : nLPD ou RGPD ?.
Plan B : savoir comment vous mesureriez votre audience si le cadre de transfert tombait.

Quand envisager une alternative ?

Google Analytics reste un outil très complet, et gratuit dans sa version standard. Une alternative a du sens si :

vous utilisez surtout les chiffres de base (visites, pages vues, sources, pays, appareils) ;
vous voulez une gestion du consentement plus simple et vous libérer de la dépendance au cadre de transfert ;
vos clients ou votre secteur exigent des données hébergées en Suisse ;
vous trouvez l'interface de GA4 trop complexe pour l'usage que vous en faites.

Les outils de mesure hébergés en Suisse répondent à ces cas, à condition d'en accepter les règles. AlpiStats, par exemple, stocke les données en Suisse chez Infomaniak et applique la règle la plus stricte à tous les visiteurs, en Suisse comme dans l'UE : il ne mesure l'audience qu'après l'accord du visiteur, dans ses deux modes, et n'effectue aucune mesure en cas de refus. Le mode Essentiel mesure l'audience (pages, provenance, appareil, pays) sans identifiant persistant d'audience dans le navigateur ; le mode Complet y ajoute la reconnaissance des visiteurs qui reviennent, grâce à un identifiant aléatoire, sans cookie, gardé six mois au plus, avec des visites détaillées pseudonymisées. Le visiteur peut retirer son accord à tout moment par un badge permanent. La contrepartie est assumée : les statistiques ne couvrent que les visiteurs qui ont accepté, donc attendez-vous à des chiffres plus bas que ceux d'un outil qui compte sans attendre l'accord. Il est possible de le faire tourner en parallèle de Google Analytics pendant une période de transition, ce qui permet de comparer. Comparer AlpiStats et Google Analytics.

Questions fréquentes

Google Analytics est-il interdit en Suisse ?

Non. Aucune décision suisse ne l'interdit. Les décisions d'interdiction souvent citées viennent d'autorités européennes et datent de 2022, avant le Data Privacy Framework.

Faut-il le consentement des visiteurs suisses pour utiliser Google Analytics ?

En règle générale, non : l'information et la possibilité de refuser suffisent. Un consentement exprès devient nécessaire en cas de profilage à risque élevé ou de données sensibles, et il est exigé pour les visiteurs de l'UE.

L'anonymisation IP de GA4 suffit-elle ?

Elle réduit les risques, mais ne rend pas les données anonymes, car GA4 reconnaît les navigateurs d'une visite à l'autre grâce à ses cookies.

Que se passe-t-il si le Data Privacy Framework est annulé ?

Les transferts vers Google devraient de nouveau reposer sur d'autres garanties (clauses contractuelles types et évaluation des risques), comme entre 2020 et 2024. Les sites concernés devraient revoir leur conformité rapidement.

Une administration publique peut-elle utiliser Google Analytics ?

Le PFPDT exige un consentement exprès des organes fédéraux même pour un profilage normal. Les administrations cantonales et communales relèvent du droit cantonal, souvent plus strict ; elles doivent vérifier auprès de leur préposé cantonal.