Limiter le cookie Google Analytics à 13 mois

Nous sommes en mars 2021, d’ici quelques semaines la période d’adaptation aux nouvelles lignes directrices de la CNIL arrivera à terme.
Il y a encore pas mal de flou autour de ce qu’il faut faire, la CNIL demandant à chacun d’appliquer la loi et ne donnant pas d’exemple concret sur les solutions les plus connues, tel Google Analytics, en dehors de vidéos privée. Dans cet article, on va s’attarder à la question des cookies et principalement le cas de Google Analytics qui a une solution bien pratique pour la mise en conformité

Que dit la loi ?

Sans rentrer dans les détails, la CNIL a pour mission de faire appliquer le RGPD (Règlement Général sur la Protection des données) en France. En octobre dernier, cet organisme a mis à jour des lignes directrice et a indiqué quelques informations sur la durée de vie des cookies.

Dans des échanges avec des solutions privées (ci-dessous AT Internet), la CNIL s’est exprimée clairement sur le fait que Google Analytics ne pouvait partir sans consentement car certaines règles de leurs conditions d’utilisation n’étaient pas assez protectrices des données personnelles. Ces règles ont changé depuis cette vidéo mais la CNIL n’a toujours pas indiqué clairement que les portes étaient ouvertes pour récupérer de la donnée anonymisée sur GA sans consentement.

Bonjour Vincent, vous pouvez utiliser cet extrait si vous le souhaitez : https://t.co/64BRChXZJI

— AT Internet France (@AT_Internet_FR) February 25, 2021

Pour ceux qui n'auraient pas suivi les derniers échanges entre la CNIL et Google, petit résumé : pic.twitter.com/2Nr4vobmqp

— Aristide Riou #passionRGPD (@Aristweet) March 9, 2021

Et pour la suite ?

Il est fort possible que Google avance dans une bonne direction, dans tous les cas, même avec consentement Google ne propose pas, par défaut, de se caler à la loi française sur la restriction des cookies à 13 mois. Même s’il y a fort à parier que les navigateurs vont inclure une durée maximum de cookies dans les années à venir, vous pouvez d’ores et déjà vous mettre en conformité sur ce point grâce à un paramétrage qui vous prendra quelques minutes d’intégration.

Attention, la méthode qui va suivre impacte le tracking cross-domain. Si vous utilisez ce type de tracking cookie_update: false fera bugger votre implémentation.

Cookie 13 mois pour gtag.js

Si vous avez la dernière version d’Analytics il y a fort à parier que vous utilisez gtag.js. Idem si vous utilisez GA4 Pour vérifier cela affichez la source de votre site et recherchez « gtag.js ».

Ensuite, il vous faudra modifier cet extrait de code :

gtag('config', 'GA_MEASUREMENT_ID');

Par celui-ci :

gtag('config', 'GA_MEASUREMENT_ID', {
  cookie_expires: 34164000,
  cookie_update: false
});

La valeur « cookie_expires » est une valeur en seconde (ici 13 mois ou 34 164 000 secondes) qui va forcer la date d’expiration du cookie. La valeur cookie_update à false indique à Google de ne pas réinitialiser le cookie lors de la navigation. Comme le cookie est lié à la date de consentement c’est assez utile de ne pas le rendre « glissant ».
La documentation est ici.

13 mois non glissants analytics.js

Si vous utilisez une version précédente du script GA cette option est aussi compatible mais la syntaxe diffère un peu.

ga('create', 'UA-XXXXX-Y',
 {'cookieExpires': 34164000,  // Time in seconds.
  'cookieUpdate': false});

Vous trouverez la documentation ici. Attention toutefois il semble manquer une virgule dans l’exemple du cookieExpires.

Google Tag Manager

Je vous suggère de passer vos intégrations à Google Tag Manager. Même s’il s’agit de ne mettre que Google Analytics sur vos sites le script sera exactement le même que celui de gtag et vous gagnerez du temps d’implémentation, notamment avec le paramétrage de GA.

Nous allons utiliser les mêmes méthodes que dans les chapitres précédents, pour vos tags Universal Analytics il faudra, au niveau de la variable des paramètres Analytics, ajouter dans les champs à définir les valeurs relatives à analytics.js (on en profite aussi pour ajouter l’anonymisation d’ip) :

Pour configurer GA4 il faudra prendre les valeurs de gtag.js dans la balise de configuration GA4. Ici, pas besoin de forcer l’anonymisation de l’ip qui est par défaut désactivé dans le tracking GA4. Rien ne vous empêche de le mettre si vous souhaitez être ceinture et bretelles (anonymize_ip : true).

Super ! Je peux maintenant envoyer GA sans consentement !

Non… toujours pas mais au moins vous respectez un peu plus les recommandations CNIL !