FR
Une personne tape sur un ordinateur portable posé sur un bureau en bois, avec des icônes de Google Analytics et Meta superposées et des serveurs en arrière-plan.

Lien numérique · Essai

Comment ils vous surveillent (I) : ce que collectent vraiment Google Analytics et le Pixel Meta

2 octobre 2026 · 8 min de lecture

Ce que collecte vraiment une balise Google Analytics 4 et le Pixel Meta, raconté à partir de la documentation officielle des deux entreprises et sans adjectifs.

Fiche du concept →

Quand un site web vous affiche une bannière de cookies, il n’explique presque jamais ce qu’il y a derrière. Voici le premier d’une série de quatre textes pour le faire. Aujourd’hui, nous nous limitons à décrire : ce que collectent deux des outils les plus répandus, Google Analytics 4 (GA4) et le Pixel Meta, tels que Google et Meta eux-mêmes les documentent. Ce qui est fait ensuite de ces données, ce sera pour un prochain texte.

Un mot sur la méthode : nous citons ce que disent les pages officielles et signalons ce qu’elles ne disent pas. Là où la documentation ne précise pas un point, nous ne le complétons pas. La page principale de Meta que nous citons indique, dans sa version en espagnol, une dernière mise à jour en 2023 ; la version en anglais n’affiche aucune date. Nous donnons les deux dans les sources.

Qu’est-ce qu’une balise de suivi

Une balise est un fragment de code que le propriétaire d’un site web colle dans ses pages. Chaque fois que vous chargez une page ou que vous faites quelque chose sur celle-ci, ce code envoie un message aux serveurs de l’entreprise propriétaire de l’outil. Vous ne voyez pas le message ; le propriétaire du site voit le résultat dans un tableau de bord.

Meta le décrit ainsi : le Pixel est « a snippet of JavaScript code that allows you to track visitor activity on your website » (un fragment de code JavaScript qui permet de suivre l’activité des visiteurs). Ses résultats servent, selon Meta, à mesurer l’efficacité des publicités, à définir des audiences personnalisées pour cibler des publicités et à analyser des tunnels de conversion.

Ce que collecte Google Analytics 4

Quand un site web utilise GA4, sa balise informe Google de certaines de vos actions sur ce site. Selon Google, pour chaque visite, elle enregistre, sans que le site ait besoin de configurer quoi que ce soit de plus :

  • qu’il s’agit de votre première visite et le moment où votre session commence ;
  • que la page est au premier plan pendant au moins une seconde ;
  • la langue, l’adresse et le titre de la page, la page d’origine et la résolution de votre écran ;
  • un identifiant client et un identifiant de session.

Google documente par ailleurs (dans la version en espagnol de sa page d’aide) que ces événements sont enregistrés par défaut via la « mesure améliorée » :

  • chaque page que vous chargez ;
  • jusqu’où vous faites défiler la page, lorsque vous atteignez 90 % de celle-ci ;
  • les clics sur des liens qui vous font quitter le site ;
  • les téléchargements de fichiers (PDF, documents, audio, vidéo) ;
  • ce que vous recherchez sur le site ;
  • la part visionnée d’une vidéo YouTube intégrée (10, 25, 50 et 75 %) ;
  • le moment où vous commencez à remplir un formulaire et celui où vous l’envoyez.

Ce que GA4 enregistre, selon la documentation officielle de Google, avec la « mesure améliorée » activée. Touchez l’image pour la voir en taille réelle.

Comment sait-elle qu’il s’agit de la même personne quand vous revenez ? Avec deux cookies, selon Google : _ga, qui sert « para distinguir usuarios » (à distinguer les utilisateurs), et _ga_<id>, qui conserve l’état de la session. Les deux expirent par défaut au bout de 2 ans, bien que les navigateurs puissent raccourcir ce délai (jusqu’à 400 jours sur Chrome et 7 jours sur Safari si vous ne revenez pas). Avec _ga, le site sait que vous êtes le même visiteur tant que le cookie reste dans votre navigateur ; c’est notre propre lecture, Google indique seulement qu’il sert à distinguer les utilisateurs.

Il existe une option supplémentaire : le User-ID. Si le site l’active, il peut vous attribuer son propre identifiant lorsque vous vous connectez. Selon Google, il sert à relier votre activité entre sessions, appareils et plateformes, et le tableau de bord permet de consulter l’activité d’un utilisateur précis.

Ce que nous ne pouvons pas affirmer avec ce que nous avons consulté : si la mesure améliorée est activée par défaut ou si c’est la personne qui configure le site qui l’active (Google dit que ces événements sont enregistrés via cette fonction, pas que l’interrupteur est activé par défaut), et si GA4 utilise ou non des techniques d’empreinte numérique du navigateur (les pages de Google que nous avons consultées ne le documentent dans aucun sens).

Ce que collecte le Pixel Meta

Selon la documentation de Meta, le Pixel peut collecter :

  • ce qui figure généralement dans les en-têtes HTTP, les données qui circulent dans n’importe quelle requête web (« anything that is generally present in HTTP headers »). Meta indique que cela peut inclure l’adresse IP, des informations sur le navigateur, l’emplacement de la page, le document, la provenance et la personne qui utilise le site. La page n’explique pas comment cette personne est déterminée, et nous ne complétons pas ce point ;
  • l’identifiant du Pixel et les cookies de Facebook ;
  • les boutons que vous cliquez, leurs libellés et les pages sur lesquelles vous arrivez ;
  • les noms des champs d’un formulaire (par exemple « email » ou « address »). Les valeurs ne sont capturées que si le site les inclut via Advanced Matching ou des valeurs optionnelles (« We don’t capture field values unless you include them as part of Advanced Matching or optional values »).

Ce que collecte le Pixel Meta, selon sa documentation officielle, depuis le navigateur et depuis le serveur (API Conversions). Touchez l’image pour la voir en taille réelle.

Advanced Matching est la fonction qui permet au site d’envoyer à Meta vos données pour les associer à vos actions sur ce site ; elle peut aussi être activée depuis le tableau de bord de Meta (Events Manager). Les données que liste Meta sont : e-mail, prénom, nom, téléphone, genre, date de naissance, ville, région, code postal, pays et un identifiant propre au site (un numéro d’adhérent, par exemple). La documentation ne précise pas que cette liste soit exhaustive.

Ces données sont envoyées sous forme de « hash » (SHA-256) : une opération qui transforme l’e-mail en une chaîne illisible, sans retour en arrière possible. Cela ne les rend pas anonymes : le même e-mail produit toujours la même chaîne, ce qui permet donc toujours de reconnaître la même personne. Le RGPD traite ces données « pseudonymisées » comme des données personnelles tant qu’elles peuvent être attribuées à quelqu’un à l’aide d’informations supplémentaires (art. 4.5 et considérant 26). Cette phrase relève de notre propre lecture, pas de celle de Meta.

Meta dispose d’une autre voie, l’API Conversions : les événements ne quittent pas votre navigateur, mais proviennent du serveur du site. Selon Meta, cette voie envoie, sans hachage, votre adresse IP, le type de navigateur et les cookies _fbp et _fbc. Selon Meta, le premier conserve un identifiant du navigateur (son format inclut un numéro aléatoire) et le second, l’identifiant du clic sur une publicité Meta. E-mail, téléphone, nom et le reste des données personnelles de la liste sont envoyés hachés ; l’identifiant propre au site (external_id) n’est recommandé par Meta qu’avec hachage, pas exigé.

Si le même événement arrive par les deux voies, Meta évite de le compter deux fois en comparant son nom et son identifiant. S’ils arrivent à moins de cinq minutes d’intervalle, la priorité est donnée à celui du navigateur.

Ce qu’il reste à dire

Jusqu’ici, des faits : ce qui est collecté et par quel mécanisme. Ce texte n’affirme pas deux choses :

  • Nous ne disons pas que chaque site utilisant ces outils envoie tous ces champs. Beaucoup d’entre eux dépendent de leur activation par le propriétaire du site.
  • Nous ne disons pas encore si c’est une bonne ou une mauvaise chose. Un compteur de visites et un profil qui vous suit de site en site sont deux choses différentes, et la différence compte. La mécanique de cette frontière, c’est ce qui vient ensuite.

C’est la même défense qui guide le texte jumeau sur PISA 2025 et l’IA en classe : des données et des preuves en main avant de tirer des conclusions, dans un cas sur le pistage commercial, dans l’autre sur l’usage de l’IA dans les établissements.

Nous verrons ce qui est fait de ces données, et pourquoi un système qui ne fait que mesurer peut finir par intervenir dans ce que vous faites, dans le prochain texte du pôle Lien numérique.

Sources

Consultées le 2026-10-13.