Gouvernance des données analytics : reprendre le contrôle de GA4 avant que quelqu’un d’autre ne le fasse

Ta propriété GA4 a combien d’administrateurs ? Cinq ? Douze ? Tu ne sais pas exactement ? Voilà le vrai problème. Pas la configuration du Consent Mode, pas le plan de marquage — le fait que personne ne sait précisément qui possède quoi dans ton stack analytics. La gouvernance, c’est ça : décider intentionnellement plutôt que de subir l’entropie.

Qui possède quoi : la matrice de responsabilité que personne ne fait

GA4 propose cinq rôles : Administrateur, Éditeur, Marketer, Analyst et Viewer. En assignant un rôle à chaque utilisateur, tu contrôles ce qu’il peut faire au niveau du compte ou de la propriété. En théorie. En pratique, la moitié des équipes ont accordé le rôle Administrateur à l’agence d’il y a trois ans, à l’ex-collègue parti en juin et au stagiaire « juste pour tester ».

Les Analysts peuvent voir et interpréter la donnée sans modifier les paramètres, tandis que les Administrateurs ont le contrôle total. Cette structure claire renforce la responsabilité et réduit les risques de mauvaise configuration. Mais ça, c’est la documentation Google. La réalité, c’est qu’l’accès Administrateur devrait être réservé aux utilisateurs de confiance qui ont besoin d’un contrôle total sur ta configuration GA4.

Concrètement : fais l’audit maintenant. Admin > Property Access Management. Exporte la liste. Pour chaque entrée, pose-toi la question : est-ce que cette personne a besoin de ce niveau d’accès pour faire son travail ? La règle d’or : toujours donner le niveau d’accès le plus bas requis. Si quelqu’un doit seulement consulter les données de performance, assigne-lui le rôle Viewer plutôt qu’Editor ou Administrateur.

GTM : ton container est un fichier de configuration, traite-le comme tel

Les versions automatiques changent la donne

GTM génère désormais automatiquement un nom et une description de version à partir des changements de ton workspace. C’est une fonctionnalité IA, discrète, mais qui touche directement la gouvernance. Les versions de container sont souvent nommées à la va-vite ou pas du tout. Pourtant, un nommage rigoureux rend l’historique des versions réellement utile et facilite la revue des jalons importants.

Attention cependant : utilise cette génération automatique comme point de départ. Vérifie le nom et la description, et complète les changements importants que le générateur aurait manqués. Il ne produit pas une liste exhaustive de tout ce qui a changé — il se concentre sur ce qu’il considère comme le plus significatif. Simo Ahava lui-même note que dans un exemple concret, le générateur a omis de mentionner 29 tags mis en pause avant la publication — ce qui est loin d’être un détail.

La Template Status Page : l’outil de gouvernance sous-estimé

Il existe une page « Status » pour tous les templates de la Community Template Gallery de GTM. Elle est très utile pour déboguer les problèmes de mise à jour de templates. Plus précisément, la page de statut affiche la liste de tous les commits GitHub traités par l’importeur de la gallery, avec les erreurs associées que l’auteur du template devrait vérifier.

Pour la gouvernance, ça signifie une chose concrète : si tu utilises des templates de la gallery, tu peux vérifier à tout moment si le template est à jour, cassé ou en attente de synchronisation. L’outil GTM Tools de Simo Ahava permet aussi de générer automatiquement la documentation de ton container, tags, triggers et variables, avec une option de mise à jour en masse des notes.

Ancienne école vs méthode augmentée par IA

Ancienne école	Méthode augmentée par IA
Nommage manuel des versions (souvent oublié)	Génération automatique du nom + description à la publication
Documentation Google Sheets mise à jour à la main tous les 6 mois	GTM Tools génère la doc à chaque nouvelle version
Audit du container : revue manuelle tag par tag	Template Status Page : état de chaque template en un clic
Qui a changé quoi ? Mystère	Historique de versions avec auteur, horodatage, diff

La différence n’est pas cosmétique. Un container documenté de façon cohérente est auditable. Un container non documenté est un risque légal autant qu’opérationnel.

RGPD : ce que GA4 ne fait pas pour toi

GA4 n’est pas automatiquement conforme. Tu dois gérer activement ta configuration pour rester dans les limites légales. En contexte francophone, ça veut dire naviguer avec la CNIL, qui reste vigilante.

GA4 a apporté des améliorations — anonymisation IP par défaut, réduction de la rétention — mais dépose toujours des cookies nécessitant le consentement préalable. La conformité RGPD dépend de la configuration choisie : le server-side proxying hébergé dans l’UE constitue la solution la plus robuste. Dans tous les cas, une CMP conforme aux recommandations de la CNIL sur les cookies est indispensable.

Trois points de gouvernance non négociables côté données :

Vérifie que ta durée de rétention des données correspond à ce que ta politique de confidentialité indique réellement. C’est la première chose qu’un auditeur regardera.

Confirme qu’aucune donnée personnelle identifiable — adresse email, nom complet, numéro de téléphone — n’est transmise dans les paramètres d’événements GA4, ce qui viole les conditions d’utilisation de Google.

Revois qui peut exporter les données brutes et si cela correspond à tes accords de traitement des données.

Le prompt IA pour automatiser ton audit de gouvernance

Voici un prompt directement utilisable dans ChatGPT ou Claude pour générer ton plan d’audit trimestriel :

Tu es un consultant analytics senior. 
J'ai une propriété GA4 avec [X] utilisateurs actifs, un container GTM 
géré par [équipe interne / agence], et nous utilisons [CMP]. 
Génère un checklist d'audit de gouvernance trimestriel structuré en 
4 blocs : (1) contrôle des accès GA4 et GTM, (2) conformité RGPD 
et Consent Mode v2, (3) qualité de la donnée (PII, paramètres 
non documentés, custom dimensions orphelines), (4) documentation 
et versioning GTM. Pour chaque point, indique le responsable 
recommandé (Analytics Owner, DPO, Dev) et la fréquence de vérification.

Adapte les variables entre crochets à ton contexte. Le résultat n’est pas parfait — mais il te donne une base structurée en 30 secondes au lieu de 3 heures.

Le checklist opérationnel (à télécharger et adapter)

Bloc 1 — Accès et propriété

• [ ] Audit des rôles GA4 : liste complète avec justification par utilisateur
• [ ] Suppression des accès Administrateur non justifiés
• [ ] Accès GTM : qui peut publier ? Qui peut seulement éditer ?
• [ ] Revue des accès agences et prestataires externes

Bloc 2 — Conformité RGPD

• [ ] Consent Mode v2 actif et vérifié en DebugView
• [ ] Durée de rétention cohérente avec la politique de confidentialité
• [ ] Zéro PII dans les paramètres d’événements (audit regex)
• [ ] DPA signé avec Google et tous les sous-traitants

Bloc 3 — Documentation GTM

• [ ] Chaque version publiée a un nom et une description lisibles
• [ ] Chaque tag a une note indiquant son objectif et son demandeur
• [ ] Templates de la gallery vérifiés via la Template Status Page
• [ ] Export CSV du container archivé après chaque publication majeure

Bloc 4 — Qualité de la donnée

• [ ] Custom dimensions et métriques documentées dans un registre central
• [ ] Événements sans trafic depuis 90 jours identifiés et archivés
• [ ] BigQuery export actif pour conservation long terme si nécessaire

---

La gouvernance analytics n’est pas un projet ponctuel. C’est une pratique. La vraie question n’est pas « est-ce que mon GA4 est conforme aujourd’hui ? » mais « est-ce que je serai capable de prouver ce qui s’est passé dans six mois, à un auditeur, à mon DPO, ou à un nouveau membre de l’équipe qui reprend le container ? » Commence par l’audit des accès. Maintenant.