Peut-on afficher une carte Google Maps sur son site sans enfreindre le RGPD ?

Ce qui part vers Google quand la carte s'affiche

Le 20 janvier 2022, le tribunal régional de Munich a condamné l'exploitant d'un site à verser 100 € à un visiteur. Le site chargeait ses polices de caractères depuis les serveurs de Google. À chaque visite, le navigateur appelait Google, et l'adresse IP du visiteur partait avec. Le tribunal a jugé qu'aucun motif ne justifiait ce transfert, puisque les mêmes polices pouvaient être servies depuis le site lui-même.

Une carte Google fonctionne de la même façon. Le script ou l'iframe s'exécute dès l'ouverture de la page, et tout vient des serveurs de Google. Google l'écrit dans ses propres conditions : pour fournir le service, il collecte des données « comme les termes de recherche, les adresses IP, les coordonnées de latitude et de longitude ».

Les mêmes conditions, dans leur version pour les clients facturés dans l'Espace économique européen, mettent la conformité à la charge du site. L'article 4.1 exige que l'usage des services respecte le droit applicable, « y compris les lois relatives aux services qui stockent et lisent des cookies sur l'appareil des utilisateurs ». L'article 3.2.2 exige que vos conditions d'utilisation disent au visiteur que le site contient des fonctions Google Maps.

Le sujet n'est donc pas la carte. C'est le moment où elle se charge.

Ce que la CNIL attend d'un site qui intègre un contenu tiers

La CNIL a répondu à la question dans sa foire aux questions sur les cookies et autres traceurs. Elle prend l'exemple d'une vidéo hébergée chez un tiers, dont la lecture « entraîne le dépôt et la lecture de traceurs, notamment publicitaires ». Sa réponse vaut pour une carte : l'éditeur du site « devra s'assurer du recueil préalable du consentement de l'internaute qui souhaite accéder au contenu ».

Elle admet deux façons de le recueillir. Soit dans le bandeau cookies, à l'arrivée sur le site, et le visiteur qui a accepté n'a pas à le refaire devant chaque carte. Soit au moment où il veut voir la carte, par une fenêtre dédiée. Dans les deux cas, le visiteur doit savoir quels traceurs seront déposés et pourquoi, avoir un lien vers la politique de confidentialité du fournisseur en français, connaître les conséquences d'un refus et pouvoir retirer son accord facilement.

Un refus ne doit jamais bloquer le site. La CNIL le dit en toutes lettres : le visiteur peut naviguer sans vouloir accéder aux contenus externes.

Le Comité européen de la protection des données va plus loin. Ses lignes directrices 2/2023, adoptées le 7 octobre 2024, examinent des techniques qui n'utilisent aucun cookie : les pixels et liens de suivi, le suivi par la seule adresse IP, les identifiants uniques. Le texte européen sur les traceurs ne vise pas que les cookies. Retirer les cookies d'une intégration ne suffit pas à la sortir du champ.

Le transfert vers les États-Unis après l'arrêt Latombe

Le 10 juillet 2023, la Commission européenne a adopté la décision d'exécution 2023/1795. Elle constate que les États-Unis assurent un niveau de protection adéquat pour les données transférées vers les entreprises inscrites au cadre de protection des données UE-États-Unis, le Data Privacy Framework. Google déclare s'y conformer, dans sa page consacrée aux cadres de transfert.

Philippe Latombe, député français, en a demandé l'annulation. Il soutenait que la juridiction américaine de recours n'était pas indépendante et que la collecte en masse par les services de renseignement n'était pas encadrée. Le 3 septembre 2025, le Tribunal de l'Union a rejeté le recours en entier. Le 31 octobre 2025, M. Latombe a formé un pourvoi devant la Cour de justice, enregistré sous le numéro C-703/25 P. À notre consultation du 27 septembre 2026, aucun arrêt n'est rendu.

C'est le troisième cadre de ce genre. Les deux premiers, en 2015 et en 2020, ont été invalidés par la Cour de justice dans les arrêts Schrems I et Schrems II, rappelés par le Tribunal lui-même.

Notre avis : le transfert est couvert aujourd'hui. Il reste une décision à venir, dont on ne connaît ni la date ni le sens. Si votre collectivité a déjà décidé de réduire sa dépendance aux services américains, la carte est un des postes les plus simples à traiter.

Deux questions ne se confondent pas. Le transfert vers les États-Unis ne dispense pas du consentement au chargement, et le consentement ne règle pas le transfert.

Trois façons de poser une carte sans rien charger trop tôt

1. 1

   La façade cliquable

   À la place de la carte, une image de la zone servie par votre propre site, un texte court et un bouton « Afficher la carte ». Le clic vaut consentement contextuel, au sens de la CNIL, si le texte dit ce qui sera chargé et renvoie vers la politique du fournisseur. C'est la méthode la plus sûre pour une carte de page Contact.

2. 2

   La carte rangée dans une catégorie du bandeau

   Votre outil de gestion du consentement bloque l'iframe ou le script tant que la catégorie « contenus tiers » n'est pas acceptée, puis l'active sans recharger la page. Vérifiez qu'il bloque vraiment le chargement, et pas seulement l'affichage : l'onglet Réseau du navigateur le montre en dix secondes.

3. 3

   Une carte qui ne passe pas par Google

   Une bibliothèque libre comme MapLibre, avec des tuiles servies par vous ou par un prestataire dont vous connaissez l'hébergement, ou une carte prête à coller dont le fournisseur vous dit par écrit ce qu'elle collecte. La question du consentement se pose alors selon ce que cette carte dépose, et plus selon Google.

La façade tient en quelques lignes. L'iframe n'existe pas dans la page tant que le visiteur n'a pas cliqué : rien ne part, ni adresse IP, ni cookie.

Une façade qui ne charge la carte qu'au clic

<div class="carte-facade" data-src="https://www.google.com/maps/embed?pb=VOTRE_PARAMETRE">
  <img src="/img/apercu-carte.webp" alt="Aperçu de la carte d'accès" width="800" height="450">
  <p>Cette carte est fournie par Google, qui recevra votre adresse IP et pourra déposer des cookies.
     <a href="https://policies.google.com/privacy?hl=fr">Politique de confidentialité de Google</a></p>
  <button type="button">Afficher la carte</button>
</div>
<script>
document.querySelectorAll('.carte-facade').forEach(function (el) {
  el.querySelector('button').addEventListener('click', function () {
    var f = document.createElement('iframe');
    f.src = el.dataset.src;
    f.title = 'Carte d\'accès';
    f.width = 800; f.height = 450; f.loading = 'lazy';
    f.style.border = 0;
    el.replaceChildren(f);
  });
});
</script>

L'image d'aperçu doit être une capture hébergée chez vous. Une image appelée directement chez Google refait partir l'adresse IP, ce que la façade voulait éviter.

Exemple embarqué : une carte posée par un bloc à coller

La carte ci-dessous est celle du Parc naturel régional de Chartreuse, telle qu'elle se pose sur un site par un bloc à coller. Fond de carte, itinéraires, lieux et recherche d'adresse viennent du même fournisseur, sans clé Google à déclarer. Les cartes La Trace ont compté 720 806 sessions entre le 10 avril et le 26 septembre 2026, d'une durée moyenne de 353 secondes, sur 2 248 cartes.

Le Parc naturel régional de Chartreuse, tel qu'il s'intègre sur un site par un bloc à coller.

Avant de poser une carte tierce, quelle qu'elle soit, la nôtre comprise, posez trois questions écrites au fournisseur. Quelles données reçoit-il quand la carte s'affiche ? Où sont-elles hébergées, et chez quels sous-traitants ? Quels traceurs sont déposés, et pour quelle finalité ? Les réponses vont dans votre registre des traitements et dans votre politique de confidentialité.

Ce qu'on vérifie avant la mise en ligne

Ouvrez la page dans une fenêtre privée, l'onglet Réseau du navigateur ouvert, sans rien accepter. Tout ce qui part vers un autre domaine que le vôtre avant le premier clic est à expliquer.

La checklist complète, à emporter, ajoute les clés et les quotas, les tuiles, le géocodage, l'accessibilité et la performance, avec une case par point.