[Info mind Media] Google Analytics : au moins 30 nouvelles plaintes auprès de la Cnil contre des sites en ligne français

La mise en application du RGPD continue de bouleverser le secteur des médias et du marketing. Après la collecte du consentement au dépôt de cookies et autres traceurs qui a occupé intensément ses acteurs et la Cnil ces trois dernières années, c’est Google Analytics qui concentre toutes les attentions.

Devant l’inertie générale depuis quatre ans, l’association activiste Noyb, présidée par Max Schrems, avait saisi la Cnil de plusieurs plaintes à l’été 2020 pour pointer le transfert vers les États-Unis de données collectées lors d’une visite sur un sites web utilisant Google Analytics. Un transfert contraire au RGPD depuis l’invalidation du Privacy Shield en 2020, a déclaré la Cnil dans sa mise en demeure de février, signalant du même coup la fin d’une période de tolérance qui ne disait pas son nom.

Quatre mois plus tard, très rares étaient les sites français à être conformes à cette nouvelle donne. Un activiste anti-tracking, le développeur français David Libeau, a donc annoncé fin juin avoir déposé de nouvelles plaintes auprès de la Cnil, cette fois contre 42 médias français : Libération, Le Monde, Sud Radio, Ouest-France, Nice Matin, 20 Minutes… Selon nos informations, la Cnil a débuté l’instruction d’environ la moitié d’entre elles. L’autre moitié le sera progressivement dans les jours et semaines qui viennent.

Au terme de son instruction, l’organe met en demeure l’éditeur de cesser la violation constatée – l’utilisation de Google Analytics – sous un mois. Plusieurs dizaines de nouveaux sites ont été ou seront ainsi sommés par la Cnil de cesser l’usage de l’outil.

Les sites en ligne français toujours accros à Google Analytics

Plus de six mois après la mise en demeure en France d’un “gestionnaire de site en ligne” le 10 février 2022 – il s’agissait d’Auchan, Decathlon ou Sephora, l’un des trois visés par Noyb -, qui équivalait à une mise en garde officielle au marché et au début de ses contrôles, les éditeurs de sites français ont toujours beaucoup de mal à se passer de l’outil de mesure et de tracking de Google.

C’est la raison pour laquelle, selon les informations de mind Media, une trentaine de nouvelles plaintes ont été déposées, principalement en juillet et août, par Pascal Vautrin. Infirmier de profession, celui-ci, que nous avons contacté, ne se revendique pas comme activiste ou “anti-publicité”, mais il dit vouloir forcer le marché à faire acte de transparence sur ses pratiques et donner plus d’informations aux internautes.

Il a étudié l’installation ou non de Google Analytics sur plusieurs dizaines de grands sites internet (sur ordinateur), sélectionnés selon leur volume d’audience et dans des secteurs d’activités variés. Après avoir identifié les sites qui utilisaient Google Analytics, il a d’abord sollicité des informations auprès de leurs DPO. Puis, sans réponse de leur part à deux exceptions près, il a introduit des réclamations auprès de la Cnil contre une trentaine de sociétés : Aldi, CCM Benchmark, Prisma Media, Webedia, Reworld Media, Auto Plus, Science et vie, Top Santé, Le Parisien, Le Figaro, Doctissimo, Marmiton, Footmercato, Bouygues Telecom, Les Furets Axa, GMF, MMA, Maaf, Fortuneo, Le Lynx, Carrefour, Lidl, Casino, Intermarché, Orange, Leclerc, Floa, Comme j’aime. Une petite partie de ces sites se sont mis en conformité depuis.

La Cnil, qui effectue ses propres contrôles inopinés, va prioritairement se tourner vers eux. Car il n’y a plus de débat : dans l’immédiat Google Analytics ne peut plus être utilisé. Les éditeurs de sites en ont conscience, mais la quasi-totalité temporisent : ils se font discrets et pour la plupart veulent s’appuyer le plus longtemps possible sur Google Analytics, jusqu’à la réception d’une mise en demeure par la Cnil, moment à partir duquel ils se mettent en conformité. Ils ont alors théoriquement un mois pour le faire. “Et dans la grande majorité des cas, ils le font”, nous a confié la Cnil.

Dans l’attente d’un accord Etats-Unis-Europe

Le marché compte sur un nouveau accord entre la Commission européenne et les Etats-Unis pour remplacer le Privacy Shield et fixer un nouveau cadre légal pour les transferts de données transatlantiques. Il ne sera pas en place avant le deuxième trimestre 2023 au mieux. L’instruction des plaintes effectuée par la Cnil est rapide, de l’ordre de deux à quatre mois maximum, contre des enquêtes prenant souvent un ou deux ans, voire davantage pour les instructions habituelles, par exemple celles liées au consentement au dépôt de cookies absent ou non-conforme.

Sur la base d’un panel de près de 120 sites en ligne français associant des e-commerçants, des sites de marques, des services publics et des éditeurs médias, constitué par mind Media en s’appuyant sur une première liste dressée par Pascal Vautrin en août, on peut estimer que 50 % des sites français les plus importants en audience ont supprimé Google Analytics le 30 septembre. C’est environ 15 % de plus que fin août, ce qui semble traduire une accélération du retrait de l’outil, sans préjuger des offres applicatives mobiles, non observées et dont la mise en conformité est souvent plus tardive.

Tous les principaux éditeurs de sites français devront nécessairement les uns après les autres se passer de Google Analytics. Certains éditeurs nous indiquent "être en cours de changement" ou "sur le point de le faire". La demi-douzaine d'éditeurs d'informations interrogés par mind Media pour cet article font état de leur volonté de respecter le RGPD et accepte - tant bien que mal - la position de la Cnil sur Google Analytics et les transferts de données en général, mais estiment avoir besoin d'un tracking performant et complet, de conserver l'historique accumulé avec Google Analytics et ses connexions avec les outils de marketing et d'activation pour la publicité ciblée. Selon la majorité d'entre eux, les solutions alternatives mises en avant par la Cnil ne conviennent pas.

D'autres éditeurs, une poignée, également présents sur la publicité en ligne, indiquent au contraire pouvoir s'en passer après avoir déjà en large partie délaissé Google Analytics ces dernières années au profit d'AT Internet (L'Equipe, Le Monde). Comme nous l'indiquions en février, au-delà de Google Analytics, ce sont toutes les entreprises d'outils et services numériques transférant des données d’internautes français vers les Etats-Unis qui sont concernés.

Au 30 septembre 2022, dans le cadre de l’exemption au recueil de consentement au dépôt de cookie, la Cnil a en effet validé les solutions de mesure et de statistiques de fréquentation proposées par 19 sociétés, du moins dans l'une de leurs configurations : AT Internet, Net Solution Partner, Wysistat, Piwik Pro, Astra Porta, Beyable, etracker, Retency, Nonli, Contentsquare, Matomo, Wizaly, Marfeel Solutions, Web2Roi, Eulerian Technologies, Thank-You, Médiamétrie (eStat Streaming), Commanders Act et Alphalyr.

Les éditeurs de site ont-ils raison d'écarter ces solutions ? mind Media évoquera ce point dans les prochains jours dans un article sur les alternatives à Google Analytics.