La Cnil confirme que la configuration actuelle de Google Analytics est contraire au RGPD

L’absence de conformité de Google Analytics au RGPD était implicite pour le secteur des médias et de la publicité en ligne ; elle devient officielle. Saisie à l’occasion de plusieurs plaintes déposées à l’été 2020 par l’association activiste Noyb, présidée par Max Schrems, concernant le transfert vers les États-Unis de données collectées lors d’une visite sur un sites web utilisant Google Analytics, la Cnil s’est prononcée en sens. L’organe a publié mercredi 10 février une mise en demeure d’un “gestionnaire de site web français” – non cité – dans laquelle elle juge le fonctionnement de l’outil de Google pour mesurer la fréquentation des sites désormais non conforme au RGPD.

L’usage de Google Analytics par un site web prévoit en effet la création d’un identifiant unique attribué à chacun de ses visiteurs ; identifiant qui constitue une donnée personnelle, rappelle la Cnil. Dans la configuration actuelle de Google Analytics, la pseudonymisation appliquée est jugée insuffisante ; les données transférées aux Etats-Unis peuvent être recomposées pour identifier les internautes individuellement.

Un constat qui enfreint les règles de licéité des transferts de données en dehors de l’Union européenne. Dans une décision rendue mi-janvier relative à un site de santé local, l’autorité autrichienne de protection des données personnelles, la Datenschutzbehörde (DSB) est parvenu aux mêmes conclusions. La CNIL indique d’ailleurs avoir examiné la plainte de Noyb “en coopération avec ses homologues européens”.

La fin du Privacy Shield laisse un vide juridique

Dans leurs communications, les organes de protection des données personnelles tirent ici les conséquences de la fin du Privacy Shield. Cet accord cadre, sur lequel les entreprises – particulièrement les grandes plateformes américaines – s’appuient pour transférer les données issues de leurs activités dans l’Union européenne vers les États-Unis, a été invalidé en juillet 2020 par la Cour de justice de l’Union européenne (CJUE).

Le tribunal européen avait expressément pointé le risque que les services de renseignement américains accèdent aux données personnelles des ressortissants de l’Union européenne qui sont transférées aux États-Unis, si les transferts n’étaient pas correctement encadrés.

Aucun substitut au Privacy Shield n’a depuis été mis en place. Dans sa prise de position du 10 février, la Cnil conclut que les transferts de données réalisés par Google Analytics vers les États-Unis ne sont donc plus suffisamment fondés juridiquement. Si l’organe constate que Google a adopté “des mesures supplémentaires” pour encadrer ces transferts de données lors de l’usage de Google Analytics – le groupe avait déjà apporté des modifications au printemps 2021 pour tenter d’intégrer les exceptions de consentement, sans succès – “celles-ci ne suffisent pas à exclure la possibilité d’accès des services de renseignements américains à ces données”.

La Cnil constate que les données des internautes “sont ainsi transférées vers les États-Unis en violation des articles 44 et suivants du RGPD.” Elle met donc en demeure le gestionnaire de site de mettre en conformité ces traitements avec le RGPD, “si nécessaire en cessant d’avoir recours à la fonctionnalité Google Analytics (dans les conditions actuelles) ou en ayant recours à un outil n’entraînant pas de transfert hors UE.” Le gestionnaire de site incriminé par la Cnil dispose d’un mois pour se mettre en conformité.

Facebook Connect également concerné

Des décisions similaires vont être annoncées ces prochains jours et semaines par les autorités de protection des données en France et dans d’autres pays européens. Le site web concerné par la décision de la Cnil n’est pas nommé, mais il s’agit de Decathlon.fr, Sephora.fr ou Auchan.fr. En août 2020, l’association Noyb avait en effet déposé 101 plaintes visant les sites web de 30 Etats membres de l’Union européenne. En France, six éditeurs de sites sont visés : Auchan, Decathlon et Sephora pour l’usage de Google Analytics, et le Huff Post (Groupe Le Monde), Leroy Merlin et Free (concernant mobile.free.fr) pour l’usage de Facebook Connect, outil transférant lui aussi des données aux Etats-Unis.

Noyb reproche à ces sites, choisis au hasard, d’avoir continué à utiliser Google Analytics et Facebook Connect, deux outils dont leur propriétaire, Google et Facebook, recueillent et transmettent des données sur leurs visiteurs de l’Union européenne vers les Etats-Unis, malgré l’invalidation du Privacy Shield en juin 2020.

Interrogé par mind Media, la Cnil confirme le caractère général de sa décision : “L’invalidation du Privacy Shield a eu pour conséquence de rendre illégaux les transferts de données personnelles vers les Etats-Unis. Le niveau de protection des données n’était pas suffisant pour empêcher l’accès à ces données par les services de renseignements américains. Une grande partie des gestionnaires de sites web français utilisent la fonctionnalité Google Analytics et procèdent donc à des transferts illégaux de données personnelles vers les Etats-Unis. Il est donc essentiel que la CNIL et les autres autorités européennes prennent position sur le transfert des données opéré par Google Analytics et signalent son caractère illégal.”

Un nouvel accord UE-Etats-Unis semble illusoire à court terme

Sollicité sur le fait d’envisager l’hébergement en Europe des données des utilisateurs européens collectée par Google Analytics, Google nous a indiqué ne pas étudier cette piste. Le groupe demande dans l’immédiat aux autorités politiques un nouveau cadre réglementaire, autrement dit la mise en place d’un nouvel accord de transfert de données entre l’Union européenne et les Etats-Unis, remplaçant le Privacy Shield. Kent Walker, directeur mondial des affaires publiques de Google s’est exprimé en ce sens sur le blog du groupe dès le 19 janvier : “Les entreprises, tant en Europe qu’aux États-Unis, attendent de la Commission européenne et du ministère américain du commerce qu’ils finalisent rapidement un accord succédant au Privacy Shield et permettant de résoudre ces problèmes”.

Selon le Wall Street Journal, des pourparlers ont été entamés en septembre 2021 entre les autorités européennes et américaines. Mais ces discussions restent au stade préliminaire. Un nouvel accord prendra vraisemblablement encore de longs mois, voire des années, notamment du fait qu’un ajustement des lois américaines concernant les autorisations accordées aux agences de renseignement pour accéder aux données des entreprises semble nécessaire.

D’ici-là, l’ensemble des éditeurs de sites web de l’Union européenne, marchands comme non marchands, doivent théoriquement cesser d’utiliser Google Analytics dans sa configuration actuelle. Une gageure, tant l’outil est largement déployé sur les sites en ligne, dans sa version gratuite ou payante, aussi bien par les médias d’informations, les e-commerçants que les marques annonceurs. L’usage de Google Analytics engage désormais la responsabilité juridique de chacun des gestionnaires des sites sur lesquels il est installé, tandis que Google pourrait être considéré comme co-responsable du traitement des données. Il en est de même pour l’usage de Facebook Connect et pour la situation de Facebook.

Des alternatives à Google Analytics existent. La Cnil a d’ailleurs mis en place un programme de certification des solutions de mesure “pouvant être configurées pour rentrer dans le périmètre de l’exemption au recueil du consentement”, et ainsi être conformes au RGPD. En date du 10 février 2022, une quinzaine d’outils sont certifiés, dont ceux d’AT Internet, Piwik Pro, Matomo, Eulerian Technologies et Marfeel.