L’absence de conformité de Google Analytics au RGPD était implicite pour le secteur des médias et de la publicité en ligne ; elle devient officielle. Saisie à l’occasion de plusieurs plaintes déposées à l’été 2020 par l’association activiste Noyb, présidée par Max Schrems, concernant le transfert vers les États-Unis de données collectées lors d’une visite sur un sites web utilisant Google Analytics, la Cnil s’est prononcée en sens. L’organe a publié mercredi 10 février une mise en demeure d’un « gestionnaire de site web français » – non cité – dans laquelle elle juge le fonctionnement de l’outil de Google pour mesurer la fréquentation des sites désormais non conforme au RGPD.
L’usage de Google Analytics par un site web prévoit en effet la création d’un identifiant unique attribué à chacun de ses visiteurs ; identifiant qui constitue une donnée personnelle, rappelle la Cnil. Dans la configuration actuelle de Google Analytics, la pseudonymisation appliquée est jugée insuffisante ; les données transférées aux Etats-Unis peuvent être recomposées pour identifier les internautes individuellement.
Un constat qui enfreint les règles de licéité des transferts de données en dehors de l’Union européenne. Dans une décision rendue mi-janvier relative à un site de santé local, l’autorité autrichienne de protection des données personnelles, la Datenschutzbehörde (DSB) est parvenu aux mêmes conclusions.
Responsable de la rubrique Médias, régies et monétisation publicitaire