Google Analytics est-il illégal dans l’UE et au Royaume-Uni ?

Le 23 juin 2022, l’APD italienne (Garante) s’est mise d’accord avec les APD française, autrichienne et danoise, en publiant une déclaration ordonnant à toutes les organisations (publiques et privées) de vérifier que leur utilisation des cookies et autres outils de suivi est conforme aux réglementations sur la protection des données, avec une attention particulière pour Google Analytics 3 et les services similaires.

Les sites web qui utilisent Google Analytics 3, *sans les garanties prévues par le règlement européen*, violent la loi sur la protection des données car les données des utilisateurs sont transférées aux États-Unis, un pays sans niveau de protection adéquat.

Key points

👉 Le Garante a fait cette déclaration à l’issue d’une enquête approfondie menée en collaboration avec d’autres autorités européennes de protection de la vie privée et en réponse à un certain nombre de plaintes.

👉 L’enquête a révélé que les organisations utilisant Google Analytics 3 collectent des données, par le biais de cookies, sur la manière dont les utilisateurs interagissent avec ces sites web, y compris les pages spécifiques visitées et les services utilisés.

👉 L’adresse IP de l’appareil de l’utilisateur, les détails concernant le navigateur, le système d’exploitation, la résolution de l’écran, la langue sélectionnée, ainsi que la date et l’heure de visite du site web font partie des nombreuses données recueillies. Il a été souligné dans la décision du Garante que l’adresse IP est une donnée personnelle et que même si elle était abrégée, Google serait toujours en mesure de la lire avec les autres données et capacités dont il dispose. C’est la raison pour laquelle le traitement a été déclaré illégal.

Plus de détails sur la décision du Garante sur Google Analytics ici

La APD francaise (CNIL) a publié un communiqué le 10 février 2022 ordonnant à un gestionnaire de site web français de se conformer au Règlement général sur la protection des données (RGPD) et de cesser d’utiliser Google Analytics 3.

La CNIL a récemment publié  une FAQs à ce sujet. La CNIL a mis en ligne ce document sur son site afin de lever tout doute sur la décision prise le 10 février dernier. Cependant, elle n’a rien ajouté de nouveau à ce qui a déjà été annoncé dans  la décision de l’Autorité.

Points clés

En ce qui concerne les FAQ, il n’y a pas de changements particuliers par rapport à ce que l’Autorité a déjà déclaré dans sa décision du 10.2.2022. Les arguments ont simplement été rapportés de manière plus schématique :

👉 les mesures supplémentaires mises en place par Google Analytics 3 ne sont pas suffisantes pour empêcher l’accès des agences gouvernementales américaines en vertu de la loi CLOUD;

👉 l’exploitant du site web dispose d’un mois pour interrompre le service et opter pour un autre service conforme;

👉 une méthode de proxyfication peut être envisagée, qui permet, lorsqu’elle est correctement configurée, d’envoyer uniquement des données pseudonymisées à un serveur situé en dehors de l’UE.

Le 22 avril 2022, l’autorité autrichienne de protection des données (DSB) a publié une décision dans laquelle elle estime qu’un opérateur de site web européen anonyme a violé l’article 44 du RGPD.

Points clés

👉 Le DSB a expliqué qu’en utilisant Google Analytics 3, l’exploitant du site web a permis à Google LLC d’accéder aux informations relatives au navigateur, aux adresses IP et aux numéros d’identification uniques des utilisateurs.

👉 Bien que l’exploitant du site web ait reconnu que des clauses contractuelles types (CCS) avaient été conclues avec Google LLC,le DSB a déterminé que ces CCS n’offraient pas un niveau de protection acceptable conformément à l’article 44 du RGPD.

👉 Le DSB a déterminé que le chapitre V du RGPD ne pouvait pas être mis en œuvre lors de l’utilisation de Google Analytics 3. L’exploitant du site Internet avait cessé d’utiliser l’outil avant la fin de la procédure de plainte, de sorte qu’il n’a pas été nécessaire d’utiliser ses pouvoirs d’exécution dans ce cas.

Dans un communiqué de presse de l’APD danoise (Datatilsynet), l’autorité a déclaré

si vous utilisez Google Analytics, vous devez mettre en place une stratégie qui permet de mettre votre utilisation de (Google Analytics) en conformité, ceci en instaurant des mesures supplémentaires.

Ils mentionnent également l’utilisation de la pseudonymisation comme une mesure technique possible et pertinente pour l’utilisation de Google Analytics. Datatilsynet a par ailleurs fait référence aux recommandations par la CNIL (APD française) destinée aux organisations qui souhaitent établir une pseudonymisation efficace grâce au processus de proxyfication.

Points clés

👉 En vertu du jugement autrichien et d’autres décisions attendues relatives à l’utilisation de Google Analytics, l’Agence danoise de protection des données prévoit de rédiger un texte résumé.

👉 Le Datatilsynet a souligné la nécessité pour les autorités de partager une interprétation commune de la décision, car celle-ci implique un ensemble de normes européennes.