Le désaccord entre la CNIL et Google Analytics est-il résolu ?

Il y a deux ans, la CNIL avait reproché à Google Analytics d’être illégal. Pourquoi ? Parce que ce dernier n’était pas conforme au Règlement général sur la protection des données (RGPD). Cet organisme français n’approuve pas le fait que l’outil web transférait des données hors Union européenne. Mais depuis octobre 2023, la situation a beaucoup évolué…

Un passé mouvementé entre la CNIL et Google Analytics

Tout a commencé en 2020. L’association Noyb avait porté plainte contre de nombreuses sociétés européennes qui, selon elle, ne respectaient pas l’arrêt Schrems II et le RGPD.

Ces entreprises utilisaient Google Analytics alors que l’autorité de contrôle autrichienne le jugeait illégal. À cette époque, les sites concernés étaient contraints de se conformer aux règles et de remplacer cet outil d’analyse web.

De son côté, la CNIL avait mis en demeure en février 2022 un éditeur de site de se mettre en conformité avec les exigences du RGPD. La raison de cette interpellation ? Toujours Google Analytics !

D’après cet organisme, le logiciel transmettait des données personnelles d’internautes européens vers les États-Unis sans encadrement sérieux. En effet, la firme américaine ne garantissait pas suffisamment la sécurité des données transférées.

Cet outil utilisait des cookies pour récolter des données utilisateurs. Et lorsque les internautes acceptent les cookies, il obtient leur adresse IP, leur client id, leur user-id et leur user-agent. Ces informations étaient utilisées pour mesurer l’audience et créer des campagnes publicitaires sur mesure. Elles pouvaient aussi cependant être exploitées pour connaître l’identité des visiteurs. Et c’était là le problème !

Par ailleurs, ce logiciel était incapable d’anonymiser complètement les données collectées.

Les solutions adoptées par les éditeurs pour rester légaux

Pendant que Google Analytics était considéré comme illégal dans l’UE, les éditeurs de sites français qui utilisaient cet outil étaient obligés de trouver des solutions pour éviter les sanctions de la CNIL.

Pour l’adapter aux exigences du RGPD, ils avaient le choix d’appliquer des options de traitement de données :

• La pseudonymisation ;
• L’anonymisation ;
• La proxification.

Ces solutions étaient certes efficaces pour mieux protéger les données des internautes et empêcher la réidentification, mais elles étaient relativement coûteuses et difficiles à mettre en place. Heureusement qu’il existait d’autres issues comme signer un Data Protection Agreement avec le géant du Web, diminuer la durée de vie des cookies GA…

Mais pour éviter l’illégalité, les éditeurs ont principalement choisi de migrer vers une alternative respectueuse du RGPD comme Piano Analytics, Matomo, etc.

D’autres avaient décidé de déployer parallèlement Google Analytics et un autre outil d’analyse web conforme.

Et maintenant, où en est ce problème avec la CNIL ?

Google Analytics 4 est déjà reconnu comme légal en Europe depuis le 10 juillet 2023. Mais que s’est-il passé ? À cette date, la Commission européenne a accepté les États-Unis comme étant un pays respectueux du RGPD.

Cette décision d’adéquation a été prise suite à l’application du décret relatif au « renforcement des garanties pour les activités de renseignement des États-Unis ». Ce pays promet une meilleure sécurisation des données.

Grâce à ce grand changement, le transfert de données d’utilisateurs européens vers les États-Unis est devenu légal ! Et en octobre 2023, Google Analytics est à nouveau déployable en France, sans qu’il enfreigne le règlement en vigueur.

La CNIL a aussi affirmé la légalité de l’outil, même si cela s’est effectué de manière indirecte. Malgré tout cela, il est crucial de rappeler que l’obtention du consentement des internautes constitue toujours une obligation pour pouvoir recueillir et utiliser leurs informations.

D’ailleurs, les propriétaires de sites web devraient rester sur leur garde concernant la légalité de l’usage de Google Analytics. La situation peut changer à tout moment ! De nombreux acteurs européens désapprouvent encore cet accord entre les États-Unis et l’UE sur les transferts de données. Ils demandent en conséquence de l’annuler.

Néanmoins, le géant de la technologie fait beaucoup d’efforts pour que son outil d’analyse web soit en conformité avec le RGPD. Il s’est même servi de ce respect des données personnelles des internautes comme l’un de ses arguments principaux pour inciter les éditeurs à adopter la version Google Analytics 4 (GA 4) en 2024.