Alors que les entreprises de haute technologie sont encore principalement consolidées aux États-Unis et autour, la division entre les continents continue de s’approfondir, car les préoccupations concernant la confidentialité des données continuent d’augmenter dans l’UE. Les régulateurs français de la confidentialité ont jugé que l’utilisation de Google Analytics pouvait constituer une violation des lois européennes sur la confidentialité, car l’application pourrait transférer les données personnelles des citoyens européens aux services de renseignement américains.
Différentes normes de confidentialité
Google Analytics est un outil largement utilisé pour obtenir les statistiques de performance d’un site web donné. L’ensemble d’outils suit activement des mesures telles que la durée de la session, les pages par session, le taux de rebond des personnes utilisant le site et les informations sur la source de trafic.
Google Analytics acquiert les données utilisateur de chaque visiteur du site Web via des balises de page. Une balise de page JavaScript est insérée dans le code de chaque page, et cette balise s’exécute sur le navigateur Web de chaque visiteur, collectant des données et les envoyant à l’un des serveurs de collecte de données de Google.
Conformément à l’article 44 du règlement général sur la protection des données (RGPD), le transfert de données personnelles au-delà de l’UE/EEE est interdit, sauf si le pays destinataire assure une protection adéquate des données. Dans ce cas, les États-Unis ont mis en place beaucoup moins de mesures de protection de la vie privée, ce qui laisse les utilisateurs de l’UE incertains quant à savoir si leurs données sont collectées, et pour quoi elles sont utilisées, ou avec qui elles sont partagées.
La CNIL, l’Agence française de protection des données, affirme que les sites Web utilisant Google Analytics enfreignent l’article 44 du RGPD, car l’outil Google Analytics transfère les données des utilisateurs aux États-Unis.
"The CNIL considers that these transfers are illegal and orders all French website managers to comply with the GDPR and, if necessary, to stop using this service under the current conditions,"
a déclaré le régulateur dans un communiqué.
Google s’est jusqu’ici refusé à commenter le communiqué de la CNIL. Le géant de la technologie a précédemment affirmé que Google Analytics ne suivait pas les utilisateurs sur Internet et que les organisations utilisant l’outil avaient le contrôle des données qu’elles collectaient. Cependant, les experts de l’UE estiment que le géant américain de la technologie n’a pas pris de mesures suffisantes pour garantir les droits à la confidentialité des données en vertu des réglementations de l’Union européenne lorsque des données sont transférées entre l’Europe et les États-Unis.
"Although Google has adopted additional measures to regulate data transfers in the context of the Google Analytics functionality, these are not sufficient to exclude the accessibility of this data for U.S. intelligence services,"
a souligné la CNIL.
Les sites Web doivent se conformer
Le régulateur français est la deuxième autorité européenne de protection des données à rendre une conclusion négative sur l’utilisation de Google Analytics. En janvier, le régulateur autrichien a statué qu’un site Web ne pouvait pas de manière réaliste à la fois utiliser l’outil Google Analytics et se conformer au RGPD. De même, les autorités néerlandaises ont émis un avertissement connexe.
Les remarques concernent en grande partie le média en ligne HuffPost, les détaillants Leroy Merlin, Auchan et Decathlon, l’institut de beauté Sephora et l’opérateur télécom Free concernant leur utilisation des outils Google et Facebook.
Le gestionnaire de ces sites s’est vu accorder un mois pour s’y conformer en partageant des données statistiques anonymes ou « le cas échéant, pour cesser d’utiliser ce service dans les conditions actuelles ». La CNIL indique qu’elle a également émis des ordonnances similaires à d’autres opérateurs de sites Web en France. Toute décision prise en rapport avec ces cas aura une certaine importance pour presque tous les sites Web de l’UE, car Google Analytics est l’outil statistique le plus courant et le plus utilisé.
"In the long run, we either need proper protections in the United States, or we will end up with separate products for the U.S. and the EU,"
a souligné l’activiste et avocat autrichien Max Schrems en réaction à la décision de la CNIL.
