Google Analytics est un outil qui permet aux propriétaires de sites internet de disposer de statistiques de fréquentation de leur espace.
La CNIL, saisie de plaintes, a analysé les conditions de collecte des données personnelles par le biais de cet outil. Les données étant transférées vers les États-Unis, la CNIL a estimé que ces transferts étaient illégaux et contraires aux exigences du Réglement Général sur la Protection des Données (RGPD).

“la CNIL constate que les données des internautes sont ainsi transférées vers les Etats-Unis en violation des articles 44 et suivants du RGPD” : ainsi, le 10 février 2022, la CNIL a mis en demeure un gestionnaire de site internet français de cesser l’utilisation de Google Analytics sous un mois.

Une décision attendue

La décision de la CNIL n’a surpris personne. En effet, cela fait des mois qu’elle et ses homologues européens traquent l’utilisation des cookies sur les sites internet comme l’ensemble des outils de collecte des données personnelles. L’autorité autrichienne de la protection des données s’est déjà prononcée sur le défaut de conformité de l’outil Google Analytics au RGPD il y a quelques mois. Autre sujet de reproche formulé à l’égard de Google Analytics : les éditeurs de site n’ont aucun contrôle ni de garantie sur les données collectées par Google qui les réexploitent à des fins de profilage publicitaire. Ces données sont alors restituées sous forme de statistiques à l’éditeur du site ce qui lui donne à penser, à tort, que Google Analytics est respectueux de la réglementation.

Rappelons également qu’une décision similaire a été rendue par le contrôleur européen de la protection des données. La CJUE a jugé que l’accord de transfert de données entre les États-Unis et l’UE « Privacy Shield » n’était pas conforme à la législation européenne sur la protection des données et a annulé l’accord initial, ce qui a rendu illégaux la plupart de ces transferts.
A noter que c’est l’association Noyb (None of Your Business) qui est à l’origine de ces décisions. Celle-ci a déposé 101 réclamations dans les 27 Etats membres de l’UE et trois autres pays européens.

Que faire si votre site internet utilise Google Analytics ?

Google Analytics est présent aujourd’hui sur près de 80% des sites français et l’avis de la CNIL va amener de nombreux sites à revoir leur utilisation de cet outil.

En outre, la CNIL a précisé que “d’autres procédures de mise en demeure ont été engagées à l’encontre de gestionnaires de sites utilisant Google Analytics”. Il existe heureusement de nombreux autres outils de collecte des statistiques approuvés par la CNIL immédiatement applicables par les gestionnaires de sites. Tout comme Google Analytics, ces alternatives sont gratuites. Made in France et recommandés par la CNIL, ils collectent les données personnelles pour le compte de l’éditeur et dans le but unique de produire des statistiques de trafic du site concerné. Il n’y a pas d’usage à des fins publicitaires ni de transfert hors Union Européenne.

A noter également que Google Analytics n’est pas le seul outil dans le collimateur de la CNIL, celle-ci recommandant une anonymisation des données issues de tous les outils “permettant ainsi une exemption de consentement si le responsable de traitement s’assure qu’il n’y a pas de transferts illégaux”. Les dispositifs de Cloud semblent ainsi visés par les radars de la CNIL.

Retrouvez tous nos articles chaque mois dans l’AJD, l’Actualité Juridique des Décideurs. Abonnez-vous !