La CNIL, l’autorité française chargée de la protection des données, a déclaré que Google Analytics enfreint le règlement général sur la protection des données (RGPD), car il transfère les données des internautes européens vers les USA.
Dans un communiqué publié ce matin, la CNIL a déclaré qu’elle « considère que ces transferts sont illégaux« , ce qui met un terme à l’utilisation en France de l’une des suites de comptage de trafic les plus répandues dans le monde.
Les détails précis sur les lois que Google Analytics enfreint n’ont pas été expliqués dans la déclaration. Nous avons demandé plus de détails à la CNIL et nous mettrons à jour cet article si elle répond.
Une décision de la CNIL non applicable en France
La décision, bien qu’elle ne soit applicable qu’en France, est susceptible d’être répercutée dans toute l’Union européenne : La CNIL a confirmé qu’elle avait pris sa décision en coopération avec ses homologues européens chargés de la protection des données, et la décision d’aujourd’hui fait écho à celle prise par l’Autriche il y a un mois.
Le militant de la vie privée Max Schrems, dont les plaintes ont déclenché l’enquête de la CNIL, s’est réjoui de cette décision : « À long terme, soit nous avons besoin de protections appropriées aux États-Unis, soit nous finirons par avoir des produits distincts pour les États-Unis et l’UE. Personnellement, je préférerais de meilleures protections aux États-Unis, mais cela dépend du législateur américain, et non de qui que ce soit dans [l’UE]. »
Dans sa décision, la CNIL a estimé que le fonctionnement de Google Analytics contrevenait à l’article 44 et suivants du règlement général sur la protection des données de l’UE. L’agence française a lu la directive européenne en même temps que le célèbre arrêt Schrems II de la Cour de justice de l’UE, qui a invalidé l’ancien accord transatlantique de partage de données Privacy Shield.
Le régulateur a ordonné à un responsable de site web anonyme de retirer Google Analytics de son site, lui donnant un mois pour s’y conformer. Elle a ajouté : « Concernant les services de mesure et d’analyse d’audience d’un site internet, la CNIL recommande que ces outils ne soient utilisés que pour produire des données statistiques anonymes, permettant ainsi une dispense de consentement si le responsable du traitement s’assure qu’il n’y a pas de transferts illicites.«
La décision se résume au fait que les États-Unis ne disposent pas de lois de protection des données de type européen empêchant le transfert secret de données personnelles d’entreprises vers les services de police et d’espionnage américains. Néanmoins, tant les États-Unis que le bloc politique ont, jusqu’à présent, éludé la question en publiant des clauses contractuelles standard qui permettent au commerce de se poursuivre pendant que les politiciens marchandent sur une solution permanente au problème.
L’article 44 du GDPR indique que « le traitement doit être licite lorsqu’il est nécessaire dans le cadre d’un contrat« , tandis que l’article 45 stipule ce qui suit :
Lorsque le traitement est effectué conformément à une obligation légale à laquelle le responsable du traitement est soumis ou lorsque le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, le traitement doit avoir une base en droit de l’Union ou des États membres.
La décision de la CNIL réitère la conclusion autrichienne selon laquelle le fonctionnement automatique de Google Analytics (pensez à toutes les boîtes de désactivation des cookies qui placent l’analytique sous la rubrique « nécessaire et non désactivable ») ne peut bénéficier de l’exemption « nécessaire à l’exécution d’une tâche » du GDPR.
Google n’a pas immédiatement répondu à une demande de commentaire.
Un procès intenté aux États-Unis l’année dernière alléguait que Google Analytics pouvait encore suivre les utilisateurs de son navigateur Chrome en mode incognito.