Google Analytics est-il illégal en vertu du RGPD ? Tout ce qu'il faut savoir sur la décision de la CNIL

Ce jeudi 10 février, le premier webmaster français a été officiellement notifié pour avoir utilisé Google Analytics : les professionnels du web sont prévenus.

L'arrêt de la CNIL intervient après que l'association NOYB s'est plainte à plusieurs reprises du transfert de données de Google Analytics vers les États-Unis.

C'est une surprise pour les éditeurs de sites internet qui doivent se conformer au RGPD et ne plus utiliser les outils d'analyse d'audience de Google lorsque cela est nécessaire.

Transfert de données problématique

Google Analytics est utile et gratuit pour mesurer le trafic du site Web. Le service peut attribuer à chaque utilisateur un identifiant et lui associer des données le concernant.

Le problème est que la CNIL, en collaboration avec ses homologues européens, a analysé les conditions dans lesquelles les données collectées grâce à cet outil ont été transférées aux États-Unis, et considère désormais ces transferts comme illégaux.

Le problème est la possibilité que les services de renseignement américains aient accès à ces données.
En effet, l'utilisation de Google Analytics serait contraire à l'arrêté "Schrems II" rendu par la Cour de justice de l'Union européenne le 16 juillet 2020.
Ce dernier a invalidé le Privacy Shield, qui avait pour but de réguler le transfert de données européennes vers les États-Unis.

Quelles sont les conséquences pour les professionnels des réseaux ?

Suite à la récente lourde amende infligée à Google, la CNIL estime que son logiciel d'analyse d'audience n'est pas conforme à l'article 44 et suivants du RGPD qui interdit le transfert de données personnelles européennes vers des pays n'offrant pas les garanties adéquates.

Si le gestionnaire du site, qui a était mis en demeure ce jeudi, dispose d'un mois pour régulariser sa situation, d'autres seront prévenus. Ils peuvent déjà chercher un autre moyen de rechercher leur audience en attendant que Google trouve une solution. La CNIL recommande notamment l'utilisation d'outils supportant des données statistiques anonymes.

Par ailleurs, la Police des Données Personnelles a engagé des procédures complémentaires à l'encontre d'autres sites utilisant Google Analytics, dont trois sites français édités par Decathlon, Auchan et Sephora.