Google Analytics et RGPD : Google plaide non-coupable et rejette la faute sur ses utilisateurs

Google Analytics est-il compatible avec le RGPD ?

Cette question fait trembler de nombreux professionnels du marketing, tant l’outil d’analyse web est populaire. Hier, les autorités autrichiennes ont estimé que le transfert de données hors de l’Union européenne, lié à l’implémentation de Google Analytics sur un site web consulté par des citoyens européens, représentait une violation du RGPD. Cette décision intervient suite à une plainte de l’ONG NOYB et correspond notamment à l’invalidation du Privacy Shield par la Cour de justice de l’Union européenne. Elle pourrait faire tâche d’huile dans toute l’Europe.

Quand on attaque Google, Google contre-attaque

Dans cette affaire, plusieurs protagonistes : les internautes, les utilisateurs et l’éditeur du logiciel. Les premiers peuvent estimer que leurs droits ne sont pas respectés, tandis que Google et les experts du web peuvent rejoindre le banc des accusés – ou des complices, une position que la firme de Mountain View tente d’éviter. Dans un communiqué, Google se défend de toute violation des lois en vigueur et rejette les fautes… sur ses utilisateurs.

Les arguments de Google sont les suivants.

• Google Analytics sert à améliorer les sites et les applications ; il ne permet pas de suivre les internautes à travers le web. Soit, mais ce n’est pas vraiment le sujet.
• Les CGU de Google Analytics interdisent aux utilisateurs de télécharger des données qui pourraient permettre à Google d’identifier des personnes. Des outils existent pour supprimer des données. Si de telles données sont repérées sur les serveurs de Google, ce n’est pas la faute de Google : c’est la faute des utilisateurs.
• Google indique que « les organisations utilisent Google Analytics parce qu’elles choisissent de le faire » et qu’il n’est donc pas responsable de la collecte des données réalisée par ces organisations. Google compare un peu son outil à un logiciel peer-to-peer : le problème légal ne résiderait pas dans l’application en tant que telle, mais dans l’usage de certains utilisateurs.
• Les organisations restent entièrement propriétaires des données collectées et Google n’intervient que sur ordre de ses utilisateurs. Google sous-entend que ce titre de propriété est associé à la responsabilité du traitement.
• Google cherche à prouver sa bonne foi en listant les outils mis à disposition des utilisateurs pour respecter les lois. Ces options méritent effectivement une certaine publicité : anonymisation des adresses IP, désactivation de collectes, durée de conservation des données, requête de suppression de données… Quelle part des utilisateurs de Google Analytics connait ces outils ?
• La plaidoirie de Google ressemble de plus en plus à un réquisitoire contre ses propres utilisateurs. La firme rappelle ainsi qu’il est de la responsabilité des éditeurs de sites web d’informer explicitement les internautes et d’obtenir leur consentement pour un traitement de données, quand des lois l’imposent.
• Google tente aussi de convaincre en indiquant que les internautes peuvent utiliser une extension de navigateur pour bloquer Google Analytics. C’est vrai, mais comment fait-on sur mobile ? Et est-ce vraiment aux internautes de réaliser une action (télécharger une extension) pour protéger leurs données ? Google raisonne ici à l’inverse de l’esprit du RGPD, qui consacre l’opt-in contre l’opt-out.
• Google termine son argumentaire en indiquant que de nombreuses actions sont réalisées pour permettre un transfert « conforme » des données vers les pays où sont situés ses serveurs, dont les États-Unis. L’éditeur justifie ce transfert par la nécessité de « rapidité et de fiabilité du service ».

Parce qu’en Europe, on n’a pas de serveur ? La question est évidemment plus complexe, tout comme l’interprétation des réglementations et des décisions, qu’il s’agisse du RGPD, de l’arrêt Schrems II, du PIPL en Chine ou des lois en vigueur en Californie. La conformité de l’usage d’un outil dépend de nombreux législateurs et les droits des nations concernant leurs citoyens ne sont pas toujours compatibles. Certains arguments de Google sont légitimes, mais la position de l’entreprise, qui accuse ses propres utilisateurs, suscite tout de même quelques interrogations.