Google Analytics et RGPD : ce que vous devez faire

Comprendre l’impact de la décision de la CNIL

Jeudi, la CNIL a rendu une décision importante concernant Google Analytics. Elle a considéré que l’usage de la solution d’analyse par un site web représentait une violation des articles 44 et suivants du RGPD. Il est important de bien comprendre le contexte et les conséquences directes et indirectes de cette décision.

• Le contexte : la CNIL a reçu plusieurs plaintes de l’association NOYB. Elle était appelée à se prononcer sur la légalité du transfert de données vers les USA.
• La décision : au regard de ses observations sur les sites concernés, elle a estimé que les conditions permettant un transfert légal n’étaient pas réunies.
• L’impact direct : les sites visés par les plaintes ont reçu une mise en demeure. Ils ont un mois pour se mettre en conformité. Le nombre de sites et les noms de domaine n’ont pas été dévoilés par la CNIL. Mais les documents de NOYB montrent que les entreprises directement concernées sont vraisemblablement Decathlon France SA, Auchan E-commerce France et Sephora SAS.

Si vous travaillez en tant que DPO ou web analyste pour l’une de ces entreprises, vous êtes déjà au courant. Dans le cas contraire, si vous utilisez Google Analytics, vous pourriez estimer que cette décision n’a pas (encore) d’impact sur votre site, puisque vous n’avez pas reçu de mise en demeure. Mais cela ne veut pas dire que votre usage est légal. Il suffirait qu’une personne physique ou morale porte plainte auprès de la CNIL et qu’elle s’en saisisse pour que vous vous retrouviez dans la même situation que les entreprises visées ces actions.

S’intéresser aux alternatives à Google Analytics

En attendant, des actions sont nécessaires pour réduire les risques, à la fois pour le suivi de vos performances et la légalité de vos traitements. Google Analytics est clairement la solution la plus utilisée, mais ce n’est pas le seul outil du marché. Nous vous proposons de consulter notre sélection d’outils de web analyse. Nous la compléterons très bientôt avec d’autres alternatives crédibles.

Vous pouvez notamment regarder du côté de Matomo et AT Internet. Les deux outils font partie de la liste officielle des solutions de mesure d’audience de la CNIL  qui sont « identifiées comme pouvant être configurées pour rentrer dans le périmètre de l’exemption au recueil de consentement », « sous réserve d’en faire un usage strictement nécessaire au fonctionnement et aux opérations d’administration courante du site web ou de l’application ».

Les meilleurs outils d'analyse d'audience

Wysistat

Web analytics

Piano Analytics

Web analytics

Marfeel

Web analytics

Matomo

Web analytics

Voir tous les outils Web analytics

Cette affaire rappelle qu’il ne faut pas mettre tous ses œufs dans le même panier. Vous pouvez installer une alternative à Google Analytics en parallèle, en veillant bien évidemment à ce que le traitement de données soit conforme au RGPD.

Vérifier sa configuration et minimiser la récolte de données

Il est également conseillé de vérifier la configuration de vos propriétés et vues Google Analytics pour réaliser un état des lieux des données que vous transmettez. Vous pourrez ainsi minimiser la récolte si des données superflues sont exploitées. Vous devriez ensuite étendre votre analyse à l’ensemble des outils que vous utilisez. Le RGPD consacre ainsi le principe de minimisation. Il prévoit que « les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ».

Attendre la réponse concrète de Google

Contrairement aux titres de certains blogs, Google Analytics n’a pas reçu de mise en demeure. Ce sont bien les responsables de traitement (et donc : les éditeurs de sites web) qui doivent agir pour prouver leur conformité avec le RGPD.

Si Google n’est donc pas visé directement, on pouvait légitimement s’attendre à une réponse de sa part, tant la portée de cette décision peut impacter ses clients. Google a ainsi publié ce communiqué suite aux premières actions autrichiennes. Rappelant que « [la décision] ne concerne qu’un seul éditeur et son cas particulier », le géant américain a concédé être conscient que « les autres clients Google Analytics peuvent s’inquiéter de son extension à tous les fournisseurs de données analytiques aux États-Unis, et donc aux transferts de données sur les utilisateurs entre l’UE et les États-Unis ».

Nous allons ainsi ajouter des paramètres permettant aux clients de personnaliser davantage les données analytiques qu’ils recueillent. Ils pourront ainsi continuer à profiter de Google Analytics tout en atteignant leurs objectifs de conformité.

Google précise qu’une communication sera apportée « dans les semaines à venir » à ce sujet. Les professionnels du web l’attendent avec impatience…

Espérer un nouveau cadre légal pour le transfert des données

Enfin, bien qu’il ne s’agisse pas d’une solution à court terme, nous resterons attentifs à toute évolution du cadre légal. L’arrêt Schrems II a remis en cause bon nombre de flux de données entre l’Europe et les États-Unis. La plupart des acteurs ont fermé les yeux, espérant qu’ils ne seraient pas impactés. Alors que les conséquences sont désormais bien identifiés, les géants de la tech insistent pour qu’un nouveau cadre légal soit conçu par les responsables politiques. C’est notamment le souhait exprimé par Google mi-janvier et plus récemment Meta. Leurs premiers soutiens étant bien évidemment leurs clients les plus fidèles…