<\/p>\n
Pour comprendre la dimension juridique de la d\u00e9cision de la CNIL \u00e0 l\u2019encontre de Google Analytics, nous avons demand\u00e9 \u00e0 Merav Griguer, avocate associ\u00e9e du cabinet Bird & Bird, d\u2019intervenir lors de notre webinar.<\/p>\n
<\/p>\n
\u00ab La d\u00e9cision de la CNIL est justifi\u00e9e, et elle vise directement Google Analytics. \u00bb<\/em> (Merav Griguer, avocate associ\u00e9e du cabinet Bird & Bird)<\/p>\n <\/p>\n Dans le prolongement de la d\u00e9cision de la Cour de justice de l\u2019Union europ\u00e9enne d\u2019invalider le Privacy Shield am\u00e9ricain (un m\u00e9canisme encadrant le transfert de donn\u00e9es de l\u2019UE vers les \u00c9tats-Unis) en 2020, la CNIL vient de d\u00e9clarer que Google Analytics pr\u00e9sente un niveau de protection insuffisant pour le transfert de donn\u00e9es europ\u00e9ennes \u00e0 caract\u00e8re personnel qui entrent dans le cadre du RGPD.<\/p>\n <\/p>\n Voyons en quoi Google Analytics ne respecte pas les dispositions pr\u00e9vues par le RGPD, puis posons le contexte de la d\u00e9cision de la CNIL.<\/p>\n <\/p>\n <\/p>\n Google s\u2019\u00e9carte de la d\u00e9finition du RGPD en ce qu\u2019il ne consid\u00e8re pas les \u00e9l\u00e9ments suivants comme des donn\u00e9es \u00e0 caract\u00e8re personnel :<\/p>\n <\/p>\n <\/p>\n En d\u2019autres termes, une adresse IP envoy\u00e9e avec une demande d\u2019annonce (ce qui concerne la quasi-totalit\u00e9 des demandes d\u2019annonce) n\u2019est pas officiellement consid\u00e9r\u00e9e comme un envoi de donn\u00e9es \u00e0 caract\u00e8re personnel au sens du RGPD.<\/p>\n <\/p>\n Le RGPD pr\u00e9cise \u00e9galement que \u00ab les donn\u00e9es \u00e0 caract\u00e8re personnel doivent \u00eatre [\u2026] trait\u00e9es de mani\u00e8re licite, loyale et transparente au regard de la personne concern\u00e9e \u00bb (article 5<\/a>). Par cons\u00e9quent, tous les \u00e9diteurs de sites web et d\u2019applications qui recueillent des donn\u00e9es \u00e0 caract\u00e8re personnel doivent d\u00e9finir pr\u00e9cis\u00e9ment comment celles-ci sont collect\u00e9es et utilis\u00e9es.<\/p>\n <\/p>\n Or, Google Analytics ne pr\u00e9cise ni le mode de collecte ni l\u2019usage qu\u2019il fait de ses donn\u00e9es. Sur la page Aide Google Analytics<\/a>, il est indiqu\u00e9 que les \u00ab donn\u00e9es d\u2019utilisation \u00bb (soit les cat\u00e9gories ci-dessus) ne constituent pas des \u00ab informations personnelles \u00bb. Les autorit\u00e9s de contr\u00f4le de la protection des donn\u00e9es<\/a> soulignent donc express\u00e9ment que les donn\u00e9es trait\u00e9es avec Google Analytics (donn\u00e9es d\u2019utilisation et autres donn\u00e9es propres \u00e0 l\u2019appareil qui peuvent \u00eatre rattach\u00e9es \u00e0 un utilisateur pr\u00e9cis) repr\u00e9sentent des donn\u00e9es \u00e0 caract\u00e8re personnel telles qu\u2019elles sont d\u00e9finies par le RGPD.<\/p>\n <\/p>\n <\/p>\n Le transfert de donn\u00e9es de l\u2019UE vers les \u00c9tats-Unis est soumis \u00e0 des conditions strictes : mettre en \u0153uvre les garanties appropri\u00e9es (clauses contractuelles types, r\u00e8gles d\u2019entreprise contraignantes), pr\u00e9voir des mesures techniques suppl\u00e9mentaires (pseudonymisation, chiffrement), offrir une transparence totale sur l\u2019acc\u00e8s aux donn\u00e9es, renforcer la proc\u00e9dure d\u2019audit de l\u2019importateur ou encore appliquer des politiques rigoureuses en mati\u00e8re de s\u00e9curit\u00e9 et de confidentialit\u00e9 (certifications et code de conduite de l\u2019UE, norme ISO).<\/p>\n <\/p>\n Il appara\u00eet que Google ne communique pas clairement sur l\u2019endroit o\u00f9 sont stock\u00e9es ses donn\u00e9es. En vertu du RGPD, la transmission de donn\u00e9es \u00e0 caract\u00e8re personnel dans des pays non europ\u00e9ens est possible, moyennant la mise en place de garde-fous adapt\u00e9s (niveau de protection ad\u00e9quat dans le pays concern\u00e9, information vis-\u00e0-vis des utilisateurs et respect de leurs droits).<\/p>\n <\/p>\n Cependant :<\/p>\n <\/p>\n <\/p>\n <\/p>\n La d\u00e9cision de la CNIL \u00e9tablit en substance que Google Analytics et Facebook Connect ne respectent pas les exigences ci-dessus, et de ce fait ne sont pas conformes au RGPD. Il n\u2019est donc fait r\u00e9f\u00e9rence qu\u2019\u00e0 ces deux fournisseurs et \u00e0 aucune autre soci\u00e9t\u00e9 \u00e9tablie aux \u00c9tats-Unis ou ailleurs. La d\u00e9cision se fonde sur les 101 plaintes types<\/a> d\u00e9pos\u00e9es par noyb (site web g\u00e9r\u00e9 par Max Shrems, activiste autrichien militant pour la protection des donn\u00e9es) et renvoie \u00e0 l\u2019affaire \u00ab Schrems II \u00bb de 2020<\/a>, qui conclut que le transfert de donn\u00e9es vers les \u00c9tats-Unis est contraire au RGPD.<\/p>\n <\/p>\n Les autorit\u00e9s de protection des donn\u00e9es de plusieurs pays europ\u00e9ens se sont jointes \u00e0 la CNIL en statuant que Google Analytics enfreint le RGPD :<\/p>\n <\/p>\n <\/p>\n <\/p>\n Les entreprises qui continuent d\u2019exploiter Google Analytics doivent prendre des mesures rapidement, sous peine de se voir infliger des sanctions pour violation du RGPD. \u00c0 la r\u00e9ception d\u2019une mise en demeure adress\u00e9e au gestionnaire du site web (responsable du traitement des donn\u00e9es), les utilisateurs de Google Analytics sont tenus de mettre imm\u00e9diatement leur processus analytics en conformit\u00e9 avec le RGPD ou de cesser de se servir de l\u2019outil dans sa version actuelle.<\/p>\n <\/p>\n Des proc\u00e9dures de mise en demeure ont \u00e9t\u00e9 engag\u00e9es \u00e0 l\u2019encontre de gestionnaires de sites utilisant Google Analytics, et notamment le cloud et le transfert de donn\u00e9es vers des pays hors UE qui n\u2019offrent pas un niveau de protection ad\u00e9quat. Visant sp\u00e9cifiquement les \u00c9tats-Unis, la CNIL a d\u00e9clar\u00e9 ce qui suit :<\/p>\n <\/p>\n <\/p>\n Les entreprises qui utilisent actuellement Google Analytics disposent de plusieurs solutions pour continuer \u00e0 collecter et \u00e0 traiter les donn\u00e9es de leurs utilisateurs en conformit\u00e9 avec le RGPD. Tout d\u2019abord, un nouveau Privacy Shield entre l\u2019UE et les \u00c9tats-Unis pourrait voir le jour prochainement, mais les entreprises risquent toujours des amendes pour leurs pratiques ant\u00e9rieures. Une autre fa\u00e7on de proc\u00e9der serait d\u2019obtenir le consentement expr\u00e8s des utilisateurs pour les transferts de donn\u00e9es. Cependant, cela ne s\u2019appliquerait qu\u2019\u00e0 des \u00ab circonstances exceptionnelles \u00bb et \u00e0 des \u00ab transferts occasionnels \u00bb dans le cadre du RGPD. Selon Merav Griguer, une telle solution serait par ailleurs \u00ab impossible \u00bb \u00e0 mettre en place.<\/p>\n <\/p>\n Les entreprises peuvent \u00e9galement choisir d\u2019attendre d\u2019\u00e9ventuelles mesures correctives de la part de Google Analytics ou bien un possible appel de la d\u00e9cision de la CNIL. Tout cela risque n\u00e9anmoins de prendre bien plus longtemps que le d\u00e9lai d\u2019un mois accord\u00e9 pour cesser d\u2019utiliser Google Analytics.<\/p>\n <\/p>\n La r\u00e9ponse la plus viable consiste peut-\u00eatre pour les entreprises \u00e0 choisir une solution analytics conforme au RGPD. Il en existe plusieurs sur le march\u00e9 qui ont d\u00e9j\u00e0 \u00e9t\u00e9 \u00e9valu\u00e9es par la CNIL. AT Internet est la premi\u00e8re \u00e0 avoir re\u00e7u l\u2019agr\u00e9ment de la CNIL. Elle est toujours consid\u00e9r\u00e9e comme conforme au RGPD depuis la fusion de Piano avec AT Internet en 2021.<\/p>\n <\/p>\n <\/p>\n Le responsable tracking du journal en ligne Ouest-France, Vincent Lahaye, explique en pratique comment g\u00e9rer au mieux la gouvernance des donn\u00e9es et se servir d\u2019un outil analytics dans le respect du RGPD.<\/p>\n <\/p>\n Anticipant les risques potentiels du recours \u00e0 Google Analytics (notamment en ce qui concerne la confidentialit\u00e9 des donn\u00e9es et la perte de donn\u00e9es li\u00e9e \u00e0 la n\u00e9cessit\u00e9 d\u2019obtenir le consentement des utilisateurs), les responsables de Ouest-France ont envisag\u00e9, en collaboration avec leur d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es, une s\u00e9rie de solutions de substitution. Apr\u00e8s avoir \u00e9valu\u00e9 les r\u00e9percussions d\u2019une migration de Google Analytics 3 \u00e0 Google Analytics 4 en mati\u00e8re de protection des donn\u00e9es personnelles, le quotidien a finalement entrepris de d\u00e9ployer Piano Analytics.<\/p>\n <\/p>\n La Mesure Hybride de Piano Analytics lui a \u00e9vit\u00e9 une perte de donn\u00e9es due au refus des cookies, et ce, dans le respect du RGPD. Ouest-France s\u2019est \u00e9galement appuy\u00e9 sur la dispense de consentement aux cookies de AT Internet, approuv\u00e9e par la CNIL<\/a>. Cela lui a permis de s\u2019affranchir de la n\u00e9cessit\u00e9 de recueillir le consentement pour les mesures d\u2019audience simples et ainsi de se pr\u00e9munir contre la perte de 50 % du trafic utilisateur. Le journal est \u00e0 m\u00eame, gr\u00e2ce \u00e0 cette exemption, de collecter des donn\u00e9es fiables, compl\u00e8tes et \u00ab strictement n\u00e9cessaires \u00bb d\u00e8s la premi\u00e8re page consult\u00e9e par l\u2019utilisateur.<\/p>\n <\/p>\n Piano Analytics \u00e9tant conforme au RGPD et reconnu officiellement par la CNIL, Ouest-France s\u2019assure par ailleurs une solide protection contre les deux principaux risques li\u00e9s \u00e0 l\u2019utilisation de Google Analytics : une amende pour violation du RGPD et le pr\u00e9judice caus\u00e9 \u00e0 plus long terme \u00e0 la r\u00e9putation de la marque.<\/p>\n <\/p>\n Interrog\u00e9 sur la n\u00e9cessit\u00e9 de migrer vers une autre solution analytics, Vincent Lahaye a affirm\u00e9 que \u00ab les entreprises peuvent choisir d\u2019attendre, mais elles ne doivent pas rester passives<\/em> \u00bb.<\/p>\n <\/p>\n <\/p>\n En conclusion de ce webinar, Louis-Marie Gu\u00e9rif, DPO du groupe Piano, a expliqu\u00e9 ce qu\u2019il faut attendre d\u2019un fournisseur pour rester conforme au RGPD.<\/p>\n <\/p>\n Les entreprises qui cherchent \u00e0 migrer vers une autre solution doivent avant tout privil\u00e9gier celles qui instaurent une relation \u00e9quilibr\u00e9e entre le responsable du traitement des donn\u00e9es et le fournisseur de donn\u00e9es (prestataire), dans une logique de conformit\u00e9. En vertu de l\u2019article 28 du RGPD, cela implique la signature d\u2019un contrat de protection des donn\u00e9es clair et explicite qui r\u00e9pond \u00e0 diff\u00e9rentes questions :<\/p>\n <\/p>\n <\/p>\n Le fournisseur choisi doit ainsi mettre \u00e0 disposition un contrat de traitement des donn\u00e9es qui explique de mani\u00e8re simple comment travailler en toute conformit\u00e9 avec le RGPD. Ce contrat s\u2019accompagne d\u2019une double exigence : d\u2019une part, un support facilement accessible offrant des r\u00e9ponses claires et, d\u2019autre part, une personne de contact sp\u00e9cifiquement charg\u00e9e de la confidentialit\u00e9 des donn\u00e9es.<\/p>\n <\/p>\n La conformit\u00e9 de Piano Analytics au RGPD est \u00e9galement essentielle pour b\u00e9n\u00e9ficier de sa dispense de consentement aux cookies par le biais de l\u2019analytics hybride. Lisez cet article pour en savoir plus sur notre prochain webinar consacr\u00e9 \u00e0 l\u2019analytics hybride.<\/p>\n <\/p>\n <\/p>\n Les transferts ill\u00e9gaux de donn\u00e9es de Google vers les \u00c9tats-Unis sont actuellement au c\u0153ur de l\u2019actualit\u00e9. Cependant, la question du respect de la l\u00e9gislation sur la protection de la vie priv\u00e9e et de l\u2019application du RGPD n\u2019a rien de nouveau et n\u2019est pas pr\u00e8s de dispara\u00eetre. L\u2019exp\u00e9rience de Ouest-France, qui a mis en \u0153uvre d\u2019une solution analytics d\u2019un autre genre, a montr\u00e9 l\u2019importance d\u2019adopter une strat\u00e9gie intelligente et la n\u00e9cessit\u00e9 de ne pas rester passif.<\/p>\n <\/p>\n Dans le domaine de confidentialit\u00e9, le meilleur moyen d\u2019\u00e9viter tout risque d\u2019\u00eatre p\u00e9nalis\u00e9 par des changements soudains de la situation reste encore de mener des analyses d\u2019impact et d\u2019anticiper son utilisation future des donn\u00e9es. Comme l\u2019a soulign\u00e9 Merav Griguer, le probl\u00e8me ne concerne pas tant l\u2019acc\u00e8s des \u00c9tats-Unis \u00e0 des donn\u00e9es personnelles europ\u00e9ennes que les g\u00e9ants de la tech, et notamment Google et Facebook. Cela fait des ann\u00e9es que l\u2019on constate des pratiques ill\u00e9gales d\u2019utilisation des donn\u00e9es dans d\u2019autres pays, sans que cela ait \u00e0 ce jour entra\u00een\u00e9 la fermeture d\u2019Internet.<\/p>\n <\/p>\n Tout cela est en somme une question de gestion des risques : choisir une solution tierce constitue, du fait des garanties offertes par votre fournisseur, \u00e0 la fois l\u2019option la plus s\u00fbre et la plus viable. Piano Analytics est et reste, tout comme avant l\u2019acquisition d\u2019AT Internet par le groupe Piano, l\u2019un des outils les plus conformes du march\u00e9. Nous vous proposons des mesures claires et simples de r\u00e9duction des risques pour vous permettre de vous projeter confortablement dans l\u2019avenir sans mettre en p\u00e9ril votre comp\u00e9titivit\u00e9 sur le march\u00e9.<\/p>\n <\/p>\n Piano Analytics, la premi\u00e8re solution \u00e0 avoir \u00e9t\u00e9 agr\u00e9\u00e9e par la CNIL, respecte les dispositions du RGPD.\u00a0 Vous souhaitez savoir comment Piano Analytics peut garantir la conformit\u00e9 de vos donn\u00e9es ? Demandez une d\u00e9mo<\/a> d\u00e8s maintenant.<\/a><\/p>\n <\/p>\n","protected":false},"excerpt":{"rendered":" Pour comprendre la dimension juridique de la d\u00e9cision de la CNIL \u00e0 l\u2019encontre de Google Analytics, nous avons demand\u00e9 \u00e0 Merav Griguer, avocate associ\u00e9e du cabinet Bird & Bird, d\u2019intervenir lors de notre webinar. \u00ab La d\u00e9cision de la CNIL est justifi\u00e9e, et elle vise directement Google Analytics. \u00bb (Merav Griguer, avocate associ\u00e9e du cabinet […]<\/p>\n","protected":false},"author":49,"featured_media":10944,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[17,24],"tags":[],"acf":[],"yoast_head":"\nUne mauvaise interpr\u00e9tation de la d\u00e9finition \u00e9nonc\u00e9e par le RGPD des donn\u00e9es \u00e0 caract\u00e8re personnel<\/h3>\n
\n
Non-respect des exigences relatives au stockage des donn\u00e9es et \u00e0 leur transfert entre l\u2019UE et les \u00c9tats-Unis<\/h3>\n
\n
Le contexte de la d\u00e9cision de la CNIL<\/h3>\n
\n
Quelles sont les sanctions et les solutions potentielles ?<\/h3>\n
\n
Comment s\u2019assurer de la conformit\u00e9 de ses donn\u00e9es en passant par d\u2019autres fournisseurs<\/h2>\n
Quels sont les principaux crit\u00e8res de confidentialit\u00e9 des donn\u00e9es pour une plateforme analytics conforme et fiable ?<\/h2>\n
\n
Quelle est la meilleure approche pour la suite ?<\/h2>\n