Google Analytics et RGPD : ressources et alternatives
introduction
Le sujet ayant fait couler beaucoup d’encre ces dernières semaines, voici un point de situation et quelques explications pour tenter de mieux comprendre les dernières préconisations de la CNIL vis-à-vis du respect du RGPD.
Le 10 février 2022, dans un communiqué faisant mention de l’outil Google Analytics, la CNIL déclarait avoir :
« […] analysé les conditions dans lesquelles les données collectées grâce à cet outil sont transférées vers les États-Unis.
[…] estime que ces transferts sont illégaux et impose à un gestionnaire du site web français de se conformer au RGPD et, si nécessaire, de ne plus utiliser cet outil dans les conditions actuelles. »
un peu de contexte et d’histoire.
Si entre 2016 et 2020 « l’accord bouclier de protection des données UE-États-Unis » protégeait les transferts de données depuis la plateforme Analytics, le 16 Juillet 2020 : la Cour de Justice de l’Union Européenne (CJUE) invalidait l’accord du Privacy Shield mettant en avant :
« le risque que les services de renseignement américains accèdent aux données personnelles transférées aux États-Unis, si les transferts n’étaient pas correctement encadrés ».
Le 17 Août 2020 : en écho à l’arrêt de la CJUE, l’association NOYB déposait 101 plaintes auprès des 30 États membres de l’UE et de l’EEE contre 101 entreprises européennes faisant toujours usage d’Analytics.
anonymisation : est-elle suffisante ?
Si les précisions de la CNIL au sujet de l’anonymisation des données publiées en Mai 2020 laissaient planer un doute sur la conformité d’Analytics en cas d’activation de la fonctionnalité, les dernières enquêtes de la commission nationale ont démontré que le mécanisme actuel était insuffisant et ce malgré les mesures supplémentaires prises pour réglementer le transfert de données.
Collecter des données et respecter la loi, c’est possible et plus facile qu’on ne le pense.
Pour concilier collecte de données / suivi des usages – dans une démarche d’amélioration continue – et respect de la loi / confidentialité des données personnelles, 3 alternatives à Google Analytics ont été retenues par Gardeners :
- at internet
- abla.io
- matomo (principal service déployé chez Gardeners)
Amazon Web Services, Microsoft Azure, Google Cloud … Quels seront les effets et conséquences des décisions de la CJUE / CNIL sur ces plateformes et leurs services ? Compte tenu de l’absence d’acteurs européens d’envergure, la question est ouverte..
auteur de l’article
Publié en mars 2022
Michel Volland
Directeur conseil et data hero chez Gardeners, expert marketing digital, RGPD et metrics.