À la source, une centaine de plaintes de l’association militante NOYB (None of Your Business) déposées en août 2020 dans 30 pays. La Cnil était destinataire de six d’entre elles. D’un côté, trois impliquant l’utilisation de Facebook Connect (cibles : Le Huffington Post, Leroy Merlin et Free Mobile). De l’autre, trois impliquant l’usage de Google Analytics (cibles : Auchan, Decathlon et Sephora).
« Tous les responsables de traitement utilisant Google Analytics d’une manière similaire à ces organismes doivent considérer dès à présent cette utilisation comme illégale au regard du RGPD », résume la Cnil dans une FAQ mise en ligne début juin. Elle en a publié, la semaine dernière, une version en anglais.
Le problème fondamental avec Google Analytics : il n’est pas possible de le paramétrer de façon à ne pas transférer de données personnelles hors de l’Union européenne. L’ensemble des données utilisées sont en l’occurrence hébergées aux États-Unis. Un pays qui, en l’état, n’offre pas un niveau suffisant de protection de données (il n’y a en tout cas pas de reconnaissance juridique au niveau de l’UE).
En attendant le successeur du Privacy Shield…
Dans ce contexte, Google propose, par défaut, un mécanisme alternatif : les clauses contractuelles types. Ses clients peuvent s’en prévaloir pour assurer le transfert des données personnelles vers les États-Unis… à condition que soient prises les mesures techniques, organisationnelles et juridiques adéquates pour une protection efficace.
L’anonymisation est une mesure envisageable. Sur Google Analytics, elle peut s’appliquer aux adresses IP. Mais pas dans le cadre de tous les transferts, note la Cnil. Et de relever, par ailleurs, que « les éléments fournis par Google ne permettent pas de déterminer si l’anonymisation a lieu avant le transfert aux États-Unis ».
Autre constat : l’utilisation d’identifiants uniques n’empêche pas nécessairement la réidentification de personnes ; en particulier lorsqu’on les associe à d’autres informations telles que les relatives requises à l’OS et au navigateur. C’est sans compter l’amplification potentielle du risque de suivi lorsqu’on utilise Google Analytics conjointement à d’autres services de Google.
Le proxy, une solution pour rendre Google Analytics conforme ?
La Cnil a retenu une solution pour qui voudrait continuer à utiliser Google Analytics seul. Elle repose sur un serveur mandataire (proxy) intercalé entre les internautes et les serveurs de Google. L’idée étant d’empêcher ces derniers d’accéder à certaines données (adresse IP, information de site référent, paramètres des URL…). Ou au moins, de les pseudonymiser au préalable.
L’approche proxy peut être achetée et complexe à mettre en place, assène la Cnil. Aussi pointe-t-elle vers une liste de 18 solutions alternatives. Leur point commun : elles sont exemptées du recueil de consentement préalable des personnes concernées. En toile de fond, les lignes directrices du CEPD (Comité européen de protection des données). Lequel estime que ce mécanisme n’est valable que pour des transferts non systématiques. Et qu’il ne saurait donc s’appliquer à Google Analytics.
L’usage légitime de ces solutions peut reposer sur une autre base : le traitement des données personnelles est strictement nécessaire à leur fonctionnement. À condition de les configurer correctement. La Cnil fournit un guide pour chacune – et précise la ou les versions concernées.
| La solution | Éditeur |
| Abla Analytique | Porte Astra |
| Suite analytique Delta | AT Internet |
| BEYABLE | BEYABLE |
| Boussole | Solutions Marfeel |
| CS numérique | Carré de contenu |
| Streaming eStat | Médiamétrie |
| etracker Analytique | etracker |
| eulérien | Eulerian Technologies |
| Matomo Analytique | Matomo |
| Nonli | Nonli |
| Piwik PRO | Piwik PRO |
| Web de rétention | Rémanence |
| Profil intelligent | Partenaire de solutions Internet |
| Statshop | Web2Roi |
| Marketing de remerciement | Merci |
| TrustCommander | Loi sur les commandants |
| Wizaly | Wizaly SAS |
| Entreprise Wysistat | Wysistat |
Correctement configurés, tous ces outils ont une finalité strictement limitée à la seule mesure de l’audience du site ou de l’application. Cela peut inclure la détection des problèmes de navigation, l’optimisation des performances techniques ou de l’ergonomie, l’analyse des contenus consultés, etc. Lapon.
Illustration principale © Foto-Ruhrgebiet – Shutterstock
