La Cnil considère que le transfert de données personnelles effectué vers les Etats-Unis par la console Google Analytics n’est pas conforme au RGPD. La Cnil a mis en demeure un gestionnaire de site web qui utilise Google Analytics de mettre en conformité ces traitements avec le RGPD, si nécessaire en cessant d’avoir recours à la fonctionnalité Google Analytics dans les conditions actuelles ou en ayant recours à un outil n’entraînant pas de transfert hors de l’Union Européenne. Le gestionnaire de site mis en cause dispose d’un délai d’un mois pour se mettre en conformité.
D’autres gestionnaires de sites également mis en demeure
D’autres procédures de mises en demeure de gestionnaires de sites utilisant Google Analytics ont été engagées par la Cnil. La démarche de la Cnil repose sur le fait que Google Analytics attribue un identifiant unique à chaque visiteur de site web afin de mesurer la fréquentation d’un site web, que cet identifiant est une donnée personnelle et que les données qui lui sont associées sont transférées par Google aux Etats-Unis.
Cette publication de la Cnil intervient après qu’elle ait été saisie de plusieurs plaintes par l’association NOYB (None of Your Business) du juriste autrichien Max Schrems concernant le transfert, vers les États-Unis, de données collectées lors de visites sur des sites web utilisant Google Analytics. Au total, 101 réclamations ont été déposées par NOYB dans les 27 États membres de l’Union européenne et les trois autres États de l’espace économique européen (EEE) à l’encontre de 101 responsables de traitement qui transfèreraient des données personnelles vers les États-Unis.
Une analyse menée au niveau européen
La Cnil, en coopération avec ses homologues européens, a analysé les conditions dans lesquelles les données collectées dans le cadre de l’utilisation de Google Analytics étaient transférées vers les États-Unis et quels étaient les risques encourus pour les personnes concernées. La Cnil indique qu’il s’agit de tirer les conséquences de l’arrêt « Schrems II » de la Cour de Justice de l’Union européenne (CJUE) du 16 juillet 2020, ayant invalidé le Privacy Shield. La Cnil rappelle que la Cour de justice européenne avait mis en avant le risque que les services de renseignement américains accèdent aux données personnelles transférées aux États-Unis, si les transferts n’étaient pas correctement encadrés.
La Cnil conclut que les transferts de données vers les États-Unis ne sont pas suffisamment encadrés à l’heure actuelle. La Cnil a constaté que si Google a adopté des mesures supplémentaires pour encadrer les transferts de données dans le cadre de la fonctionnalité Google Analytics, celles-ci ne suffisent pas à exclure la possibilité d’accès des services de renseignements américains à ces données. L’enquête de la Cnil et de ses homologues au niveau européen s’étend également à d’autres outils utilisés par des sites et qui donnent lieu à des transferts de données d’internautes européens vers les États-Unis. Des mesures correctrices à ce sujet pourraient être adoptées prochainement.
L’utilisation de Google Analytics est illégale selon Max Schrems
« Il est intéressant de voir que les différentes autorités européennes de protection des données arrivent toutes à la même conclusion : l’utilisation de Google Analytics est illégale » commente Max Schrems, président honoraire de NOYB à la suite de l’avis publié par la Cnil. NOYB demande l’usage de solutions de mesure ne transmettant pas leurs données aux Etats-Unis.
À long terme, NOYB indique qu’il semble y avoir deux options. Soit les États-Unis adaptent les protections de base pour les étrangers afin de soutenir leur industrie technologique, soit les fournisseurs américains devront héberger des données étrangères en dehors des États-Unis. « À long terme, nous avons besoin de protections adéquates aux États-Unis, ou nous nous retrouverons avec des produits séparés pour les États-Unis et l’Union Européenne. Personnellement, je préférerais de meilleures protections aux États-Unis, mais cela dépend du législateur américain et à personne en Europe » termine Max Schrems.
Top lectures en ce moment
-
Le géant Veolia crée l’entreprise agentique de 2025 en direct avec ses employés
-
Les sociétés de gestion face au défi de la grande transmission de patrimoine des...
-
Volkswagen choisit Axys et Eskimoz pour son Data marketing en France sur 5 ans
L’actualité de la transformation
L'IA clé de nos besoins vitaux dans l'eau, l'électricité et le gaz
Marchés de l’eau : l’IA générative arrive dans les réponses aux appels d’offres des collectivités
Saur, spécialiste de la distribution d’eau potable, fait évoluer son processus de réponse aux appels d’offres des collectivités et des industriels en y injectant de l’IA géné…
Stockage de l’électricité : l’IA générative outil d’accélération clé chez Engie
Le stockage de l’électricité est un enjeu stratégique. Engie s’y attelle et mobilise pour cela l’IA générative de type RAG, c'est-à-dire basée sur le traçage des documents source. …
Nouvelle donne dans le gaz naturel : GRDF s’adapte en utilisant l’IA
GRDF, leader de la distribution du gaz naturel en France, affine sa stratégie d’IA. Il s’appuie sur des serveurs internes pour la confidentialité des données de ses clients. GRDF c…
Et vous, qu’en pensez-vous ?
Une idée, une réaction, une question ? Laissez-nous un mot ci-dessous.
Je réagis à cet article