Après l'Autriche, la CNIL vient également de constater que Google Analytics viole le RGPD car les flux de données vers les États-Unis ne sont pas suffisamment sécurisés, raison de plus pour changer d'outil. Et aussi pour se préparer à l'ère post-Privacy Shield.
Comment faire? Évitez les solutions américaines à ce stade. En France, la CNIL tient à jour une liste des solutions bénéficiant de la dispense de consentement au dépôt de cookies . Vous pouvez trouver des solutions comme AT Internet, Abla Analytics, Matomo ou Piwik Pro.
Nous vous en parlerons. Voici notre actualité juridique du jour.
Pourquoi la CNIL et d'autres disent non à Google Analytics ?
La fin du Privacy Shield continue de produire tous ses effets.
Dans le monde post-Privacy Shield, toute entreprise transférant des flux de données personnelles vers les États-Unis doit sécuriser ce transfert :
- de manière contractuelle, par exemple en signant des clauses contractuelles types ;
- de manière technique en mettant en œuvre des mesures telles que le cryptage ou l'anonymisation.
En pratique, tous les flux sont concernés car les fournisseurs et prestataires américains sont sollicités pour un grand nombre de choses :
- externalisation de la relation client ;
- hébergement d'un site Web et de sa base de données;
- utilisation de plateformes de type ERP, CRM, etc.
Depuis quelques temps, les cookies sont également concernés. Après le CEPD (qui a tranché contre le Parlement européen) et le régulateur autrichien, la CNIL vient d'attaquer Google Analytics.
Le constat est simple : même si Google a mis en place des mesures, il ne peut pas empêcher les services de renseignement américains d'accéder à ces données. Dans ces conditions, ce prestataire ne passe pas le test ; le flux de données vers les États-Unis viole le RGPD.
Google Analytics enfreint-il définitivement le RGPD ?
Google Analytics reste l'outil d'analyse le plus utilisé dans le monde, laissant la concurrence loin derrière. Tout le monde a pris l'habitude d'apprendre sur cet outil.
Dire que la non-conformité de Google est une surprise… est un pas que nous ne franchirons pas. Nous vous conseillons depuis un certain temps de rechercher une solution alternative.
Car bien que pratique et soi-disant gratuit, l'outil a de nombreux défauts.
- Google n'est pas qu'un fournisseur. Il utilise également les données à ses fins. Ceci reste grave pour l'éditeur du site car il s'agit de communiquer des données à un tiers dans des conditions qu'il ne maîtrise pas.
- Google Analytics se combine trop facilement avec Google Ads et une utilisation plutôt orientée publicité. Contrairement à d'autres, cette proximité explique en partie pourquoi GA ne bénéficie pas de l'exemption de consentement propre aux solutions de mesure d'audience. Un consentement préalable est donc nécessaire pour déposer les cookies de Google.
La récente décision de la CNIL est un peu la dernière goutte. Il n'est pas insurmontable de modifier les flux de données pour les sécuriser. Et Google y travaille effectivement en ce moment. Mais empêcher l'accès potentiel des services de renseignement américains est un véritable défi, et il n'est pas sûr qu'il y ait une bonne réponse.
Surtout, un cycle est lancé maintenant que les régulateurs européens franchissent progressivement le seuil et concluent la fin du Privacy Shield. D'autres sites Web seront vérifiés. Vous pourriez être le prochain à qui la CNIL reproche d'utiliser Google Analytics.
Car oui, l'éditeur du site est en première ligne. C'est celui que la CNIL contrôlera, et qui pourra être sanctionné à ce stade. Pas Google.
C'est pourquoi vous devez vous préparer au changement.
Comment passer d'une solution d'analytique ? Visez la confidentialité avant tout
Pour tous les éditeurs qui utilisent cette solution et pour toutes les agences qui la recommandent à leurs clients, la décision de la CNIL est un véritable séisme.
Vous n'aurez besoin que de vous habituer à utiliser Google Analytics et de chercher une solution alternative. Mais pour vous, choisir une solution respectueuse de la vie privée est aussi une opportunité.
Comment faire? Évitez les solutions américaines à ce stade. En France, la CNIL tient à jour une liste des solutions bénéficiant de la dispense de consentement au dépôt de cookies. Vous pouvez trouver des solutions raisonnables comme AT Internet, Abla Analytics, Matomo ou Piwik Pro.
Cela peut sembler moins sexy parce que vous avez peut-être moins de données et d'indicateurs. Mais vous gagnerez une approche plus éthique du traitement de l'analyse des données, plus adaptée à vos besoins.
Dans un second temps, c'est à vous de mettre en valeur ces efforts dans votre communication.
Et Axeptio t'aide à le faire. Comment ? C'est simple. Ta plateforme de gestion des consentements met en évidence les cookies, et donc les outils, que tu utilises. Désormais, Google Analytics n'apparaîtra plus ; au contraire, tu dévoileras un choix de solution " privacy-first ". Voici un argument supplémentaire pour renforcer la confiance de votre public.
Fin du Privacy Shield – Google Analytics n'est-il qu'un début ?
La réponse est bien sûr : oui !
Comme nous vous l'avons expliqué. La problématique de sécurité des flux de données personnelles vers les USA concerne tous vos prestataires américains :
- Votre GRC ;
- Pixel Facebook, publicités Facebook ;
- Vos fournisseurs de paiement. Dans sa décision ci-dessus, le CEPD ciblait également les cookies Stripe ;
- boutons de partage des médias sociaux ;
- Des fonctionnalités telles que Facebook Connect ou Google Connect.
Remplacer Google Analytics vous permet d'avoir une longueur d'avance car revoir vos transferts de données deviendra nécessaire à moyen terme.
Pour cela, reste informé des décisions prises par les régulateurs de données. Elles donnent le votre quant aux outils qui seront dans leur ligne de mire.
Conclusion : Oui, vous devez supprimer Google Analytics de vos sites.
La récente décision de la CNIL est une raison de plus pour vous convaincre qu'il est plus que temps d'abandonner Google Analytics.
- Parce qu'en tant qu'acteur responsable, vous devez optimiser votre conformité RGPD . Quitte à arrêter de travailler avec certains fournisseurs ;
- Parce que votre public se préoccupe de la façon dont tu traites ses données, c'est à toi d'intégrer la protection de la vie privée dans ta stratégie de marque.
Il existe d'autres fournisseurs de solutions sur le marché. Bien sûr, c'est un changement fondamental, cela aura un coût, et des compromis devront être faits.
Mais cela en vaut la peine. Tu amélioreras la pertinence de votre traitement des données et tu rendras votre activité plus conviviale. Et grâce, notamment, à notre CMP; c'est un effort que tu mettras fièrement en valeur auprès de votre public.
