Les sites Web français devront peut-être revoir la façon dont ils suivent et signalent le trafic du site Web après que les régulateurs ont constaté que l'utilisation de Google Analytics peut parfois enfreindre le RGPD. L'organisme français de la protection de la vie privée a découvert des cas où l'utilisation de Google Analytics n'est pas conforme au règlement général sur la protection des données (RGPD) de l'Union européenne.

Grâce à une enquête sur les pratiques en matière de données d'un site Web local anonyme, la Commission nationale de l'informatique et des libertés (CNIL) a conclu que l'utilisation de Google Analytics par le site Web était contraire au RGPD. Le régulateur français a déclaré que l'utilisation de l'outil d'analyse enfreignait l'article 44, qui interdit les transferts de données personnelles vers des "pays tiers" qui n'ont pas mis en place de protections de confidentialité équivalentes.

Parmi les pays qui ne parviennent pas à atteindre ce seuil de confidentialité figurent les USA, car ils ne fournissent pas aux citoyens étrangers les moyens de savoir comment leurs données sont acquises ou utilisées. Les lois américaines n'offrent pas non plus aux citoyens non américains la possibilité de recours lorsque leurs données sont utilisées à mauvais escient.

L'enquête du régulateur sur le site Web anonyme a été menée en parallèle avec l'examen de 100 autres plaintes qui ont été déposées auprès du groupe de défense de la vie privée Noyb peu de temps après que la Cour européenne de justice a annulé l'accord EU-US Privacy Shield en 2020.

Les plaintes ont été déposées auprès de Noyb, dont le fondateur, Max Schrems, est celui qui a engagé une procédure pour invalider l'accord Privacy Shield. Suite à ce constat, le CNIL a ordonné au site local de se mettre en conformité avec le RGPD. En distribuant cette ordonnance, le régulateur a déclaré que si nécessaire, le site internet devrait cesser d'utiliser Google Analytics dans les conditions actuelles.

Le site en question disposera d'un mois pour se mettre en conformité. "Bien que Google ait adopté des mesures supplémentaires pour réglementer les transferts de données dans le cadre de son outils Google Analytics, celles-ci ne sont pas suffisantes pour exclure l'accessibilité de ces données aux services de renseignement américains", a indiqué le CNIL dans un communiqué.

"Il y a donc un risque pour les internautes français qui utilisent ce service et dont les données sont exportées." Le CNIL a toutefois précisé qu'il peut y avoir des cas où l'utilisation de Google Analytics répond aux exigences du RGPD, par exemple en s'assurant que l'outil n'est utilisé que pour produire des données statistiques anonymes. Le CNIL a expliqué qu'une telle utilisation créerait une dispense de consentement tant que les données ne sont pas transférées illégalement. Outre l'émission de l'ordonnance, le CNIL a indiqué qu'elle lancerait une évaluation pour déterminer quels outils de mesure d'audience et de publicité sont exempts de consentement.

L'interprétation française du Règlement Général sur la Protection des Données (RGPD) fait suite à Google exhortant les législateurs aux États-Unis et en Europe à établir de nouvelles règles pour un cadre de transfert de données sécurisé. En exprimant son inquiétude, Google a appelé à plus de transparence sur la manière d'interpréter le RGPD, son président des affaires mondiales, Kent Walker, affirme que l'absence d'un cadre de transfert de données entraînerait un manque de stabilité juridique.

D'autres géants américains de la technologie, comme Meta (Facebook), n'ont également pas apprécié l'absence de cadre de transfert de données entre l'UE et les USA. Vu l'absence actuelle d'un service, Meta a "menacé" de retirer ses services d'Europe dans son dossier annuel auprès de la US Securities Exchange Commission. Cependant, le géant de la technologie est revenu sur ses commentaires après que la "menace" ait fait la une des journaux dans divers médias et ait été critiquée par des politiciens européens.