Dans son communiqué du 10 février 2022 publié sur son site web, la CNIL a informé de sa mise en demeure d’un gestionnaire de site web marchand français de ne plus utiliser Google Analytics dans les conditions actuelles car le transfert de données personnelles vers les Etats Unis est illégal au regard du RGPD.
Pour en savoir plus :
A propos du Communiqué CNIL du 10 février 2022 et décision CNIL anonymisée de mise en demeure
La CNIL a été saisie le 19 août 2020 de plusieurs plaintes de l’association None of Your Business (NOYB) - Centre européen pour les droits numériques de Max Schrems, dont celle en question contre un site web marchand français qui utilise Google Analytics à des fins de mesure d’audience et de performance de ses campagnes médias.
NOYB a en effet adressé 101 plaintes auprès de 27 autorités de protection des données personnelles de l’Union européenne et des trois autres Etats de l’espace économique européen à l’encontre de responsables de traitement continuant à transférer des données personnelles vers les Etats Unis suite à l’arrêt dit Schrems II de la CJUE du 16 juillet 2020 (Cf II).
Suite à sa saisine, la CNIL a procédé à une mission de contrôle sur pièces c’est-à-dire en adressant un questionnaire et une demande de compléments au gestionnaire de site web en question sur le transfert des données des visiteurs de la version française du site web via Google Analytics. Après analyse des conditions de transfert des données hors de l’Union européenne, la CNIL a décidé de mettre en demeure le gestionnaire de site web marchand de se conformer au RGPD dans un délai d’un mois en cessant d’avoir recours à Google Analytics dans les conditions actuelles ou en utilisant un outil n’entrainant pas de transfert de données hors de l’Union européenne. Cette décision a été prise en coopération avec ses homologues européens concernés par le traitement transfrontalier conformément au RGPD. Il ressort de cette décision de la CNIL mise en ligne de manière anonymisée que :
1. Les données collectées dans le cadre de Google Analytics sont des données à caractère personnel ; le gestionnaire de site web utilisant Google Analytics est un responsable de traitement au sens du RGPD
Le gestionnaire de site web en cause a indiqué à la CNIL avoir intégré la fonctionnalité de Google Analytics sur la version française de son site web à des fins de mesure d’audience, de performance de ses campagnes médias. Pour notamment réaliser une mesure de suivi du visiteur du site web, les données traitées via Google Analytics sont : un identifiant du visiteur (identifiant du cookie visiteur GA ou « client ID » de GA) ; un identifiant interne unique pour les visiteurs s’étant authentifiés au site web à travers un compte utilisateur ; les identifiants de commande ; les adresses IP. Les identifiants uniques peuvent être combinés avec d’autres informations (adresse du site visité, métadonnées relatives au navigateur et au système d’exploitation, heure et données relatives à la visite du site web, adresse IP…) et permettent ainsi un décompte plus précis des visiteurs.
Une donnée à caractère personnel est selon le RGPD toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à une identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
La CNIL a considéré que l’individualisation des personnes est suffisante au vu des recoupements de données pour que ces personnes soient identifiables. Ainsi, les données traitées via Google Analytics sont des données à caractère personnel au sens du RGPD.
Les gestionnaires de sites web qui utilisent Google Analytics peuvent transmettre leurs instructions à Google pour le traitement des données collectées et ont en effet la possibilité d’effectuer un certain nombre de paramétrages telle que la durée de conservation des données. La CNIL a ainsi considéré qu’en décidant de mettre en œuvre la fonctionnalité de Google Analytics sur son site web à des fins d’évaluation et d’optimisation, l’entreprise gestionnaire de site web en cause a déterminé les finalités et les moyens du traitement des données collectées via cette fonctionnalité et doit être considérée comme responsable de traitement au sens du RGPD (art. 4.7).
2. Le gestionnaire du site web a manqué à son obligation d’encadrer les transferts de données personnelles vers les Etats Unis pour être conforme au RGPD
L’arrêt dit Schrems II de la CJUE du 16 juillet 2020 a invalidé la décision de la Commission européenne du 12 juillet 2016 relative à l’adéquation de la protection assurée par l’accord du « Privacy Shield » (bouclier de protection des données transférées de l’UE vers les Etats-Unis). Ainsi le transfert de données vers les Etats Unis ne peut plus avoir pour fondement juridique le « Privacy Shield » mais d’autres garanties appropriées du RGPD telles que les clauses contractuelles types de la Commission européenne (CCT ou SCC). Toutefois, la CJUE a considéré que les CCT ne sont pas suffisantes dans la mesure où les garanties qu’elles prévoient sont laissées inappliquées en cas d’accès aux données par les services de renseignements américains et doivent en conséquence être complétées par des mesures supplémentaires. Le Comité européen sur la protection des données (CEPD) a dans ses recommandations 01/2020 du 18 juin 2021 indiqué que les mesures permettant de compléter les CCT peuvent être contractuelles, organisationnelles et techniques.
Google LLC a pour obligation en application de la législation américaine (FISA 702) de fournir, en cas de demande au gouvernement américain, les données personnelles traitées même celles concernant des citoyens européens. Avec la fonctionnalité de Google Analytics, l’identifiant unique attribué à chaque visiteur du site web et les données associées sont transférés à Google LLC aux Etats-Unis.
Pour encadrer ce transfert de données personnelles, le gestionnaire de site web et Google LLC ont conclu des CCT. Google LLC a également adopté des mesures supplémentaires contractuelles, organisationnelles et techniques. Toutefois, elles sont considérées comme inefficaces par la CNIL au regard de la possibilité d’accès par les services de renseignements américains aux données personnelles de citoyens européens car ces mesures n’empêchent pas cette possibilité d’accès ni ne rend cet accès ineffectif. Par exemple, les mesures techniques de chiffrement sont considérées comme inefficaces, dans la mesure où Google LLC a l’obligation d’accorder l’accès ou de fournir les données importées en sa possession, y compris les clés de chiffrement. De même, la mesure technique d’anonymisation de l’adresse IP par Google est optionnelle (non activée par défaut) et la CNIL ne semble pas avoir eu de réponse quant au fait de savoir si cette anonymisation s’effectue avant ou après le transfert vers les Etats Unis. L’anonymisation de l’adresse IP après le transfert aux Etats Unis pose en effet problème au vu du potentiel accès à l’adresse IP entière qui est une donnée à caractère personnel.
Ainsi, en vertu du RGPD (art. 44 et suivants), la CNIL a considéré que ces transferts de données personnelles des internautes européens vers les Etats-Unis sont illégaux car ne peuvent se fonder sur aucun des instruments juridiques prévus par le RGPD (la CNIL ayant considéré que l’ensemble des instruments juridiques soulevés par le gestionnaire de site web en cause ne sont pas valables). Ces transferts de données compromettent le niveau de protection des données personnelles des personnes concernées (visiteurs du site web) tel que garanti par le RGPD. Le gestionnaire de site web en cause a donc été mis en demeure de mettre en conformité son traitement avec le RGPD en cessant de traiter des données personnelles dans le cadre de la version actuelle de Google Analytics et de le justifier dans le délai d’un mois auprès des services de la CNIL. La CNIL recommande l’utilisation le cas échéant d’un autre outil n’entrainant pas de transfert de données personnelles hors de l’Union européenne.
En tout état de cause, la procédure de mise en demeure sera close si le gestionnaire du site web se conforme à celle-ci dans le délai imparti. En cas de non-conformité, un rapporteur sera désigné dans le cadre de la formation restreinte (formation des sanctions) qui pourra prononcer une sanction pécuniaire pouvant s’élever à 4 % du chiffre d’affaires annuel mondial de l’entreprise (art. 83.5 du RGPD).
La CNIL rappelle par ailleurs dans son communiqué du 10 février sa recommandation d’utiliser des outils de mesure et d’analyse d’audience servant uniquement à produire des données statistiques anonymes (pour bénéficier de l’exemption de consentement aux cookies).
3. Vers la fin d’une insécurité juridique pour les entreprises quant aux transferts de données hors UE ?
Cette mise en demeure de la CNIL marque un tournant dans le cadre des transferts de données vers les Etats Unis. La CNIL fait application de l’arrêt dit Schrems II de la CJUE comme son homologue autrichienne en décembre 2021. Au-delà de Google Analytics, cette mise en demeure de la CNIL suscite des interrogations de la part des entreprises sur sa portée et notamment de savoir s’il est encore possible pour une entreprise européenne de contracter avec un sous-traitant américain ou hors UE de manière générale (au vu des législations permettant l’accès des gouvernements aux données) tout en étant conforme au RGPD.
Aux dernières nouvelles, des discussions entre les Etats Unis et l’Union européenne sont en cours en vue de la conclusion d’un nouvel accord d’adéquation (suite à l’invalidation du « Privacy Shield »).
La CNIL a précisé dans son communiqué que d’autres procédures de mises en demeure sont en cours à l’encontre de gestionnaires de sites utilisant Google Analytics suite aux plaintes de NOYB. Par ailleurs, une autre association, Interhop, a informé en janvier 2022 de sa saisine de la CNIL sur l’utilisation de Google Analytics par les entreprises de l’e-santé.
Le transfert de données hors UE dans le Cloud est bel et bien cette année dans le viseur de la CNIL car c’est en effet une des thématiques de contrôles pour 2022 (cf. programme des contrôles CNIL publié le 15 février 2022). La CNIL l’a réaffirmé ans son plan stratégique 2022-2024 publié sur son site web le 17 février 2022 en précisant que les transferts de données dans le Cloud font partie de ses priorités en coopération avec ses homologues européens aux fins de sécuriser les transferts de données de français vers des pays situés en dehors de l’Union européenne. Un audit des transferts de données hors UE et de leur encadrement juridique, technique et organisationnel semble être recommandé aux responsables de traitements notamment à la lumière de cette mise en demeure de la CNIL et de ses suites.
Auteur : Vanessa Younès-Fellous, avocate en droit de la protection des données personnelles et formatrice Lefebvre Dalloz Compétences
Articles les plus lus
Articles les plus récents
Inscription à la newsletter
