Transferts de données UE – USA : retour sur des discussions enlisées
Depuis l’arrêt “Schrems II” du 16 juillet 2020 rendu par la Cour de Justice de l’Union Européenne (CJUE), l’UE et Google jouent au chat et à la souris.
D’une part, la Commission Européenne ainsi que les CNILs des différents pays de l’UE ont haussé le ton face à Google, et des premières sanctions sont même tombées contre certains éditeurs de sites. D’autre part, le géant du web a officiellement mis fin à GA Universal au profit de GA4, afin de répondre aux exigences de l’Union, sans toutefois y parvenir; les données personnelles restant exportées aux USA.
Mais les discussions sont loin d’être terminées : la Commission Européenne vient de rendre publique une nouvelle décision.
Accord transatlantique de transfert de données : retournement de situation ou suite logique ?
Ce qui a changé le 10 juillet 2023
Le 10 juillet 2023, la Commission européenne a pris une nouvelle décision d’adéquation concernant les États-Unis. Selon cette décision, les modifications apportées par les États-Unis garantissent un niveau de protection adéquat des données personnelles transférées de l’UE vers des organisations américaines. Vous pouvez retrouver l’article de la CNIL sur ce lien.
Il s’agit d’une actualité majeure car c’est justement le “niveau de protection inadéquat” qui avait été à l’origine de l’illégalité de Google Analytics en mars 2022 aux yeux des différentes CNIL européennes.
À quels changements concrets faut-il s’attendre ?
En conséquence, les transferts de données vers les organisations figurant sur une liste que le ministère américain du commerce rendra prochainement publique, peuvent désormais être effectués librement, sans nécessiter l’utilisation de « clauses contractuelles types » ou d’autres mécanismes de transfert spécifiques.
La Commission européenne a publié une FAQ explicitant les répercussions de cette décision d’adéquation et la CNIL publiera, de son côté, des éléments complémentaires sur ce sujet très bientôt.
Cette décision pourrait avoir un impact positif sur l’autorisation de l’utilisation de Google Analytics.
Rappelons toutefois que la solution n’est, à ce jour, toujours pas autorisée par de nombreuses CNIL européennes (cela sera normalement le cas lorsque Google figurera sur la liste) et que votre CMP devra toujours servir à orchestrer le déclenchement des tags first et third party présents sur votre site en fonction du choix formulé par l’utilisateur (la “légalité” éventuelle de Google Analytics aux yeux de la CNIL ne le rend pas pour autant éligible à une exonération de consentement).
Avis d’expert : quels changements pour vous ?
Romain Pignoux, Responsable du Pôle Analytics & Data de Resoneo, fait le point sur les conséquences de ce nouvel accord, et les évolutions possibles à terme.
Ce nouvel accord marque-t-il un retour à Google Analytics ?
La liste rendue publique par le ministère américain du commerce mentionne Google comme organisme pouvant recevoir de la donnée venant de l’UE. En revanche Google Analytics ne fait pas partie des outils Google rentrant dans le cadre de cet accord. La situation n’a pas changé mais il y a des avancées significatives et Google annonce travailler sur le dossier avec le ministère américain du commerce.
Ai-je changé de solution de tracking pour rien ?
Si vous aviez décidé de changer de solution en raison de la non conformité de GA et par crainte d’une mise demeure, comme je l’ai dit juste avant, la situation n’a pas changé légalement. Vous avez donc eu raison d’être prudent.
Par ailleurs, la plupart des acteurs ayant installé une autre solution de tracking ont choisi une solution exempte de consentement – qui continuera à avoir une certaine valeur ajoutée pour avoir 100% de ses statistiques dans l’outil.
Quelles vont être les prochaines étapes ?
Comme depuis de nombreux mois, nous restons suspendus à la finalisation d’un accord entre l’Union européenne et le gouvernement américain. En parallèle Google tient régulièrement informé ses agences partenaires des avancées et s’engage à coopérer au maximum avec les autorités, pour l’instant sans succès.
Il n’y a malheureusement rien que nous puissions faire à notre niveau mais un premier accord a déjà été trouvé, c’est une grande avancée et Google est sur la liste. La vraie prochaine étape est que Google Analytics soit inscrit définitivement sur la liste des plateformes autorisées.
A moyen terme, on peut anticiper que certaines associations sur la protection de la vie privée, en premier lieu Noyb, questionneront la cour de justice européenne sur la conformité au droit européen du nouveau dispositif validé par l’UE et les US. Il est donc probable qu’on reparle de ce dossier dans les prochains mois.
Je n’ai pas encore finalisé le passage à GA4. Puis-je temporiser ?
Si vous étiez sur la version standard de Universal Analytics, celle-ci a cessé de collecter de la donnée au 1er juillet (la date est repoussée au 1er juillet 2024 pour les propriétés 360). Pour suivre les performances de votre site et celles de vos campagnes d’acquisition, nous vous invitons à finaliser la bascule sans délai !
Si vous avez une question ou un doute, notre équipe est à votre disposition.