Google Analytics : la CNIL confirme qu’un simple reparamétrage ne suffit pas à se mettre en conformité

En février dernier, la CNIL avait mis en demeure un gestionnaire de site web pour son utilisation de Google Analytics et aujourd’hui, elle confirme que les éditeurs de site web doivent s’en passer totalement.

En 2020, la Cour de justice de l’Union européenne (CJUE) invalidait le Privacy Shield qui encadre le transfert des données entre l’Europe et les Etats-Unis. En cause, l’absence de certitude concernant l’accès des données des utilisateurs européens par les autorités américaines.

Une proxyfication plutôt qu’une modification

Suite à cela, l’association NOYB a déposé plusieurs plaintes dans des pays européens, concernant Google Analytics qui envoie des données outre-Atlantique. La Commission nationale informatique et des libertés (CNIL) s’est alors saisie des plaintes déposées en France et a jugé qu’elles étaient fondées.

La CNIL a depuis mis en demeure plusieurs éditeurs de sites web pour leur utilisation de l’outil d’analyse d’audiences de Google. La Commission a indiqué il y a quelques jours que la « modification du paramétrage  de l’outil est insuffisante ». L’identification peut toujours se faire grâce à l’adresse IP ainsi qu’à de nombreuses autres informations sur le terminal utilisé.

Pour la CNIL, il faut donc une mesure plus forte pour passer outre : la proxyfication. Cette dernière ajoute une couche de confidentialité entre le site web et Google Analytics mais elle a l’inconvénient d’être plus compliquée à mettre en place.

Le gendarme des libertés indique que l’éditeur du site web doit mettre en place plusieurs mesures pour que cette proxyfication puisse être valide comme le remplacement de l’identifiant utilisateur, l’absence de transfert de l’adresse IP, la suppression de l’origine de la visite…

De plus, le serveur proxy ne doit pas être installé n’importe où pour qu’il soit valide.