En mai 2020, la Cour de Justice de l\u2019Union Europ\u00e9enne (CJUE) a invalid\u00e9 le Privacy Shield, un accord qui encadrait le transfert de donn\u00e9es personnelles de l\u2019Espace Economique Europ\u00e9en vers les Etats-Unis (incluant cookies, m\u00e9tadonn\u00e9es comme l\u2019adresse IP, ID, ID de Transaction, donn\u00e9es CRM, etc.).<\/p>\n\n\n\n
Depuis 2020, les organisations qui doivent transf\u00e9rer des donn\u00e9es hors d\u2019Europe utilisent donc des clauses contractuelles types (CCT) d\u00e9finies par l\u2019Union Europ\u00e9enne et requ\u00e9rant des mesures organisationnelles et techniques suppl\u00e9mentaires, propres \u00e0 chaque type de transfert (selon les donn\u00e9es trait\u00e9es et le service fourni).<\/p>\n\n\n\n
\u00c0 la suite d\u2019une centaine de plaintes d\u00e9pos\u00e9es par l\u2019association NOYB concernant le transfert vers les Etats-Unis de donn\u00e9es collect\u00e9es lors de visites sur des sites web utilisant Google Analytics, la CNIL fran\u00e7aise a mis en demeure un \u00e9diteur fran\u00e7ais pour son param\u00e9trage de la solution.<\/p>\n\n\n\n
La CNIL fran\u00e7aise (tout comme la CNIL autrichienne) juge que les transferts de donn\u00e9es r\u00e9alis\u00e9s par Google Analytics vers les Etats-Unis sont ill\u00e9gaux. Leur homologue belge (APD) a quant \u00e0 elle remis en cause le TCF (Transparency & Consent Framework), un standard de transmission du consentement des utilisateurs entre des partenaires publicitaires, g\u00e9r\u00e9 par l\u2019IAB Europe.<\/p>\n\n\n\n
La CNIL n\u2019est pas un l\u00e9gislateur, elle interpr\u00e8te seulement la loi (c\u2019est pourquoi les CNIL de diff\u00e9rents pays europ\u00e9ens peuvent avoir diff\u00e9rentes interpr\u00e9tations d\u2019un m\u00eame sujet). Dans le cas particulier, la CNIL a \u00e9pingl\u00e9 un cas de param\u00e9trage de Google Analytics qu\u2019elle a jug\u00e9 non conforme avec le cadre r\u00e9glementaire en vigueur.<\/p>\n\n\n\n
Pour trancher la question de la l\u00e9galit\u00e9 de Google Analytics, l\u2019\u00e9diteur de site web mis en demeure devra saisir le Conseil d\u2019Etat. De son c\u00f4t\u00e9, la CJUE n\u2019interdit pas de fa\u00e7on absolue tout transfert de donn\u00e9es vers les Etats-Unis puisqu\u2019elle reconna\u00eet la validit\u00e9 du recours \u00e0 d\u2019autres outils juridiques (clauses contractuelles types) conditionn\u00e9e aux circonstances du transfert et aux niveaux de garantie offerts. L\u2019analyse devrait donc plut\u00f4t se faire au cas par cas.<\/p>\n\n\n\n
La contradiction entre les autorit\u00e9s europ\u00e9ennes et les r\u00e9gulateurs introduit toutefois beaucoup d\u2019incertitude juridique pour les entreprises.<\/p>\n\n\n\n
Dans les faits, La CNIL s\u2019est uniquement saisie du dossier Google Analytics mais ce qui est reproch\u00e9 \u00e0 Google Analytics concerne en r\u00e9alit\u00e9 toutes les solutions SaaS am\u00e9ricaines. En effet, ces solutions sont soumises au Cloud Act, une loi f\u00e9d\u00e9rale am\u00e9ricaine qui permet au gouvernement des Etats-Unis d\u2019acc\u00e9der aux donn\u00e9es des serveurs des soci\u00e9t\u00e9s de son pays, quelle que soit leur localisation. Le probl\u00e8me se situe donc plut\u00f4t du c\u00f4t\u00e9 de la politique puisque le Cloud Act am\u00e9ricain semble fondamentalement incompatible avec le RGPD europ\u00e9en. Pour les entreprises, le sujet pourrait donc s\u2019\u00e9tendre \u00e0 une grande partie des outils CRM, DPM, Automation, etc.<\/p>\n\n\n\n
En mars 2022, Google a annonc\u00e9 une nouvelle version de Google Analytics, GA4, pour juillet 2023. Un produit qui ne sera plus construit autour des sessions des visiteurs mais autour des utilisateurs et des \u00e9v\u00e9nements. GA4 pr\u00e9sentera aussi un plus grand degr\u00e9 de personnalisation des fonctionnalit\u00e9s de privacy. En particulier, l\u2019adresse IP ne sera plus stock\u00e9e et la premi\u00e8re lecture des informations clients se fera uniquement en Europe (annonce Google, mars 2022).<\/p>\n\n\n\n
En parall\u00e8le, le 25 mars dernier, un accord de principe a \u00e9t\u00e9 reconnu entre la France et les Etats-Unis pour la mise en place d\u2019un nouveau Privacy Shield (seul moyen de r\u00e9soudre le sujet sur le long terme), mais les contours de cet accord ne sont pas encore connus et n\u2019ont pas encore \u00e9t\u00e9 valid\u00e9s au niveau europ\u00e9en.<\/p>\n","protected":false},"excerpt":{"rendered":"
Le contexte En mai 2020, la Cour de Justice de l\u2019Union Europ\u00e9enne (CJUE) a invalid\u00e9 le Privacy Shield, un accord qui encadrait le transfert de donn\u00e9es personnelles de l\u2019Espace Economique Europ\u00e9en vers les Etats-Unis (incluant cookies, m\u00e9tadonn\u00e9es comme l\u2019adresse IP, ID, ID de Transaction, donn\u00e9es CRM, etc.). Depuis 2020, les organisations qui doivent transf\u00e9rer des […]<\/p>\n","protected":false},"author":1,"featured_media":12351,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[85,295],"tags":[],"class_list":["post-12349","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-its-a-digital-world","category-fil-actualite"],"yoast_head":"\n