A son tour, l'Italie déclare illégale l'utilisation de Google Analytics

L'autorité italienne de la protection des données a jugé que le recours à Google Analytics était illégal à cause des risques de transferts de données personnelles vers les Etats-Unis. Elle prend ainsi le même chemin que ses homologues autrichienne et française.

  

ALICE VITARD | PUBLIÉ LE 24 JUIN 2022 À 14H3   L'Usine Digitale

Après l'Autriche et la France, c'est l'Italie qui prend position sur Google Analytics. Ce service d'analyse des audiences des sites web, utilisé par la très grande majorité des administrateurs de site web, a été déclaré illégal par la Garante per la protezione dei dati personali, l'autorité de la protection des données italienne, dans une décision rendue le 23 juin.
 

90 JOURS POUR SE CONFORMER

La Garante a lancé un examen à l'issue de plusieurs plaintes et en coordination avec ses homologues européens. A l'issue de ces investigations, elle a mis en demeure Caffeina Media Srl, un exploitant de site internet, de se conformer au Règlement général sur la protection des données (RGPD) en arrêtant de recourir à Google Analytics en 90 jours. 

L'autorité italienne a souligné – comme l'on fait ses homologues autrichien et français – la possibilité pour "les autorités gouvernementales américaines et les agences de renseignement d'accéder aux données personnelles transférées". Les mesures adoptées par Google ne suffisent pas à écarter ce risque, ajoute-t-elle dans sa décision.

Depuis l'invalidation du Privacy Shield par la Cour de justice de l'Union européenne, il n'existe plus de décision d'adéquation pour le transfert de données personnelles entre l'Union européenne et les Etats-Unis. Précision importante : la signature d'un nouvel accord politique ne constitue pas une nouvelle décision.

Par conséquent, pour pouvoir transférer des données outre-Atlantique, les entités doivent respecter des garanties supplémentaires particulièrement exigeantes (chiffrement de bout en bout, évaluation des risques...). Or, d'après les autorités européennes, Google ne remplit pas ces critères et ne peut donc pas légalement proposer son service au sein de l'Union européenne.

IMPOSSIBLE DE PARAMÉTRER GOOGLE POUR L'UTILISER LÉGALEMENT

La Commission nationale de l'informatique et des libertés (Cnil) a pris une position similaire début juin dans le cadre d'une foire aux questions. Elle s'est montrée très ferme en jugeant qu'il n'est pas possible de paramétrer Google de façon à ne pas transférer de données personnelles en dehors de l'UE. En effet, "le recours à des solutions proposées par des sociétés soumises à des juridictions extra-européennes est susceptible de poser des difficultés en matière d'accès aux données". Comme c'est le cas aux Etats-Unis, les entreprises technologies, telle que Google, peuvent être obligées à divulguer des informations sur ses utilisateurs par les autorités judiciaires. 

Pour aider les entreprises utilisant le service de Google, la Cnil a publié une liste d'outils de mesure d'audience qui peuvent être exemptés de consentement lorsqu'ils sont correctement configurés. En revanche, et c'est important de le préciser, cette liste n’examine pas, à l’heure actuelle, les enjeux posés par les transferts internationaux, notamment les conséquences de l'invalidation du Privacy Shield. En d'autres termes, rien ne garantit qu'ils ne subissent le même sort que Google Analytics d'ici quelques mois. 

Ce flou inquiète les acteurs du secteur. En effet, en ne se mettant pas en conformité, ils risquent d'être poursuivis par la Cnil et d'être sanctionné pour violation du RGPD. 

ALICE VITARD