Archives par mot-clé : RGPD

Majorité numérique à 15 ans harmonisée en Europe ?

Publié le par

En fait. Le 28 juin, la proposition de loi « visant à instaurer une majorité numérique et à lutter contre la haine en ligne » a été définitivement adoptée en commission mixte paritaire par députés et sénateurs. L’âge de 15 ans pour les réseaux sociaux va-t-il être harmonisé au niveau des Vingt-sept ?

En clair. Maintenant que la loi française « Majorité numérique » a été adoptée le 28 juin, obligeant les réseaux sociaux et plateformes numériques à vérifier non seulement que leurs jeunes utilisateurs ont bien l’âge de 15 ans pour les utiliser, mais aussi à obtenir une autorisation parentale en dessous de cet âge-là, la Commission européenne devra donner son avis. Le gouvernement français lui a en effet notifié la proposition de loi telle qu’adoptée, afin d’avoir le feu de Bruxelles qui doit vérifier que cette législation est bien conforme au droit de l’Union européenne.
Une fois le blanc-seing de la Commission européenne obtenu, le gouvernement fixera par décret une date d’entrée en vigueur de la loi, « [date] qui ne peut être postérieure de plus de trois mois à la date de réception par le gouvernement de la réponse de la Commission européenne ». L’harmonisation de la majorité numérique en Europe ne semble pas prévue, le règlement général sur la protection des données (RGPD) laissant le loisir aux Etats membres de fixer cette majorité numérique entre 13 et 16 ans (1). Cette vérification de l’âge viendra donc s’ajouter à l’obtention du consentement de l’enfant « e-majeur » ou d’un parent pour le traitement des données à caractère personnel – cette obligation concernant la protection de la vie privée étant déjà en vigueur. Pour l’accès aux réseaux sociaux, ce n’est qu’à compter de la date de promulgation de la loi « Majorité numérique » que les plateformes numériques (YouTube, Instragram, WhatsApp, TikTok, Facebook, Google Actualités, …), ainsi que les sites pornographiques premiers visés (2), disposeront de deux ans pour vérifier l’âge de leurs utilisateurs. C’est le président de l’Arcom qui est chargé de veiller à ce que les plateformes numériques mettent en œuvre une « solution technique certifiée pour vérifier l’âge des utilisateurs finaux et l’autorisation de l’un des titulaires de l’autorité parentale de l’inscription des mineurs de moins de quinze ans ».
Au préalable, l’Arcom devra établir un « référentiel » validé par la Cnil (3), auquel les « solutions techniques » devront être conformes. Or la Cnil, qui a préconise depuis juin 2021 le mécanisme de « double anonymat » (4) préféré à la carte d’identité, n’a toujours pas rendu public le bilan du test mené par un laboratoire de l’Ecole polytechnique et le Pôle d’expertise de la régulation numérique (PEReN) de Bercy. @

L’Italie bouscule la France en interdisant ChatGPT

Publié le par

En fait. Le 31 mars, la « Cnil » italienne – la GPDP – a adopté une décision à l’encontre de la société américaine OpenAI, éditrice de l’intelligence artificielle ChatGPT, en interdisant temporairement ce robot conversationnel. En France, la Cnil a finalement reçu début avril deux plaintes contre cette IA.

En clair. Edition Multimédi@ relève que la Commission nationale de l’informatique et des libertés (Cnil) a eu – lors de sa séance plénière du 9 février – une démonstration de ChatGPT (1). Depuis, c’était « silence radio ». Jusqu’à cette décision du 31 mars dernier de son homologue italienne, la GPDP, interdisant dans la péninsule le robot conversationnel de la société californienne OpenAI, laquelle a jusqu’au 20 avril pour « se conformer à l’ordonnance, sinon une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total pourra être imposée » (2).
En France, la Cnil est donc sortie de son silence : « Sur les bases d’apprentissage et les IA génératives, l’objectif de la Cnil est de clarifier le cadre légal dans les prochains mois », a-t-elle indiqué le 1er avril à Marc Rees, journaliste juriste à L’Informé. L’autorité française de la protection des données lui a précisé ce jour-là qu’elle « n’a pas reçu de plainte » contre ChatGPT et n’a « pas de procédure similaire en cours » (3). Mais le 5 avril, deux premières plaintes contre OpenAI sont révélées (4). La Cnil dit « s’[être] rapprochée de son homologue italienne afin d’échanger sur les constats qui ont pu être faits ». Elle n’est bien sûr pas la seule, d’autant que toutes les « Cnil » des Vingt-sept sont compétentes pour « instruire » le cas ChatGPT. « OpenAI n’a pas d’établissement dans l’Union européenne ; donc le mécanisme du guichet unique ne lui est pas applicable. Il n’y a de ce fait pas d’autorité cheffe de file », indique à Edition Multimédi@ le Comité européen de la protection des données (EDPB) – réunissant à Bruxelles les « Cnil » des Vingt-sept sous la houlette de la Commission européenne. Il nous a répondu que son programme de travail 2023-2024 prévoit des « lignes directrices sur l’interaction entre le règlement sur l’IA [Artificial Intelligence Act, ndlr] et le RGPD [règlement général sur la protection des données] » (5).
L’AI Act devrait être voté d’ici fin avril par Parlement européen (6), d’après le commissaire européen au Marché intérieur, Thierry Breton, qui est intervenu le 3 avril sur Franceinfo. « Tout ce qui sera généré par l’IA devra obligatoirement être signalé comme étant fait par une intelligence artificielle », a-t-il prévenu. L’Europe, elle, n’a d’ailleurs pas de champion de l’IA générative. Une nouvelle colonisation numérique… @

L’adtech Criteo, toujours 3e éditeur de logiciels français, va réaliser la moitié de son activité sans cookies

Publié le par

Société française de ciblage publicitaire sur Internet, fondée en 2005 (à Paris) et cotée depuis dix ans au Nasdaq (à New-York), Criteo accélère dans le « retail media » (publicité « personnalisée » au plus près des consommateurs), mettant fin aux cookies. L’adtech parisienne pourrait être la cible d’un acquéreur.

(Privacy International, ayant porté plainte en 2018 contre l’adtech, indique que la Cnil a auditionné le 16 mars Criteo qui risque une amende de 60 millions d’euros)

Le « retail media » est la nouvelle planche de salut de Criteo, le spécialiste français de la publicité ciblée et boostée à l’intelligence artificielle. En exploitant les quantités de données transactionnelles et commerciales (1) des internautes, que les marques et annonceurs veulent attirer avec des promotions et fidéliser, Criteo s’affranchit de plus en plus des cookies (2). Et ce, depuis que Google et Apple ont décidé de bannir ces mouchards pour préserver la vie privée de leurs utilisateurs (3). Il s’agit pour l’adtech parisienne devenue internationale de passer du seul re-ciblage publicitaire (retargeting) – nécessitant le dépôt controversé de cookies dans le navigateur du visiteur de sites web ou d’applications mobiles – à des solutions non-reciblées autour de sa plateforme Commerce Media. « Au cours de l’exercice 2022, nos solutions non-retargeting représentaient déjà près de 37 % de l’ensemble de nos activités (…), dont 47 % au quatrième trimestre de 2022. Nous investissons dans la croissance de ces solutions non reciblées et nous nous attendons à ce qu’elles représentent près de 50 % de l’ensemble de nos activités en 2023, y compris l’intégration d’Iponweb », indique la société cotée à la Bourse de New-York depuis 2013, dans son rapport financier 2022 publié le 24 février dernier. Iponweb est une adtech russo-britannique rivale rachetée en août 2022 pour 250 millions de dollars à son fondateur russe Boris Mouzykantskii, devenu architecte en chef de Criteo. Dernière acquisition en date que l’adtech française a annoncée le 7 mars : l’australien Brandcrush, lui aussi spécialiste du retail media.

Le « retail media » sans cookies fait recette
Sorte de marketing-direct en ligne, le retail media consiste à faire de la publicité en ligne personnalisée – voire de l’ultra-personnalisation – au plus près de l’acte d’achat des consommateurs sur les sites ou applis de e-commerce ou en magasins connectés, chez le détaillant ou à proximité. Ce nouveau canal publicitaire en pleine croissance permet aux marques, commerçants et sites web (de e-commerce et de média) de stimuler les ventes de produits, de services ou d’applications auprès du client ciblé – appelé « shopper » – en fonction de ses intérêts, de ses goûts et de ses emplettes. Les plateformes de e-commerce, les boutiques en lignes et les hypermarchés (comme E.Leclerc, Auchan, Boulanger ou Fnac Darty, clients de Criteo en France) deviennent ainsi des « médias commerciaux », qui, grâce à des adtech comme l’icône de la French Tech, peuvent monétiser leur inventaire publicitaire et augmenter leurs revenus.

Transformation de Criteo, avant vente ?
Le groupe Criteo, dirigé depuis trois ans et demi par la Nouvelle-zélandaise Megan Clarken (photo de Une) basée à Paris (4), surfe ainsi sur ce marché prometteur du retail media au sens large, qui devrait atteindre un potentiel mondial de 290 milliards de dollars en dépenses publicitaires d’ici 2025 (5). Rien qu’en France, sur 2022, les recettes publicitaires du retail media ont atteint 887 millions d’euros (6). Avec un bond annuel de 30 %, le milliard devrait être dépassé cette année sur ce segment dynamique du marché français de la publicité en ligne. Criteo, qui revendique plus de 22.000 clients (marques, détaillants, …) dans le monde, dont 37 % venant d’agences (publicitaires, marketing, …), poursuit sa transformation engagée en 2018 (7).
Considéré encore l’an dernier comme le troisième éditeur de logiciels français (8) – derrière Dassault Systèmes et Ubisoft –, la Big Tech française a publié le 8 février ses résultats pour l’exercice 2022 : 2 milliards de dollars de chiffre d’affaires, en baisse de 11 % sur un an, pour un bénéfice net de 11 millions de dollars, en chute de 92 %. Entre la transformation de son modèle économique et le contexte économique international, Criteo traverse une passe difficile. Non seulement les solutions marketing classiques (notamment basées sur le retargeting et les cookies) ont vu leurs revenus baisser l’an dernier de -12 % à 1,7 milliard de dollars, mais aussi les solutions de retail marketing ont aussi reculé de -18 % à 202,3 millions de dollars. « Les revenus du retail media ont diminué de 21 % (…), en raison de l’incidence de la migration continue des clients vers la plateforme de la société [Commerce Media, ndlr] », explique la direction de Criteo dans son rapport d’activité.
En revanche, « la contribution du retail media [au résultat d’exploitation] a augmenté de 19 %, en raison de la vigueur soutenue du retail media onsite [à savoir les recettes publicitaires générées sur le propre site de e-commerce du commerçant détaillant, par opposition à l’”Internet ouvert” ou offsite, ndlr], de l’intégration de nouveaux clients et des effets de réseau croissants de la plateforme ». Criteo a l’ambition de tripler son activité retail media d’ici 2025. Quant au chiffre d’affaires de l’adtech Iponweb nouvellement intégrée, il n’a été consolidé que sur les trois derniers mois de l’année 2022 pour un montant de 52,1 millions de dollars (avant d’être entièrement consolidée sur 2023). Criteo employait au 31 décembre 2022 un effectif de 3.716 employés (41 % de femmes), dont 1.053 en France. Si le nombre de ces salariés a augmenté ces dernières années, une vague de licenciements ont eu lieu mi-février, selon des informations diffusées sur des réseaux sociaux et relayées par Thelayoff et Digiday. Certaines sources anonymes évoquent la suppression de jusqu’à 8 % des effectifs du groupe – ce qui reviendrait à près de 300 postes en moins – et même la fermeture du bureau dans le centre de Londres. « Nous ne sommes pas habilités à commenter cette actualité », a répondu une porte-parole à Edition Multimédi@. Criteo ne serait pas la première Big Tech à supprimer des emplois, d’autres l’ayant déjà fait depuis le début de l’année (Amazon, Meta/Facebook, Alphabet/Google, Twitter, Snap, Yahoo, …). L’ex-licorne française cofondée par Jean-Baptiste Rudelle, qui en fut le PDG (9) jusqu’au à sa passation de pouvoirs à Megan Clarken en février 2020, ne réduit-elle pas sa masse salariale afin de mieux se vendre ?
Ce n’est pas exclu, d’autant que l’agence Reuters a révélé le 7 février la mission confiée par Criteo à la banque Evercore pour trouver un repreneur (10), information non démentie. Ce n’est pas la première fois que l’adtech française est à vendre, l’agence Bloomberg en avait fait état en 2021. Sa capitalisation boursière est passée ces derniers temps sous la barre de 2 milliards de dollars, à 1,7 milliard (au 10 mars) – loin des 2,6 milliards de fin 2016. Au-delà de fonds d’investissement susceptibles d’être intéressés, des noms de repreneurs potentiels circulent tels que le canadien Shopify, les californiens Adobe et The Trade Desk, ou encore le français Publicis, lequel a déjà fait les acquisitions du texan Epsilon en 2019 et de l’australien CitrusAd en 2021, spécialisés dans le retail media. Criteo a d’ailleurs vu Carrefour le quitter l’an dernier pour rejoindre Publicis pour créer en 2023 « une joint-venture détenue à 51 % par Carrefour ». Mais Publicis n’est pas le plus grand rival de Criteo.

Un ex-Microsoft au conseil d’administration
Les GAFAM lui mènent la vie dure, ce qui a amené l’adtech française à obtenir en juin 2022 des engagements de Meta/Facebook devant l’Autorité de la concurrence, clôturant ainsi une procédure antitrust unique au monde (11). Sont aussi ses rivaux : The Trade Desk, Viant Technology, Magnite, PubMatic, voire Adobe, Oracle ou encore Salesforce. Lors de sa prochaine assemblée annuelle des actionnaires, prévue en juin, Criteo fera entrer dans son conseil d’administration (12) le Néerlandais Rik van der Kooi qui a passé 22 ans chez Microsoft, notamment pour en faire un géant mondial de la publicité en ligne. Il s’agit de faire de « Commerce Media » une plateforme mondiale. @

Charles de Laubier

 

Cookies et consentement des internautes : les leçons à tirer des récentes sanctions de la Cnil

Publié le par

En décembre 2021 et en décembre 2022, la Cnil a sanctionné Google, Facebook, TikTok, Apple, Microsoft et Voodoo d’une amende allant de 3 millions à 90 millions d’euros. Il leur est reproché de ne pas faciliter aux internautes le refus des cookies publicitaires aussi facilement que leur acceptation.

Par Vanessa Bouchara et Florian Viel, cabinet Bouchara Avocats

Pour la seconde année consécutive, le mois de décembre aura été riche en décisions rendues par la Commission nationale de l’informatique et des libertés (Cnil) sur la thématique de la gestion des cookies. Alors que le mois de décembre 2021 voyait le gendarme de la protection des données personnelles et de la vie privée prononcer des sanctions administratives contre Google (1) et Facebook (2), ce sont en décembre 2022 les sociétés TikTok (3), Apple (4), Microsoft (5) et Voodoo (6) qui ont fait à leur tour l’objet de sanctions pour des manquements à loi française « Informatique et Libertés » dans le cadre de la gestion de leurs cookies.

Pas de consentement, pas de cookies
Google a eu une amende de 90 millions d’euros, Facebook de 60 millions d’euros, TikTok de 5 millions d’euros, Apple de 8 millions d’euros, Microsoft de 60 millions d’euros et Voodoo de 3 millions d’euros. Il ressort de toutes ces décisions deux principaux manquements récurrents que tout éditeur de site Internet ou d’application mobile devrait appréhender afin de les éviter.
Comme le rappelle la Cnil dans l’ensemble de ces décisions, « tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 1° de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° des moyens dont il dispose pour s’y opposer » (7). Se faisant, ces accès ou inscriptions – via l’utilisation de traceurs – ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement. Par exception à ce qui précède, il est prévu deux cas spécifiques dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque ceux-ci ont pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit lorsqu’ils sont strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur (8). Ainsi, afin de déterminer si l’utilisation de cookies nécessite le recueil préalable du consentement de l’abonné ou de l’utilisateur, l’éditeur du site en ligne ou de l’application mobile doit déterminer si l’ensemble des finalités associées à ces cookies sont exemptées ou non de consentement. Comme le souligne expressément la Cnil dans ses décisions à l’encontre de respectivement Apple et de Microsoft, à l’appui de ses lignes directrices du 17 septembre 2020 (9), l’utilisation d’un même traceur pour plusieurs finalités, dont certaines n’entrent pas dans le cadre de ces exemptions, nécessite de recueillir préalablement le consentement des personnes concernées. Sans consentement, l’éditeur du service en ligne devra alors s’abstenir d’utiliser ce cookie pour la finalité non exemptée de consentement.
En effet, en considérant que les éventuelles différentes finalités fonctionnelles et non fonctionnelles d’un même cookie sont indissociables les unes des autres, l’utilisation de cette catégorie de traceurs reviendrait alors à détourner les dispositions de la loi « Informatique et Libertés » puisque le consentement de l’utilisateur ne serait plus jamais sollicité préalablement au dépôt de cookies. Par extension à ce qui précède et comme le remarque la Cnil dans sa décision à l’encontre de la société Voodoo, le refus exprès d’un utilisateur à l’utilisation de cookies pour des finalités non exemptées de consentement se doit d’être respecté par l’éditeur du service concerné, à défaut de quoi ce dernier prive d’effectivité le choix exprimé par l’utilisateur.

Aussi facile d’accepter que de refuser
Depuis l’entrée en application du RGPD, le « consentement » prévu à l’article 82 de la loi « Informatique et Libertés » précité doit s’entendre au sens du règlement général européen sur la protection des données (RGPD), c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque, et se manifester par un acte positif clair. Dans ses décisions prononcées à l’encontre des sociétés Google, Facebook, TikTok et Microsoft, la Cnil rappelle que le considérant 42 du RGPD : « Le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ». La Cnil précise par ailleurs que, comme mentionné dans ses lignes directrices et ses recommandations (10) datées du même jour, et confirmées par un arrêt du Conseil d’Etat du 19 juin 2020 (11), il doit être aussi aisé de refuser ou retirer son consentement aux traceurs que de le donner.

Inventivité des éditeurs et « dark pattern »
Le caractère « libre » du consentement implique en effet un choix et un contrôle réel pour les personnes concernées (12). Or, dès lors qu’un éditeur rend le refus d’utilisation de cookies non fonctionnels plus complexe que son acceptation, celui-ci incite l’internaute qui souhaite pouvoir visualiser le site Internet ou utiliser l’application rapidement, à accepter ces cookies en le décourageant à les refuser – viciant ainsi son consentement qui n’est plus libre. Les modalités proposées à l’utilisateur pour manifester son choix ne doivent donc pas être biaisées en faveur du consentement, comme l’indique la Cnil dans sa décision à l’encontre de Microsoft.
Par ailleurs, si le refus de l’utilisateur de consentir aux cookies peut potentiellement se déduire de son silence, c’est à la stricte condition que l’utilisateur en soit pleinement informé, et que l’équilibre entre les modalités d’acceptation et de refus soit respecté. Ainsi, si l’utilisation d’un bouton « tout accepter » est commune sur les bandeaux cookies, cette modalité de recueil du consentement de l’utilisateur ne sera licite que si l’utilisateur dispose d’un bouton « tout refuser » présent au même niveau et sur le même format, afin de ne pas altérer la liberté de son choix. La pratique encore commune des éditeurs de sites web ou d’applications mobiles d’opposer un bouton « tout accepter » à un bouton « paramétrer » ou « personnaliser » (ou équivalent), n’est donc pas licite et constitue un « dark pattern », comme l’indique la Cnil dans ses décisions à l’encontre des sociétés Facebook et Google.
A propos de ces « dark pattern », la délégation de la Cnil – qui a effectué un contrôle en ligne sur le site web « facebook.com » – mentionne d’ailleurs une étude universitaire de 2020 intitulée « Les “dark patterns” au temps du RGPD : récupération des fenêtres de consentement et démonstration de leur influence » (13). Les chercheurs – provenant notamment des universités de Cambridge et du MIT – ont démontré que 93,1 % du panel des internautes confrontés à des bandeaux cookies s’arrêtent au premier niveau et que seule une faible minorité d’entre eux vont au second niveau pour personnaliser ou refuser. Cette étude démontrait également que le fait de reléguer le bouton du refus au second niveau augmentait en moyenne de 23,1 points de pourcentage le taux de consentement aux cookies. Enfin, pour que le consentement de l’internaute soit libre, l’éditeur du site ou de l’application doit également veiller à ce que l’information relative à ses cookies et transmise à l’internaute – avant le recueil de son éventuel consentement – soit complète, visible et mise en évidence. Cette information doit en particulier porter sur les finalités poursuivies par les opérations de dépôt et de lecture des cookies, et sur les moyens dont l’utilisateur dispose pour s’y opposer. Une description générale et approximative des finalités de l’ensemble cookies non fonctionnels déposés, par l’utilisation de termes généraux tels que « améliorer votre expérience sur nos sites web » et « à des fins d’analyse et de marketing », est imprécise et constitue un manquement à la loi « Informatique et Libertés » (14), comme le mentionne la Cnil dans sa décision à l’encontre de TikTok.
Il résulte ainsi de ces six décisions, rendues par la Cnil sur les seuls mois de décembre 2021 et 2022, des rappels de règles bien établies ou en phase de l’être depuis l’entrée en vigueur du RGPD (15) – à savoir depuis le 25 mai 2018. Si ces règles sont claires, leur application n’est toutefois pas toujours l’objectif des éditeurs de sites et d’applications qui font preuve d’inventivité pour limiter la chute du taux de consentement de leur utilisateurs ou abonnés (16) à l’utilisation de cookies non fonctionnels, comme le démontre le Comité européen de la protection des données (CEPD) dans son rapport « Cookie Banner » publié le 18 janvier 2023 (17). Ces éditeurs considèrent en effet que leur intérêt à utiliser des cookies non fonctionnels, en particulier à des fins de publicités ciblées ou analytiques, prévaut sur le respect du consentement de leurs utilisateurs ou abonnés, et par extension acceptent le risque de sanctions administratives et d’actions judiciaires qui en résulte.

Sanctions plus rapides et solutions alternatives
Les modifications de la loi « Informatique et Libertés » et de son décret d’application, intervenues le 24 janvier puis le 8 avril 2022, ont pour ambition de permettre une plus grande souplesse dans le recours aux mises en demeure ou aux sanctions. Si la réforme des procédures correctrices de la Cnil (18) – permettant à celle-ci de prononcer des sanctions plus rapidement – ne sera probablement pas suffisante pour convaincre toutes les entreprises et organisations de changer leurs pratiques, le développement de solutions alternatives aux cookies non exemptés de consentement pourrait l’être. @

* Vanessa Bouchara, avocate et spécialiste en droit
de la propriété intellectuelle, a fondé
le cabinet Bouchara Avocats (www.cabinetbouchara.com).

Google Analytics, outil de mesure d’audience le plus utilisé au monde : toujours illégal en Europe ?

Publié le par

Il y a un an, la Cnil mettait en demeure une première société française éditrice d’un site web utilisant Google Analytics, jugé incompatible avec le RGPD quant au transfert des données vers les Etats-Unis. Deux autres sociétés ont été aussi épinglées sur les 101 plaintes de l’association Noyb.

Il y a plus de trois mois, Russell Ketchum (photo de gauche), directeur de Google Analytics, confirmait qu’Universal Analytics sera remplacé 1er juillet 2023 par la version 4 de Google Analytics (GA4), tandis qu’« Universal Analytics 360 » sera, lui, finalement prolongé jusqu’au 1er juillet 2024 (1), soit au-delà du 1er octobre 2023 initialement prévu (2). Quésaco ? Universal Analytics est la version basique et gratuite de l’outil de mesure d’audience le plus utilisé au monde par des sites web et des applications mobiles.

Le transfert des données vers les USA
Google Analytics détient en effet 86,1 % de parts de marché au 7 février 2023 en étant utilisé par 56,5 % de tous les sites web, selon W3Techs, suivi par Facebook Pixel et de bien d’autres analyseurs de trafic (3). « Universal Analytics 360 » est, elle, la version premium payante de Google Analytics destinée principalement aux grandes entreprises. Edition Multimédi@ a demandé à Google si GA4 répondait aux préoccupations des Européens sur la protection de leur vie privée, conformément au règlement général sur la protection des données (RGPD), et notamment aux mises en demeure prononcées par la Cnil en décembre 2021 et en décembre 2022 ? « Nous avons en effet récemment introduit de nouvelles fonctionnalités pour Google Analytics 4 qui permettent par exemple aux sites web de ne pas enregistrer ni stocker les adresses IP via GA4, ou encore de minimiser les données collectées concernant l’utilisateur, ce qui peut ainsi aider à répondre aux préoccupations d’identification des utilisateurs. Cependant, le véritable problème au cœur de tout cela reste les transferts de données entre l’Union européenne et les Etats-Unis qui manquent d’un cadre juridique stable pour les entreprises européennes et américaines », nous a répondu le géant du Net. Et d’ajouter : « Nous considérons que l’Executive Order récent[d’octobre 2022, ndlr] de la Maison Blanche est une étape importante dans ce travail » (4). De quoi rassurer les éditeurs de sites web et d’applis mobiles utilisant Google Analytics et les « Cnil » en Europe qui les surveillent voire les sanctionnent ? Rien n’est moins sûr. Il y a un an en France, le 10 février 2022, la Cnil mettait en demeure la toute première société pour non-respect du RGPD pour l’utilisation de Google Analytics pour mesurer son audience web (5). La Cnil considère implicitement que Google Analytics est ni plus ni moins illégal au regard du RGPD pour deux motifs principaux : les mesures mises en place par Google ne sont pas suffisantes pour exclure la possibilité d’un accès aux données de résidents européens ; les données des internautes européens sont donc transférées illégalement vers les Etats-Unis par le biais de ce même outil. Cette première décision de la Cnil a été publiée il y a un an, mais de façon anonymisée, pour l’exemple (6). Mais il s’agit de l’une des trois sociétés françaises utilisant Google Analytics contre lesquelles l’organisation autrichienne Noyb dirigée par Max Schrems (photo de droite) avait déposé plaintes – parmi un total de 101 plaintes (7) déposées en août 2020 – auprès des « Cnil » européennes, dénonçant des transferts illégaux de données à caractère personnel vers les Etats-Unis.
La Cnil en France avait ainsi été destinataire de trois plaintes à l’encontre de respectivement Decathlon, Auchan et Sephora. Parallèlement, concernant cette fois l’outil Facebook Connect, la Cnil était aussi saisie de trois autres plaintes à l’encontre de Free Mobile, Leroy Merlin et Le Huffington Post. Après sa première décision concernant Google Analytics, la Cnil mettra également en demeure les deux autres sites web mis en cause (parmi Decathlon, Auchan et Sephora). Ce dont se félicitera à nouveau la Noyb le 5 avril 2022 dans un communiqué où sont mises en ligne les deux autres décisions de la Cnil, là aussi anonymisées (8). Ces trois sociétés disposaient d’un délai d’un mois – renouvelable à leur demande – pour se mettre en conformité et justifier cette conformité auprès de la Cnil.
Mais la Cnil n’a pas été la première à épingler les éditeurs de services en ligne qui utilisent Google Analytics. Son homologue autrichienne – la Datenschutzbehörde (DSB) – avait ouvert la voie deux semaines avant dans une décision inédite datée du 22 décembre 2021 et considérée comme « révolutionnaire » par la Noyb (9).

L’Italie, la Grèce mais pas l’Espagne
Ce fut la première fois en Europe que l’utilisation de Google Analytics est considérée comme une violation du RGPD. D’autres décisions ont été prises par d’autres autorités en Europe – la Grèce par décision de l’APD de janvier 2022 (10) et l’Italie par décision de la GPDP de juin 2022 (11) – à l’encontre de l’utilisation de « GA ». En revanche, la « Cnil » espagnole – l’AEDP – n’a pas suivi ni ses homologues européennes ni la CEPD en publiant le 15 décembre 2022 une décision rejetant la plainte de Noyb (12). Ces premières décisions sur les 101 plaintes déposées par Noyb faisaient suite à la décision de 2020 dite « Schrems II » de la Cour de justice de l’Union européenne (CJUE) estiment que l’utilisation des services Internet américains violait le RGPD, car les lois de surveillance américaines exigent que les Google, Facebook et autres Twitter fournissent aux autorités américaines des détails personnels sur leurs utilisateurs, mêmes Européens.

Le spectre de la loi américaine FISA
Par exemple, la loi américaine FISA – Foreign Intelligence Surveillance Act – autorise expressément la NSA – National Security Agency – à collecter les données personnelles des utilisateurs situés hors des Etats-Unis si ces data sont stockées sur des serveurs américains. Autre texte américain, présidentiel celui-ci : l’OE – Executive Order – numéro 12.333 qui renforce les services de renseignement aux Etats-Unis depuis Ronald Reagan et George W. Bush. C’est pour ces raisons que la CJUE avait annulé en 2020 l’accord de transfert « Privacy Shield » (décision « Schrems II » de 2020), après avoir annulé l’accord précédent « Safe Harbor » (décision « Schrems I » de 2015). Cela provoqua une onde de choc pour les GAFAM qui les secouent encore aujourd’hui (13). « Nous nous attendons à ce que des décisions similaires tombent progressivement dans la plupart des Etats membres de l’UE. Nous avons déposé 101 plaintes dans presque tous les Etats membres et les autorités [les « Cnil » européennes, ndlr] ont coordonné la réponse », s’était félicité Max Schrems. Il est prêt à attaquer à nouveau devant la CJUE la nouvelle décision sur le transfert des données « UE-USA » (14) publiée par la Commission européenne le 13 décembre dernier (15). Dans la foulée de la décision de la DSB en Autriche, le Contrôleur européen de la protection des données (CEPD) – regroupant les « Cnil » européennes – avait également rendue une semaine avant une décision commune similaire (16). S’il devait y avoir sanction, le RGPD prévoit qu’elle peut aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial de l’entreprise du Net.
C’est justement parce que Google Analytics est largement utilisé par une écrasante majorité d’éditeurs de services en ligne que la Cnil avait décidé d’anonymiser ses trois décisions. « Il ne paraissait pas utile de citer le nom d’un éditeur de site en particulier, l’usage de cet outil étant très répandu. L’objectif est que l’ensemble des responsables de traitement utilisant cet outil se mette en conformité », justifiait ainsi le gendarme des données personnelles. Il avait d’ailleurs mis en garde tous les éditeurs concernés : « Tous les responsables de traitement utilisant Google Analytics d’une façon similaire à ces organismes doivent considérer dès à présent cette utilisation comme illégale au regard du RGPD. Ils doivent donc se tourner vers un prestataire proposant des garanties suffisantes de conformité ». D’après la Cnil, les trois sociétés mises en demeure avaient établi avec Google des clauses contractuelles types, proposées par défaut. Or ces dernières ne peuvent assurer seules un niveau de protection suffisant en cas de demande d’accès d’autorités étrangères, notamment si cet accès est prévu par des lois locales. En réponse au questionnaire envoyé par la Cnil, Google a indiqué que l’ensemble des données collectées par le biais de Google Analytics était hébergé aux Etats-Unis. Néanmoins, avait mentionné le gendarme français des données personnelles le 7 juin 2022, « Google avait indiqué avoir mis en place des mesures supplémentaires d’ordre juridique, organisationnel et technique, qui ont cependant été jugées insuffisantes pour assurer la protection effective des données personnelles transférées, en particulier contre des demandes d’accès aux données par des services de renseignement états-uniens » (17).
La Cnil avait en outre fait savoir que Google avait indiqué utiliser des mesures de pseudonymisation (18), mais non d’anonymisation (19). « Google propose bien une fonction d’anonymisation des adresses IP, a constaté la Cnil, mais celle-ci n’est pas applicable à tous les transferts. En outre, les éléments fournis par Google ne permettent pas de déterminer si cette anonymisation a lieu avant le transfert aux Etats-Unis ». Autre problème que pose Google Analytics : la réidentification de l’internaute. En effet, la seule utilisation d’identifiants uniques permettant de différencier les individus peut amener à rendre les données identifiables, en particulier lorsqu’elles sont associées à d’autres informations telles que les métadonnées relatives au navigateur et au système d’exploitation.

Data et navigation : le risque de suivi demeure
De plus, l’utilisation de Google Analytics avec d’autres services de Google, notamment marketing, peut amplifier le risque de suivi. « En effet, explique la Cnil, ces services, très utilisés en France, peuvent permettre un recoupement de l’adresse IP et ainsi de retracer l’historique de navigation de la majorité des internautes sur un grand nombre de sites ». Quant au chiffrement de données par Google, il s’est avéré insuffisant car Google procède lui-même au chiffrement des données et a l’obligation d’accorder l’accès ou de fournir les données importées qui sont en sa possession, y compris les clés de chiffrement nécessaires pour les décrypter. @

Charles de Laubier