Suite \u00e0 l\u2019invalidation du Privacy Shield par la CJUE le 16\/07\/2020 et gr\u00e2ce \u00e0 l\u2019association NOYB et son fondateur\u00a0Max Schrems, la CNIL a mis en demeure plusieurs organismes de se mettre en conformit\u00e9 concernant l\u2019utilisation de Google Analytics en raison du transfert de donn\u00e9es vers les \u00c9tats-Unis contraire au RGPD.<\/p>\n
<\/p>\n
<\/p>\n
A cause de Google qui ne pouvait ignorer l’ill\u00e9galit\u00e9 de Google Analytics et de son refus d’h\u00e9berger et traiter les donn\u00e9es sur le territoire europ\u00e9en pour des raisons soit \u00e9conomiques soit obscures, les organismes mis en demeure disposent d\u2019un d\u00e9lai d\u2019un mois pour se mettre en conformit\u00e9 et justifier cette conformit\u00e9 aupr\u00e8s de la CNIL. Ils doivent donc se tourner vers un prestataire proposant des garanties suffisantes de conformit\u00e9.<\/p>\n
Google avait cru pouvoir \u00e0 nouveau contourner l’interdiction de transfert des donn\u00e9es aux US par des mesures de pseudonymisation et non d\u2019anonymisation.\u00a0La pseudonymisation<\/strong> est un traitement de donn\u00e9es personnelles r\u00e9alis\u00e9 de mani\u00e8re \u00e0 ce qu’on ne puisse plus attribuer les donn\u00e9es relatives \u00e0 une personne physique sans information suppl\u00e9mentaire. En pratique, la pseudonymisation consiste \u00e0 remplacer les donn\u00e9es directement identifiantes (nom, pr\u00e9nom, etc.) d\u2019un jeu de donn\u00e9es par des donn\u00e9es indirectement identifiantes (alias, num\u00e9ro s\u00e9quentiel, etc.).\u00a0L\u2019anonymisation<\/strong> consiste \u00e0 utiliser un ensemble de techniques de mani\u00e8re \u00e0 rendre impossible toute identification de la personne par quelque moyen que ce soit et de mani\u00e8re irr\u00e9versible. Or,\u00a0Google propose une fonction d\u2019anonymisation des adresses IP sans garantir que cette anonymisation a lieu avant le transfert aux US. Par ailleurs, l’utilisation d\u2019identifiants uniques peut permettre de rendre les donn\u00e9es identifiables, en particulier lorsqu\u2019elles sont associ\u00e9es \u00e0 d\u2019autres informations telles que les m\u00e9tadonn\u00e9es relatives au navigateur et au syst\u00e8me d\u2019exploitation.<\/p>\n M\u00eame la\u00a0mise en place de chiffrement<\/strong> de donn\u00e9es par Google s\u2019est av\u00e9r\u00e9e une mesure technique insuffisante car Google proc\u00e8de lui-m\u00eame au chiffrement des donn\u00e9es et a l\u2019obligation d\u2019accorder l\u2019acc\u00e8s au gouvernement US, y compris les cl\u00e9s de chiffrement n\u00e9cessaires pour rendre les donn\u00e9es intelligibles.<\/p>\n La question est alors d’identifier les param\u00e9trages et mesures techniques pouvant permettre de continuer \u00e0 utiliser Google Analytics tout en respectant la vie priv\u00e9e des internautes, ce qui suppose de r\u00e9gler la probl\u00e9matique du contact direct, par le biais d\u2019une connexion HTTPS, entre le terminal de la personne et des serveurs g\u00e9r\u00e9s par Google. Ces\u00a0requ\u00eates permettent aux serveurs de Google d\u2019obtenir l\u2019adresse IP de l\u2019internaute ainsi que de nombreuses informations sur son terminal.\u00a0Seules des solutions permettant de rompre ce contact entre le terminal et le serveur peuvent r\u00e9pondre \u00e0 cette probl\u00e9matique. Une solution possible est celle de l\u2019utilisation d\u2019un serveur mandataire (proxy) pour \u00e9viter tout contact direct entre le terminal de l\u2019internaute et les serveurs de l\u2019outil de mesure (proxyfication<\/strong>). Mais les conditions d\u2019h\u00e9bergement du proxy doivent \u00e9galement \u00eatre ad\u00e9quates et le serveur proxy devra\u00a0donc \u00eatre h\u00e9berg\u00e9 dans des conditions permettant de garantir que les donn\u00e9es qu\u2019il sera amen\u00e9 \u00e0 traiter ne seront pas transf\u00e9r\u00e9es hors de l\u2019UE vers un pays n\u2019assurant pas un niveau de protection \u00e9quivalent.<\/p>\n <\/p>\n La question fondamentale est donc de comprendre pourquoi Google refuse d’h\u00e9berger et de traiter les donn\u00e9es personnelles europ\u00e9ennes en Europe.<\/p>\n <\/p>\n <\/p>\n