#ParoledExpert
La CNIL a récemment mis en demeure des entreprises contre une utilisation de Google Analytics contraire au RGPD. Changer d’outil de web analyse est un projet à ne pas prendre à la légère dont les impacts sont nombreux. Même si une interdiction ferme de la solution de Google est peu probable, il est nécessaire pour tous de disposer d’un plan de secours en cas d’un nouveau tour de vis des autorités de protection des données et de subir une désagréable surprise stratégique.
Les autorités de protection européennes poussent à une application plus stricte de la réglementation suite à la fin du Privacy Shield. Déclarer Google Analytics (l’outil leader en web analyse) non conforme au RGPD, c’est contraindre un bon nombre de site et d’application à changer d’outil. L’attentisme est la pire des réactions à avoir car une migration d’outil de web analyse est un projet à fort enjeux et impacts.
Guillaume Auzolle, consultant senior chez Colombus Consulting.
Une levée de bouclier européenne contre Google Analytics
Emboîtant le pas de l’autorité de protection des données autrichienne, le 10 février dernier la CNIL a mis en demeure un site utilisant Google Analytics.
Depuis l’arrêt Schrems II du 16 juillet 2020 et par conséquent l’invalidation du Privacy Shield (qui rendait conforme au RGPD les transferts de données depuis l’Europe vers les États-Unis), l’utilisation de Google Analytics ne répond pas aux standards de confidentialité et de protection des données européens.
Utiliser Google Analytics pour son site ou son application, c’est contribuer à transférer des données utilisateurs aux États-Unis où le RGPD n’est pas appliqué. Ces données pourraient être utilisées pour des usages détournés par des services de renseignement par exemple.
Avoir recours à cet outil constitue donc une prise de risque juridique (amende CNIL). Mais également une atteinte à l’image de votre organisation (mise en demeure, communication publique sur les sanctions).
Des sanctions contre l’utilisation de l’outil leader du marché
Une mise en demeure concernant l’utilisation de Google Analytics est loin d’être anodine. C’est l’outil de web analyse le plus répandu du marché. C’est la norme pour mesurer les performances de vos sites web, vos applications, vos campagnes publicitaires. Mettre en demeure des entreprises pour l’utilisation de Google Analytics reviendrait à bannir du jour au lendemain l’utilisation du stylo bille.
Cette décision est d’autant plus surprenante que la CNIL avait auparavant donné des recommandations pour Google Analytics, notamment sur la durée de vie des cookies déposés.
Cet arbitrage est à relier aux récentes prises de parole de Meta qui menaçait de couper Facebook et Instagram en Europe, la décision de la Datenschutzbehörde (l’autorité autrichienne de protection des données) jugeant elle aussi que l’utilisation de Google Analytics non conforme au RGPD en janvier dernier ou encore l’APD (l’Autorité de Protection des Données équivalent de la CNIL en Belgique) qui juge l’IAB TCF (norme de collecte du consentement publicitaire très répandue) non respectueux également du RGPD.
Le début de l’année 2022 en Europe est marqué par un durcissement des contrôles et des sanctions notamment consécutives à la fin du Privacy Shield et à l’application du RGPD.
Quels impacts pour un changement d’outil ?
Bien sûr, Google Analytics ne constitue pas l’alpha et l’oméga de la web analyse. D’autres fournisseurs existent on peut citer de façon non exhaustive Abla, Adobe, AT Internet (Piano Analytics), Content Square, Eurelian, Matomo, ou encore Wizaly.
Changer d’outil n’est pas neutre pour l’exploitation des données. On peut identifier plusieurs impacts à un éventuel changement.
D’une part, sur le périmètre fonctionnel de votre tracking analytics. Vos indicateurs de suivi vont changer.
Ainsi, si les outils de web analyse mesurent fondamentalement les mêmes choses, ils ne le mesurent pas de la même manière. Impossible donc de comparer vos indicateurs entre deux outils sur une même base. Changer d’outil implique également de perdre l’historique des données collectées précédemment. Pour des raisons techniques, l’analyse sera donc brouillée un certain temps.
La bonne pratique consiste à utiliser de façon temporaire Google Analytics et sa solution remplaçante pour disposer d’une base de comparaison concernant la mesure des indicateurs. Certaines des fonctionnalités de Google Analytics ne sont pas disponibles sur les autres outils d’analytics. A savoir l’exportation des segments utilisateurs vers Google Ads ou encore l’analyse des centres d’intérêt des audiences. La migration vers un outil peut cependant se révéler positive, en cas d’une solution disposant de l’exemption CNIL vous pourrez (selon certaines conditions) vous affranchir du consentement utilisateur pour collecter des données à des fins de mesure d’audience.
Deuxièmement, l’impact pourra également se révéler financier.
Google Analytics est majoritairement utilisé dans sa version gratuite. Ce n’est pas le cas de l’ensemble des fournisseurs de solutions de web analyse. Changer d’outil, c’est éventuellement investir dans une licence mais également supporter d’autres coûts induits : création de plan de marquage, développement, tests, formation des équipes, modification des tableaux de bord. C’est toutes les activités autour de l’exploitation des données issues de Google Analytics qui sont impactées.
Enfin, le dernier impact est celui de la montée en compétence au sein de votre organisation.
Google Analytics étant un outil très répandu, les compétences et les ressources en ligne sont très courantes et faciles à obtenir. Ce n’est pas (encore) le cas des autres outils dont les compétences et informations sont plus rares et plus complexes à obtenir. Ainsi si vous souhaitez changer de solution de web analyse pensez à bien identifier les profils et prestataires vous accompagnant dans ce projet.
Préparer le changement et la seule option qui est entre vos mains
Le nœud gordien de l’interdiction de Google Analytics repose dans le transfert des données vers les États-Unis et la révocation du Privacy Shield. Pour résoudre cette situation, on peut également espérer que Google propose un stockage exclusivement européen par une branche exclusivement européenne du groupe Alphabet (pour rappel toutes les entreprises américaines tombent sous le coup du Patriot Act) ou encore espérer une nouvelle mouture du Privacy Shield. Ces hypothèses ne dépendant pas de vous ou de votre calendrier. Il est plus prudent de préparer le monde d’après Google Analytics. Ce plan de migration vous permettra d’éviter d’avoir à prendre des décisions dans l’urgence et la panique d’une sanction CNIL.
Par ailleurs, en anticipation d’un durcissement des contrôles de la CNIL et des mises en demeure en cascade sur le transfert des données vers les USA, il peut être intéressant de cartographier l’ensemble des outils Google utilisés (Google Tag Manager) pour préparer leur remplacement (avec des outils comme Tealium ou Tag Commander par exemple).
