Google Analytics envoie toujours des données aux États-Unis

Google Analytics reste l’outil web le plus populaire pour espionner le comportement des internautes.

L’aveu inattendu de Google a clarifié un point : toutes les données recueillies sur un site avec Google Analytics sont envoyées aux États-Unis pour y être traitées. Et ce, systématiquement.

Pourquoi Google l’a-t-il reconnu ?

Tout est parti d’une plainte déposée contre Google par l’association de défense de la vie privée noyb auprès de l’autorité autrichienne de protection des données. Celle-ci a ensuite adressé plus de 20 questions à Google.

Les réponses de Google étaient souvent évasives, désinvoltes et incomplètes. Pourquoi affirmer que les données de Google Analytics sont stockées exclusivement aux États-Unis ? Cela s’explique assez facilement, mais un détour s’impose.

Quel était le contexte juridique ?

Après l’arrêt de la Cour de justice de l’UE sur le Privacy Shield, dit « Schrems II », les États-Unis étaient considérés comme un pays tiers n’offrant pas une protection suffisante. Selon la position exposée ici, un transfert de données personnelles vers les États-Unis nécessite un consentement.

Les échanges avec un site web impliquent des données personnelles : les juridictions ont reconnu que l’adresse réseau de l’utilisateur, son adresse IP, constitue une donnée personnelle.

Les États-Unis étaient considérés comme un pays tiers insuffisamment protecteur, car leur droit permet aux autorités, notamment aux services de renseignement, d’accéder aux données des entreprises américaines. Si une entreprise américaine conserve les données de clients allemands, les autorités américaines peuvent y accéder.

Ces pouvoirs d’accès secret reposent notamment sur la loi FISA et l’Executive Order 12333. Dans sa réponse à l’autorité, Google soutenait que ces deux textes autorisaient uniquement l’accès aux données stockées hors des États-Unis.

Le raisonnement de Google était donc le suivant : puisque toutes les données sont stockées aux États-Unis, FISA et l’Executive Order 12333 ne permettent pas d’y accéder. Elles seraient donc en sécurité chez Google.

Ce raisonnement ne tient pas, mais c’est peut-être le meilleur argument que Google pouvait avancer. La créativité de ses arguments juridiques est sans doute à la hauteur des honoraires de ses avocats. Quoi qu’il en soit, Google a reconnu ce que beaucoup soupçonnaient sans pouvoir le prouver.

Les données sont-elles en sécurité aux États-Unis ?

La vraie question est de savoir si les données que Google Analytics envoie et stocke aux États-Unis y sont effectivement protégées.

Lorsqu’une personne en Europe consulte un site utilisant Google Analytics, les données d’analyse sont produites en Europe. Google les recueille par l’intermédiaire d’un serveur appelé collecteur.

Ce serveur reçoit les données du terminal et se trouve, dans la mesure du possible, près de l’utilisateur. Les données sont ensuite envoyées aux États-Unis.

La collecte des données a donc lieu partout dans le monde. FISA et l’Executive Order 12333 permettent à la NSA, l’agence américaine de renseignement, de pratiquer l’« upstream collection ». Il s’agit notamment d’intercepter les flux d’un câble transatlantique acheminant des données vers les États-Unis.

On pourrait relever, non sans ironie, que cette pratique est en elle-même illicite sans consentement. Les personnes concernées devraient aussi en être informées, ce qui ne semble pas être le cas. Le RGPD leur accorde notamment un droit d’opposition. Une notion qui semble également étrangère à la NSA.

Pourquoi Google Analytics nécessite un consentement

Selon ce raisonnement, la collecte mondiale et les transferts vers les États-Unis suffiraient à imposer un consentement avant même le chargement de Google Analytics.

La configuration standard de Google (Universal) Analytics décrite ici utilise des cookies. Selon l’article 15, paragraphe 3, de la loi allemande sur les télémédias (TMG), leur utilisation nécessite un consentement. Voici pourquoi :

• Google Analytics dépose les cookies et les lit.
• Leur contenu est envoyé aux serveurs de Google.
• Ces cookies ne sont pas techniquement indispensables : Google Analytics peut fonctionner sans eux.
• L’article 5, paragraphe 3, de la directive ePrivacy exige un consentement. Peu importe le contenu des cookies : il ne doit pas nécessairement s’agir de données personnelles.
• Selon l’arrêt du Bundesgerichtshof du 28 mai 2020, affaire I ZR 7/16 (« Planet49 »), le TMG doit être interprété conformément à la directive ePrivacy.

Il pourrait également être impossible de conclure un accord de sous-traitance valide avec Google, notamment en raison de ses sous-traitants répartis dans le monde et du fait que la suppression de données sur demande pourrait prendre deux mois.

Ces éléments suffisent à retenir une obligation générale de consentement pour Google Analytics, même sans cookies.

Expliquer le traitement des données par Google Analytics

Après avoir lu les informations de confidentialité de Google et les conditions contractuelles de Google Analytics, tu risques de ne pas être plus avancé. Les explications sont si complexes, vagues et dispersées entre plusieurs documents qu’il semble presque impossible d’en tirer une information transparente.

Pourtant, l’article 12 du RGPD impose une information transparente et compréhensible sur les traitements réalisés avec Google Analytics.

Conclusion

Obtenir un consentement valide pour Google Analytics paraît difficile. Les fenêtres de cookies ne sont pas seulement agaçantes : dans la pratique, elles sont aussi le plus souvent non conformes aux exigences légales.

À l’inverse, utiliser Google Analytics sans consentement supposerait de renoncer aux cookies. La qualité des données serait alors discutable, car l’outil n’est pas optimisé pour ce fonctionnement.

Des outils comme Trackboxx permettent une analyse d’audience respectueuse de la vie privée. Sans cookies ni recours notable au fingerprinting, il n’est pas nécessaire de demander un consentement. La priorité est la simplicité d’utilisation, ce qui n’est pas vraiment le point fort de Google Analytics. Même après des heures dans son tableau de bord, tu peux encore avoir du mal à tout comprendre.

Je pense aussi que nous devrions privilégier les fournisseurs allemands et cesser au plus vite d’offrir gratuitement nos données à Google.

Si tu as déjà contacté un grand groupe pour une demande d’assistance ou une simple question, tu connais sans doute cette impression de ne pas obtenir de véritable réponse. D’après mon expérience, les fournisseurs locaux sont nettement plus attentifs à leurs clients et ont davantage le sens du service.