Actualité juridique - Administrations et collectivités territoriales - Cybersécurité

La Cnil renforce sa position contre les transferts de données vers les États-Unis : le cas de Google Analytics

12 avril 2022•Albane Girollet, Marine Adreit et Antoine Hochenedel•4 min•

La Cnil a publié, jeudi 10 février 2022, un article[1], [2], annonçant la mise en demeure d’un gestionnaire de site web français vis-à-vis de l’utilisation de la solution Google Analytics du géant américain pour cause de transfert hors UE. Le 25 mars 2022, Joe Biden et Ursula von der Leyen ont annoncé un accord de principe sur ce sujet. Dans l’attente de la publication d’un texte à propos du transfert des données entre l’UE et les USA, vous trouverez ci-dessous quelques informations pour comprendre la situation et conseiller vos clients pour accompagner leur mise en conformité.

Google Analytics est un outil de mesure d’audience de site web et un des leaders dans le domaine avec plus de 80% des parts de marché dans le monde.

Pour fonctionner, l’outil envoie certaines données à caractère personnel (DCP) vers les serveurs de Google localisés aux Etats-Unis :

Transfert de données

Jusqu’en 2020, ce transfert était encadré par le EU-US Privacy Shield qui autorisait les échanges de DCP entre les deux continents. Or, le 16 juillet 2020, la cour de justice de l’Union Européenne (CJUE) a mis fin à cet accord avec l’arrêt Schrems II, jugeant qu’il ne fournissait pas de protection suffisante vis-à-vis de la réglementation européenne de protection des données (RGPD).

Depuis, Google a mis en place des clauses contractuelles types (CCT) avec ses clients pour :

Garantir un niveau de protection suffisant des données
Légaliser le transfert des DCP aux Etats-Unis
Permettre l’utilisation de son service par ses clients

Note : les CCT sont des modèles de contrats de transfert de données personnelles adoptés par la Commission européenne pour transférer des données vers un pays t