Selon la dernière édition de la newsletter GDPRtoday de noyb, l'autorité hongroise de protection des données pourrait bientôt rejoindre les autorités autrichiennes, françaises et italiennes de protection des données dans leur décision contre l'utilisation de Google Analytics.
Un avertissement s'impose ici : la décision n'a pas encore été publiée et Noyb est une ONG de protection de la vie privée directement impliquée dans l'affaire. Nous considérons que l'information est fiable car nous pensons que Noyb n'a aucun intérêt plausible à diffuser des informations inexactes sur l'issue de l'une de ses affaires, mais une certaine discrétion est conseillée.
L'affaire
L'affaire est l'une des 101 plaintes déposées par noyb. D'après le résumé disponible sur le gpdrhub (également un projet de noyb), la décision ressemblera beaucoup à celles des trois autres autorités chargées de la protection des données.
Un site web hongrois de prévisions météorologiques utilisait Google Analytics, qui nécessite des transferts de données à caractère personnel entre Google Ireland Ltd. et Google LLC, basé aux États-Unis. Une personne concernée, représentée par noyb, s'est plainte que les transferts de ses données personnelles ne comportaient pas de garanties efficaces contre la surveillance américaine et qu'ils étaient donc illégaux. L'autorité hongroise de protection des données (NAIH) aurait fait droit à cette plainte et ordonné au site web de cesser d'utiliser Google Analytics.
Bien que les décisions des autorités autrichiennes, françaises et italiennes s'adressent à des contrôleurs individuels, elles créent un précédent qui équivaut pratiquement à une interdiction à l'échelle de l'État. En effet, les responsables de traitement qui utilisent Google Analytics ne sont pas en mesure de mettre en œuvre des mesures de protection adéquates (pour en savoir plus, cliquez ici). Il y a de bonnes raisons de penser qu'il en sera de même pour la Hongrie, car les autorités chargées de la protection des données suivent une approche coordonnée pour statuer sur les 101 plaintes. Si les informations sont exactes, l'utilisation de Google Analytics pourrait donc bientôt être illégale en Hongrie en vertu du GDPR.
Comme pour les précédentes DPA interdisant l'utilisation de Google Analytis, nous avons constaté une certaine confusion quant à savoir si cette interdiction s'applique à la version actuelle de Google Analytics (universal analytics) ou également à la nouvelle version (Google Analytics 4). La réponse courte est que les déclarations s'appliquent aux deux versions. Nous avons écrit plus longuement sur ce sujet dans ce blog.
Vue d'ensemble
Les transferts de données aux États-Unis constituent depuis un certain temps un casse-tête juridique pour les entreprises. Les problèmes découlent des implications de l'affaire Schrems II de 2020. En bref, la Cour a estimé que les transferts de données vers les États-Unis exposaient les données européennes à la surveillance américaine et a jugé que ces transferts étaient illégaux à moins que les responsables du traitement ne mettent en œuvre des garanties efficaces pour protéger les données. Malheureusement, cela s'avère difficile, voire impossible dans de nombreux cas.
Peu après Schrems II, noyb a déposé 101 plaintes contre Google Analytics et Facebook Connect. Toutes les plaintes portent sur les transferts de données et visent à inciter les autorités chargées de la protection des données à appliquer plus strictement l'arrêt Schrems II.
Les autorités de protection des données ont coordonné leur approche des plaintes au niveau européen. En conséquence, trois autorités de protection des données (l'ORD autrichien, la CNIL française et le GPDP italien) se sont prononcées contre l'utilisation de Google Analytics jusqu'à présent. Le Danish Datatilsynet a également suivi l'exemple en déclarant pratiquement illégale l'utilisation de GA dans un communiqué de presse. Si les dernières nouvelles sont exactes, la NAIH hongroise sera la quatrième autorité de protection des données à interdire pratiquement l'utilisation de Google Analytics dans son État membre (ou la cinquième, si l'on compte le Datatilsynet).
Vous voulez rester informé ? Abonnez-vous à theprivacynewsletter.com pour recevoir les dernières nouvelles. Vous cherchez une alternative à Google Analytcs qui soit conforme à la législation européenne ? Contrairement à Google, nous croyons en la création d'un web indépendant et convivial pour les visiteurs des sites web. Si cette idée vous parle, n'hésitez pas à nous contacter.