Google Analytics 4 et RGPD : comment vous mettre en conformité ?

Alors que Google organise la migration de son outil actuel Universal Analytics vers la nouvelle version « Google Analytics 4 », Google doit faire face depuis février dernier à la décision de la CNIL qui considère les transferts de données vers les Etats-Unis opérés avec cet outil comme illégaux. 

La migration de vos données vers Google Analytics 4

L’heure est à l’organisation de la migration vers Google Analytics 4 pour les utilisateurs d’Universal Analytics. Ce sujet est d’autant plus d’actualité que ces derniers disposent d’un délai allant jusqu’au 1er juillet 2023 pour la version gratuite de l’outil et jusqu’au 1er octobre pour la version payante, pour migrer leurs données au sein de la nouvelle version. Passée cette date, la version actuelle de Google Analytics ne sera plus maintenue. Universal Analytics cessera de fonctionner et ne récoltera plus de données.

Si cette information est importante en soi et mérite d’être portée à la connaissance des dirigeants d’entreprise, l’information stratégique qui en découle et que doivent connaître les services marketing, commerciaux et/ou les agences travaillant pour leur compte est qu’aucune reprise automatique de données ne sera opérée.

Autrement dit, une fois la migration opérée, plus de possibilité pour l’utilisateur de récupérer la « propriété » configurée dans son compte Universal Analytics, à partir de laquelle étaient collectées les données (données démographiques, de localisation géographique, relatives au type d’appareil utilisé, aux centres d’intérêt de l’internaute …). Il ne sera plus possible d’accéder aux statistiques de performances antérieures de son site (nombre d’utilisateurs, nombre de sessions, nombre de pages vues et durée), ou même de conserver les taux de rebond ou de conversion qui auraient pu être calculés grâce aux indicateurs, aux KPI et aux Insights précédemment paramétrés dans Universal Analytics…

Universal Analytics et Google Analytics 4 : quelles différences entre ces deux outils ?

Le modèle de données entre les deux versions est fondamentalement différent et nécessite un travail de réécriture préalable à la migration. Contrairement à Universal Analytics, qui possède un modèle de données descendant focalisé sur les sessions, Google Analytics 4 se concentre sur les évènements et chaque « appel » déclenche un évènement.

Il convient donc que les entreprises s’organisent très en amont afin d’arrêter en interne leur process de migration. Sans vouloir à tout prix transférer dans Google Analytics 4 la structure des évènements existants, il convient qu’elles définissent un process permettant de récupérer un maximum de données ou à tout le moins d’en perdre le moins possible ainsi que qu’elles repensent complètement leurs modalités de collecte de données.

Prévoir dès aujourd’hui la migration vers Google Analytics 4 leur permettra en outre de disposer de suffisamment de données en historique pour optimiser au mieux les services proposés par l’outil dans sa nouvelle version.

Google Analytics 4 met en avant une amélioration de son degré de conformité aux enjeux de confidentialité des utilisateurs. Toutefois et même si Google Analytics 4 se veut plus « RGPD friendly », la question de la légalité de cette nouvelle version quant à sa conformité au RGPD demeure entière.

Pourquoi la CNIL a interdit l'utilisation d'Universal Analytics ?

Pour rappel, aux termes d’une décision « Google Analytics » du 10 février 2022, la CNIL a estimé que :

• les mesures mises en place par Google ne sont pas suffisantes pour exclure la possibilité d’un accès aux données de résidents européens ;
• les données d’internautes européens (adresses IP, empreinte du navigateur ou toutes autres données identifiantes des internautes) collectées par Google sont transférées illégalement vers les Etats-Unis par le biais de cet outil.

Cette décision a pris au dépourvu bon nombre d’utilisateurs de cette solution. Certains éditeurs de sites internet ont alors tenté de s’adapter, certains en modifiant les paramétrages de la collecte des adresses IP.

Mais la CNIL dans une décision du 7 juin 2022 a considéré que le seul fait de modifier les paramétrages d’un site web n’apporte pas de réelle solution au problème dans la mesure où l’adresse IP des internautes est toujours transférée aux Etats-Unis et est continuellement traitée, de sorte que le risque de réidentification persiste.

Dans cette même décision la CNIL, propose des solutions techniques permettant de pallier les carences de cette solution et n’hésite pas à mettre en avant des solutions européennes conformes.

La Commission Européenne et les Etats-Unis œuvrent de concert, dans le cadre d’un « accord politique de principe » en date du 25 mars 2022, afin de trouver un accord qui aboutirait à une décision d’adéquation de la Commission Européenne en faveur des Etats-Unis.

Le 7 octobre dernier, un décret exécutif a été signé par le Président des Etats-Unis. Pourtant, ce décret ne permet pas à lui seul de rendre licite les transferts vers les Etats-Unis. En effet, de nombreuses étapes sont encore nécessaires avant d’aboutir à une décision d’adéquation de la Commission européenne.

En conclusion

Les entreprises doivent s’emparer de la situation au plus vite afin d’anticiper l’arrêt de la maintenance d’Universal Analytics tout en gardant à l’esprit les décisions rendues par la CNIL et la fragilité à date de la conformité de Google Analytics 4. 

En tout état de cause, la conformité tant de la structure que des outils utilisés par l’entreprise est primordiale. 

Il lui incombe dès lors de veiller :

• à la conformité de son site internet qui représente sa vitrine,
• à la conformité des outils utilisés pour le traitement des données personnelles par elle et ses sous-traitants en prévoyant les clauses type imposées par l’article 28 du RGPD,
• à se doter de CGU/CGV intégrant une clause relative aux données personnelles,
• plus généralement à sa compliance globale (RGPD et autres).

Catherine Chabert, avocat of counsel - Natacha Bialek Djeghdali, avocat sénior