Google Analytics illégal en Europe : Analysez l’audience de votre site, tout en respectant le RGPD

Cet article est une réédition de notre article publié initialement le 16 juin 2021, à la suite de la décision du 22 décembre 2021 de l’autorité de contrôle autrichienne (DSB), jugeant illégale l’utilisation de Google Analytics dans l’Union Européenne.

Mesurer l’audience d’un site web est une préoccupation majeure pour les entreprises. Seulement, il faut compter avec le respect de la protection des données des utilisateurs qui consultent votre site. Empreinte Digitale fait le point sur les obligations édictées par le Règlement Général sur la Protection des Données (RGPD), les lignes directrices de la CNIL de 2020 et les récentes décisions européennes. Nous vous présentons Matomo, un outil d’analyse d’audience respectueux de la protection des données personnelles.

Suite à la décision d’adéquation de la Commission prise le 10 juillet 2023, les transferts vers les États-Unis sont autorisés. Toutefois, cette décision pourrait bien être annulée par la CJUE, comme l’ont été les deux précédents accords. Le CEPD, le Parlement européen et les associations de défense de la vie privée ont déjà émis de nombreuses réserves.

Le RGPD et l’analyse des données d’audience : ce que dit la législation

Deux types de cookies d’audience pour deux règlementations

Il existe deux types de cookies d’audience qui n’impliquent pas les mêmes obligations au regard de l’utilisateur. Cette distinction est essentielle pour comprendre le RGPD et les nouvelles règles de la CNIL en vigueur.

  • Les cookies anonymisés : ils ne nécessitent pas de recueillir le consentement de l’utilisateur et ne menacent pas sa vie privée.
  • Les cookies avec données non anonymisées : ils ne sont pas interdits mais il est obligatoire de demander le consentement de l’utilisateur.

Quelles obligations pour quels types de cookies ?

Le RGPD impose un devoir de transparence et d’information des utilisateurs au regard des cookies et traceurs utilisés pour la mesure d’audience. C’est d’ailleurs ce que précise la CNIL dans ses nouvelles lignes directrices propres aux deux types de cookies existants :

Quelles sont les obligations qui s’appliquent aux deux types de cookies ? 

Quel que soit le type de cookie, il est obligatoire d’être transparent et d’informer l’utilisateur sur la nature des données collectées.

Les obligations qui s’appliquent aux cookies non anonymisés

Dans ce cas précis, le consentement de l’utilisateur est obligatoire pour déposer les cookies. Vous devez informer l’internaute de l’utilisation de traceurs.

Les conditions pour bénéficier de l’exemption de consentement

Il est possible d’être exempté du bandeau de consentement des cookies si plusieurs conditions sont respectées :

  • L’anonymat des utilisateurs doit être garanti et les données ne doivent pas être transmises à des tiers.
  • L’internaute doit également savoir quelles données sont collectées et dans quel but : elles doivent uniquement servir à la mesure d’audience.
  • Les traceurs ne doivent pas permettre un suivi global de l’activité de l’utilisateur par recoupement.

La CNIL a d’ailleurs recensé les solutions pouvant bénéficier de cette exemption, dont Matomo Analytics, et la procédure de paramétrage correspondant.

Qu’en est-il de la durée de vie des cookies ? 

Les cookies déposés ne peuvent rester que 13 mois maximum sur l’appareil de l’utilisateur et les données ne peuvent pas être conservées plus de 25 mois.

Si vous utilisez une solution non-anonymisée, il est obligatoire de demander à l’utilisateur son consentement préalable. Reste qu’avec certaines solutions, notamment Google Analytics, vous confiez les données de vos internautes à une multinationale américaine. Une possibilité remise en cause par l’Union Européenne, au nom de la protection de la vie privée.

L’invalidation du Privacy Shield annule la conformité des transferts de données vers les États-Unis et rend illégale l’utilisation de Google Analytics

Nous vous en parlions dans notre article sur la protection des données et la gestion des cookies, le rejet du Privacy Shield par la Cour de Justice Européenne dans son arrêt Schrems II a rebattu les cartes sur la protection des données. Aujourd’hui, les transferts de données personnelles vers des serveurs américains ne sont plus considérés comme conformes au RGPD par principe.

Ces transferts doivent donc être encadrés par d’autres outils juridiques, tels que des Clauses Contractuelles Types (CCT) ou des Règles d’Entreprises Contraignantes (Binding Corporate Rules ou BCR). Seulement, cet arsenal reste aujourd’hui insuffisant et des mesures complémentaires doivent venir le compléter, notamment si les données sont chiffrées sans possibilité de décryptage côté américain.

En conséquence, l’autorité de protection des données autrichiennes (DSB), le 22 décembre 2021, a jugé illégale l’utilisation de Google Analytics dans l’UE, à la suite d’une plainte déposée par l’association NOYB de Max Schrems. Nul doute que les autres autorités de contrôle européennes, également saisies par NOYB, confirment cette décision.

Optez pour une solution libre de mesure d’audience, avec un hébergement responsable

Matomo, l’alternative à Google Analytics, respectueuse des données personnelles

Matomo (anciennement appelé Piwik) est une solution d’analyse de trafic respectueuse de la protection des données. Elle fait partie des solutions recommandées par la CNIL.

Avec Matomo, vous analysez vos données de trafic de manière ultra-précise et vous libérez votre site de la notion de consentement de l’utilisateur avec un paramétrage d’anonymisation des adresses IP.

Contrairement à Google Analytics, les données recueillies par Matomo peuvent être anonymisées. Avec ce paramétrage, l’outil est exempté du bandeau de consentement des cookies !

En choisissant Matomo, vous vous assurez également de la qualité de vos données de trafic puisqu’elles seront toutes comptabilisées. Google Analytics présente seulement un échantillon de données et en cas de refus de l’utilisateur, ses données n’apparaissent pas dans vos statistiques !

Matomo est aussi mieux accepté par les navigateurs, comme le souligne Ronan Chardonneau, formateur Matomo Analytics et enseignant-chercheur en marketing digital : “Les navigateurs le tolèrent mieux concernant la protection de la vie privée : ils ne bloquent pas les pisteurs. Matomo peut aussi être modifié pour que les codes de suivi soient acceptés, notamment avec un plug-in.

Avec son code source ouvert, Matomo est également transparent sur son fonctionnement et sur les données qu’il récolte.

La maîtrise des données collectées garantie par l’hébergement éthique ou l’auto-hébergement

Avec Matomo, vous gardez le contrôle de l’ensemble des données collectées car la solution est hébergée sur le serveur de votre choix.

En choisissant un opérateur de cloud éthique et responsable, vous savez où sont stockées vos données et qui s’en occupe. Vous pouvez également garantir à vos utilisateurs que leurs informations ne seront pas réutilisées pour d’autres finalités que celles annoncées initialement. Le même principe s’applique si vous choisissez d’héberger Matomo sur vos propres serveurs.

Cette dimension auto-hébergeable est caractéristique des logiciels libres et vous affranchit des écueils des solutions propriétaires, aux pratiques parfois troubles. En outre, vous êtes libre de changer d’hébergeur et de migrer l’ensemble de vos données sans perte d’historique. Avec Google Analytics, en cas de changement de compte vous perdez les données collectées.

VOTRE solution de mesure d’audience

Le caractère libre de Matomo lui offre un autre différenciant majeur : le logiciel une fois téléchargé est entièrement personnalisable, grâce à son code source ouvert. Un avantage qui lui confère une grande souplesse : si vous souhaitez y ajouter des options, c’est possible. Un avantage qui fait toute la différence pour affiner l’analyse de vos données.

Contrairement à Google Analytics et aux autres solutions du marché, vous êtes entièrement libre d’utiliser Matomo et les données collectées, dans le respect du RGPD. Vous êtes responsable de l’ensemble de la chaîne de valeur de la solution, sans dépendre d’une entreprise tierce.

Avec Matomo, analysez l’audience de votre site sans renoncer à la protection des données de vos utilisateurs. Opter pour Matomo c’est respecter la réglementation en vigueur et préserver la vie privée des internautes, sans renoncer à une solution efficace ! Le passage à Matomo se fait d’ailleurs très facilement.