La réponse courte est que ce n'est pas automatiquement illégal, et que ce n'est pas automatiquement acceptable non plus. Ces deux affirmations sont répétées avec assurance et aucune des deux ne survit au contact des décisions réelles.

Ceci est un résumé pour des gens qui prennent une décision au sujet d'un outil, pas un conseil juridique.

Ce que les autorités de protection des données ont réellement décidé

Entre 2022 et 2023, les autorités de contrôle d'Autriche, de France, d'Italie, du Danemark, de Finlande, de Norvège et de Suède ont chacune jugé illicites des installations précises de Google Analytics. Les plaintes venaient de noyb, l'organisation de défense de la vie privée fondée par Max Schrems, et visaient de nombreux sites à la fois.

Le raisonnement portait sur les transferts internationaux, pas sur l'analytics. Après que la Cour de justice de l'Union européenne a invalidé le bouclier de protection des données UE-États-Unis dans l'arrêt Schrems II, les transferts vers les États-Unis avaient besoin d'une autre base juridique. Les autorités ont estimé que les clauses contractuelles types sur lesquelles Google s'appuyait ne suffisaient pas à elles seules, parce qu'elles n'empêchent pas le droit du renseignement américain d'atteindre les données. Les mesures supplémentaires que Google avait ajoutées (le chiffrement en transit, l'option de tronquer une adresse IP) n'y changeaient rien, parce que Google pouvait toujours lire les données lui-même.

Deux détails de ces décisions se perdent dans les récits qu'on en fait, et tous deux comptent :

  • La troncature de l'adresse IP ne l'a pas sauvé. L'autorité autrichienne a jugé que la combinaison d'un identifiant client avec d'autres données identifiait toujours le visiteur : retirer une partie de l'adresse IP ne rendait donc pas la donnée non personnelle.
  • C'étaient des décisions sur des sites particuliers, avec des configurations particulières, à un moment particulier. Ce n'était pas une interdiction générale du produit.

Ce que le Data Privacy Framework a changé

En juillet 2023, la Commission européenne a adopté une décision d'adéquation pour le cadre de protection des données UE-États-Unis (Data Privacy Framework). Pour une entreprise américaine qui s'auto-certifie au titre du DPF (Google le fait), les transferts peuvent s'appuyer sur cette décision d'adéquation plutôt que sur des clauses contractuelles types.

Cela change réellement la base sur laquelle reposaient les décisions de 2022-2023. Ces décisions portaient sur l'absence d'un mécanisme de transfert valable, et il en existe désormais un.

La réserve est qu'il s'agit du troisième cadre de ce type. Le Safe Harbor a été invalidé en 2015, le Privacy Shield en 2020, et noyb a annoncé son intention de contester le DPF le jour même de son adoption. Un recours n'est pas une invalidation, et il serait faux de vous dire que le cadre est sur le point de tomber. Il est tout aussi faux de planifier comme si la question était réglée pour toujours, étant donné que les deux réponses précédentes ont duré environ cinq ans chacune.

Ce qui doit encore être vrai

La question des transferts est celle qui a fait les gros titres. Ce n'est pas la seule, et c'est ailleurs que la plupart des installations GA4 sont réellement vulnérables.

Un consentement correctement recueilli. L'analytics n'est pas strictement nécessaire : dans l'UE, elle a donc besoin d'un consentement avant que quoi que ce soit ne soit stocké sur l'appareil ou lu depuis lui : en France, c'est l'article 82 de la loi Informatique et Libertés, appliqué par la CNIL, et GA4 stocke un identifiant. Le consentement doit être libre, spécifique, éclairé et univoque. Un bandeau avec un seul bouton « Accepter » n'est rien de tout cela. Un bandeau qui pose l'identifiant avant que vous ne cliquiez non plus.

Un mode Consentement correctement configuré. Le mode Consentement de Google change le comportement de GA4 quand le consentement est refusé, mais il envoie quand même par défaut des requêtes sans cookie et modélise le trou. Que les chiffres modélisés vous conviennent est une question de mesure ; que les requêtes soient acceptables est une question juridique, et cela dépend d'une configuration qu'il vous faut vérifier plutôt que supposer.

Une trace que vous pourriez produire. Au titre de l'article 5, paragraphe 2, du RGPD, vous devez être en mesure de démontrer votre conformité. Cela veut dire une analyse d'impact relative à la protection des données là où elle est requise, un registre des traitements, une politique de conservation que vous appliquez réellement, et un consentement documenté.

Tout ce que vous avez ajouté par-dessus. La plupart des problèmes de GA4 en pratique ne viennent pas de GA4. Ils viennent du User-ID qui s'est révélé être une empreinte d'adresse e-mail, de l'URL de page qui porte un jeton ou un numéro de commande dans un paramètre de requête, ou de la charge utile e-commerce qui inclut un nom de client.

Ce que cela veut dire pour une décision

Si vous faites déjà tourner GA4 et qu'il est correctement consenti, correctement configuré et documenté, la décision d'adéquation vous donne une position défendable aujourd'hui. L'arracher cet après-midi sur la foi d'un gros titre de 2022 est une réaction excessive.

Si vous choisissez maintenant, le cadrage honnête est celui du risque. Garder les données dans l'UE avec un sous-traitant établi dans l'UE retire entièrement la question des transferts de votre registre des risques plutôt que d'y répondre. Cela vaut quelque chose, et combien dépend de votre secteur, de votre autorité de contrôle, et de votre envie de rejouer ce débat à la fin de la décennie.

Il y a aussi un argument purement opérationnel qui n'a rien à voir avec le droit : si votre analytics a besoin d'un consentement, vous ne mesurez que les visiteurs qui ont accepté, ce qui n'est pas un échantillon aléatoire de votre trafic.

Où Skomi se situe

Skomi stocke ses données dans l'UE et dérive l'identité du visiteur sur le serveur à partir d'un sel changé chaque jour : rien n'est écrit sur l'appareil du visiteur ni lu depuis lui. Il n'y a pas de transfert à évaluer et, avec le réglage par défaut, pas de consentement à recueillir.

C'est aussi un produit plus petit que GA4, et la page de comparaison liste ce que vous perdez à côté de ce que vous gagnez, y compris les lignes que GA4 gagne, qui sont réelles.

Des sources qu'il vaut la peine de lire vous-même

  • La décision de la DSB autrichienne de décembre 2021, la première de la série et la plus détaillée sur les raisons pour lesquelles la troncature de l'adresse IP était insuffisante.
  • Les décisions de la CNIL sur Google Analytics et ses lignes directrices ultérieures sur la mesure d'audience exemptée.
  • La décision d'adéquation de la Commission européenne pour le cadre de protection des données UE-États-Unis, juillet 2023.
  • Les recommandations 01/2020 du CEPD sur les mesures supplémentaires, qui exposent l'analyse appliquée par les autorités.

Quiconque vous dit que c'est simple ne les a pas lues.

Ce que Skomi fait à la place est sans cookie par défaut : rien n'est écrit sur l'appareil du visiteur, il n'y a donc pas de transfert d'un identifiant à peser, et c'est là-dessus que le produit Analytics est bâti, plutôt que dans un mode qu'on active. Le champ plus large des remplaçants, le nôtre placé honnêtement parmi eux, est sur les alternatives à Google Analytics.