Quatre entreprises doivent cesser d'utiliser Google Analytics

Suite à un contrôle sur la manière dont elles transfèrent des données à caractère personnel aux États-Unis, par les autorités suédoises

L'autorité suédoise de protection de la vie privée (IMY) a contrôlé la manière dont quatre entreprises utilisent Google Analytics pour leurs statistiques web. Selon l'article publié sur leur site, L'IMY a infligé des amendes administratives à deux de ces entreprises. L'une d'entre elles a récemment cessé d'utiliser l'outil statistique de sa propre initiative, tandis que l'IMY ordonne aux trois autres de cesser également de l'utiliser.

L'IMY a contrôlé la manière dont quatre entreprises transfèrent des données à caractère personnel aux États-Unis en utilisant Google Analytics, un outil de mesure et d'analyse du trafic sur les sites web. Les entreprises contrôlées sont CDON, Coop, Dagens Industri et Tele2. Les audits concernent une version de Google Analytics à partir du 14 août 2020.

Les audits sont basés sur des plaintes de l'organisation None of Your Business (NOYB) à la lumière de l'arrêt Schrems II de la Cour de justice de l'Union européenne (CJUE). Les plaintes déclaraient que les entreprises, en violation de la loi, transfèrent des données à caractère personnel aux États-Unis.

Selon le règlement sur la protection des données, le RGPD, les données personnelles peuvent être transférées vers des pays tiers, c'est-à-dire des pays en dehors de l'UE/EEE, si la Commission européenne a décidé que le pays en question a un niveau de protection adéquat pour les données personnelles qui correspond à celui au sein de l'UE/EEE. Toutefois, la CJUE a décidé, dans l'arrêt Schrems II, que les États-Unis ne pouvaient pas être considérés comme ayant un tel niveau de protection adéquat à l'époque de l'arrêt.

Dans ses audits, IMY considère que les données transférées aux États-Unis avec l'outil de statistiques de Google sont des données à caractère personnel, car elles peuvent être liées à d'autres données uniques transférées. L'autorité conclut également que les mesures de sécurité technique prises par les entreprises ne sont pas suffisantes pour assurer un niveau de protection correspondant pour l'essentiel à celui garanti au sein de l'UE/EEE.


- "Le fait que l'IMY ait statué sur ces affaires en même temps que sur les autres montre clairement quelles sont les exigences en matière de mesures de sécurité technique et d'autres mesures lors du transfert de données à caractère personnel vers un pays tiers, en l'occurrence les États-Unis", a déclaré la conseillère juridique Sandra Arvidsson, qui a dirigé les audits des entreprises.

En l'absence de décision de la Commission européenne sur le niveau de protection adéquat, les données peuvent être transférées sur la base de clauses contractuelles types décidées par la Commission européenne. Toutefois, selon la CJUE, ces clauses contractuelles types pourraient devoir être complétées par des garanties supplémentaires s'il est nécessaire que la protection que les clauses sont censées assurer soit maintenue dans la pratique.

Les quatre entreprises ont fondé leurs décisions concernant le transfert de données à caractère personnel avec Google Analytics sur des clauses contractuelles types. Il ressort des audits de l'IMY qu'aucune des mesures de sécurité technique supplémentaires prises par les entreprises n'est suffisante. L'IMY inflige une amende administrative de 12 millions de SEK à Tele2 et de 300 000 SEK à CDON, qui n'a pas pris les mêmes mesures de protection étendues que Coop et Dagens Industri. Tele2 a récemment cessé d'utiliser l'outil statistique de sa propre initiative. IMY ordonne aux trois autres entreprises de cesser d'utiliser l'outil.

- "Ces décisions ont des implications non seulement pour ces quatre entreprises, mais peuvent également servir de guide pour d'autres organisations qui utilisent Google Analytics", déclare Sandra Arvidsson.

Source : IMY

Et vous ?

Trouvez-vous cet article de l'IMY pertinent ?
Quel est votre avis sur le sujet ?

Voir aussi :

L'Union européenne se prépare à corriger le RGPD en améliorant la façon dont il est appliqué. Un texte est attendu avant cet été
Selon une page récemment publiée sur son site Web

5 ans après, 15 experts du stockage des données se prononcent sur le RGPD : le RGPD a-t-il été un succès, un échec ou quelque chose entre les deux ? Le RGPD a-t-il atteint les objectifs fixés ?

L'Autorité norvégienne de protection des données prend position contre Google Analytics
Estimant à son tour que son utilisation est « en violation des règles de transfert du RGPD »