L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Peut-on utiliser Google Analytics sur son site ?
Consentement préalable au dépôt, encadrement des transferts et paramétrage. Ce qu'exige un usage conforme et les alternatives possibles.
Consentement préalable au dépôt, encadrement des transferts et paramétrage. Ce qu'exige un usage conforme et les alternatives possibles.
Introduction
La question de la conformité des outils de mesure d’audience américains a connu plusieurs étapes. L’état actuel du droit permet leur usage, sous des conditions précises qui ne se limitent pas à l’encadrement des transferts.
La première condition : le consentement au dépôt
Les traceurs déposés par cette solution ne remplissent pas les conditions de l’exemption de mesure d’audience.
Ils ne peuvent donc être déposés qu’après le recueil du consentement de l’utilisateur.
Cette condition est indépendante de toute considération sur les transferts : elle résulte du régime propre aux traceurs.
Le manquement le plus fréquent consiste à charger le script dès l’arrivée sur la page, le bandeau ne servant qu’à recueillir un consentement postérieur au dépôt.
La conséquence pratique
Le consentement étant refusé par une part significative des visiteurs, la mesure ne porte que sur une fraction du trafic.
Cette limitation est inhérente au régime et ne peut être contournée par un déclenchement anticipé du script.
C’est précisément ce qui rend attractives les solutions bénéficiant de l’exemption, qui mesurent l’intégralité du trafic.
La deuxième condition : l’encadrement des transferts
La question des transferts vers les États-Unis a évolué.
Une décision d’adéquation a été adoptée en juillet 2023, fondée sur le cadre de protection des données entre l’Union européenne et les États-Unis.
Elle couvre les transferts vers les organisations américaines certifiées au titre de ce cadre et figurant sur la liste tenue à cet effet.
La vérification de la certification effective du fournisseur constitue donc un préalable à documenter, et non une évidence.
La troisième condition : le cadre contractuel
Le fournisseur agit comme sous-traitant pour la mesure d’audience.
Un accord de traitement conforme doit être accepté, et ses annexes vérifiées : catégories de données, sous-traitants ultérieurs, mesures de sécurité, localisation.
Les conditions relatives à l’usage des données par le fournisseur pour ses propres finalités doivent être examinées avec attention : une telle réutilisation le ferait sortir de son rôle de sous-traitant.
Le paramétrage
Plusieurs réglages réduisent significativement l’exposition.
La limitation de la durée de conservation des données au minimum utile.
La désactivation du partage des données avec d’autres services du fournisseur.
La désactivation des signaux publicitaires lorsqu’ils ne sont pas nécessaires.
La restriction de la collecte des données de localisation à un niveau agrégé.
Ces réglages doivent être documentés : ils constituent les mesures démontrant la minimisation.
L’information
La politique de gestion des traceurs doit mentionner la solution utilisée, sa finalité, sa durée de vie et l’existence de transferts hors Union européenne.
Une politique silencieuse sur ce point, alors que la solution est déployée, constitue un défaut d’information.
Les alternatives
Des solutions de mesure d’audience peuvent être configurées pour respecter les critères d’exemption de consentement.
Elles présentent un double avantage : elles mesurent l’intégralité du trafic, et elles simplifient le bandeau en réduisant le nombre de finalités soumises à consentement.
Le choix relève d’un arbitrage entre richesse fonctionnelle et exhaustivité de la mesure.
Certaines solutions hébergées dans l’Union européenne écartent par ailleurs la question des transferts.
Documenter le choix
L’usage conforme suppose une décision motivée, non une installation par défaut. Notre expertise en droit du numérique accompagne cet arbitrage.
En résumé
- Le dépôt suppose un consentement préalable : la solution ne bénéficie pas de l’exemption.
- La décision d’adéquation de juillet 2023 encadre les transferts vers les entités certifiées.
- Vérifier la certification effective, l’accord de traitement et ses annexes.
- Paramétrer : durée réduite, partage désactivé, localisation agrégée.
- Les solutions exemptées mesurent l’intégralité du trafic et simplifient le bandeau.
Questions fréquentes
Google Analytics nécessite-t-il un consentement ?
Oui. Cette solution ne remplit pas les conditions de l'exemption de mesure d'audience : les traceurs ne peuvent être déposés qu'après consentement de l'utilisateur.
Les transferts vers les États-Unis sont-ils encadrés ?
Depuis juillet 2023, une décision d'adéquation couvre les transferts vers les organisations américaines certifiées au titre du cadre de protection des données UE États-Unis, ce qui a modifié substantiellement l'analyse antérieure.
Existe-t-il des alternatives ?
Oui. Des solutions de mesure d'audience configurables pour bénéficier de l'exemption de consentement existent, ce qui permet une mesure sur l'intégralité du trafic plutôt que sur les seuls visiteurs consentants.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
