RGPD 1 / Google analytics 0 : le match qui s’engage en Europe sera-t-il vraiment à l’avantage des consommateurs que les régulateurs entendent protéger ?

Atlantico : L'autorité autrichienne de régulation des données estime que l'utilisation de Google Analytics constitue une violation de la RGPD. Cette décision est-elle inédite ? Cela pourrait-il créer une traînée de poudre en Europe ? 

Julien Pillot : À ma connaissance la décision autrichienne est inédite et elle pourrait faire tache d’encre. Elle s’appuie sur la non négociation d’un accord entre l’Europe et les États-Unis à propos des transferts de données. En l’absence de Privacy Shield, les transferts de données qui pourraient être opérés entre les serveurs européens et américains sont potentiellement en contradiction avec le RGPD. On a ici un premier cas de figure qui pourrait en appeler d’autres car certaines législations pourraient interdire l’utilisation de certains outils comme Google Analytics au motif que cela empiète sur le respect de la vie privée. Ainsi le cas autrichien presse les législateurs des deux côtés de l’Atlantique pour trouver des modalités de transfert du Privacy Shield entre nos deux blocs. 

La gratuité du web repose-t-elle sur l’utilisation des données de Google Analytics ? A quel point internet est-il si dépendant de ce service ? 

Il faut savoir que la gratuité du Web est un faux ami car il y a toujours une personne qui paie. Ce qui apparait comme gratuit pour certaines catégories d’utilisateurs sera payant pour d’autres. Facebook est gratuit pour vous et moi, mais c’est payant pour les annonceurs. 

Google Analytics est un outil que la firme met à disposition des développeurs de site Internet afin d’avoir un meilleur pilotage du profilage d’utilisateurs de leur site. On devine que cette gratuité se fonde sur le droit que se réserve Google d’héberger certaines données des développeurs de sites web et qu’ils puissent les utiliser dans leur Big Data. Ils pourraient alors revendre ces données anonymisées à d’autres types d’intervenants. Cela rentre dans le business de la donnée. 

Aujourd’hui Google n’oblige personne à utiliser Google Analytics et c’est leur ligne de défense dans cette affaire. Ils disent d’ailleurs qu’ils ne peuvent pas être tenus pour responsables du degré de précaution que peuvent avoir les millions de développeurs de sites dans le monde sur la qualité et le niveau d’intrusivité des données qu’ils collectent et décident de garder. Cette défense ressemble à celle des sites pear to pear des années 2000. Ils disaient qu’ils fournissaient un outil qui n’avait rien d’illégal, mais que si les gens en profitaient pour faire transiter un fichier piraté contrevenant aux droits d’auteurs, cela ne relevait pas de leur responsabilité. Google rappelle aussi qu’il ne peut pas être responsable des mauvais utilisateurs.

En tant que développeur de sites web, cet outil est donné gratuitement par Google. Il donne un suivi assez fin sur de nombreux points comme le « trackage » de la publicité qui permet d’en savoir un peu plus sur la sociologie des utilisateurs. Les développeurs de sites web ont le choix d’utiliser Google Analytics et de bien l’utiliser en conformité avec les réglementations RGPD ou pas. Certains gros utilisateurs ont d'ailleurs les moyens techniques de se mettre en conformité.

Si l’on encadre de plus en plus Google Analytics, cela sera-t-il à l’avantage des consommateurs ? Quel serait le bon équilibre entre protection des données des consommateurs et gratuité du web ? 

Le débat dépasse le consommateur. Il s’agit d’un cas B to B, même si les données qui transitent sont celles des utilisateurs. L’affaire comporte trois parties : Google en tant que prestataire de service, tous les développeurs de sites professionnels et les parties civiles (État, Cnil…).

Depuis le début, le RGPD demande des coûts de mise en conformité qui sont importants pour certains acteurs. Et ces coûts sont très faciles à absorber pour de très gros acteurs de l’Internet qui ont beaucoup de connaissances en la matière et qui ont la possibilité de se passer de Cookies. Le paradoxe du RGPD est qu’elle crée des coûts hétérogènes en fonction de la taille de l’acteur. Le RGPD est une spécificité européenne sauf que le web n’a pas de frontières, il a vocation à être le plus ouvert possible. On a alors des législations en matière de vie privée très différentes entre l’Amérique du Nord et l’Europe, mais aussi avec l’Asie. On arrive à une situation où certaines règles s’appliquent dans certaines régions géographiques du globe alors que le web est aveugle à ces frontières. La finalité de tout ça est la création de coûts supplémentaires qui pèseront in fine sur les acteurs du Web et par pondération sur les petits. 

À terme, la RGPD pourrait-elle garantir cela ? L’Europe arrivera-t-elle à trouver un équilibre ? 

Le RGPD est plein de bonnes intentions, mais dans l’application c’est très compliqué. Cela repose sur une chaîne de transmission des données qui concerne tout le monde, plus on a de maillons plus on a de risques qu’il y ait des maillons faibles. On peut avoir des internautes peu précautionneux de leurs données, il peut y avoir des sites internet peu soucieux des collectes de données, des médias brokers pouvant héberger des données sur des serveurs peu sécurisés … Et en bout de chaîne, des personnes qui peuvent acheter les données en question. Ces derniers peuvent avoir une utilisation peu scrupuleuse de ces données car certaines législations permettent d’aller au-delà du RGPD.