Dans sa décision du 22 avril 2022, l’autorité autrichienne de protection des données s’est à nouveau prononcée sur l’utilisation de l’outil Google Analytics. Cela fait suite à une première décision de l’autorité autrichienne qui, en janvier dernier, avait estimé que le transfert de données à caractère personnel hors Union Européenne opéré par Google Analytics est contraire au RGPD.
Dans cette nouvelle décision du 22 avril, l’autorité autrichienne réaffirme que les transferts de données opérés par l’utilisation de Google Analytics ne sont pas conformes au RGPD mais semble aller plus loin que dans la précédente décision.
Ici, l’autorité rejette l’argument de Google selon lequel les sites web pouvaient activer l'anonymisation IP lors de l'utilisation de Google Analytics afin de protéger les données transférées de la surveillance américaine. En effet, l’autorité constate que l'anonymisation IP de Google ne concerne que l'adresse IP en tant que telle. Les autres données telles que les identifiants en ligne définis par les cookies ou les données des appareils sont transférées de manière non anonymisée. Aussi, l’autorité constate que l'anonymisation IP n'a lieu qu'après le transfert des données à Google.
L’autorité autrichienne en profite également pour rejeter l’approche fondée sur les risques invoquée par Google (risk based approach). En effet, Google faisait valoir que des garanties supplémentaires ne devraient être nécessaires qu'en cas de risque substantiel pour les droits et libertés de la personne concernée et qu’une clause contractuelle type devrait suffire pour les cas à faible risque (par exemple lorsque seules des données telles que des identifiants en ligne ou des adresses IP sont transférées). L’autorité rejette cette approche et rappelle que le RGPD ne reconnait pas d’approche fondée sur les risques pour les transferts de données vers les pays tiers.
De plus, Google invoquait l’existence de mesures supplémentaires (telles que la publication d’un rapport de transparence, d’une politique de traitement des demandes gouvernementales et l’examen des demandes d’accès aux données), mais également la possibilité de crypter les données. L’autorité de contrôle a estimé ces mesures inutiles, car n’empêchant pas les autorités américaines d’accéder aux données personnelles. La mesure de cryptage est également considérée comme insuffisante puisque Google a toujours la possibilité d’accéder aux données en clair.
L’autorité n’a cependant prononcé aucune sanction. En effet, bien qu’elle considère que la violation de l’article 44 du RGPD est imputable à l’éditeur du site web, elle ne l’a pas sanctionné puisque l’outil avait été retiré avant que la décision soit rendue. Google n’a pas non plus été condamnée puisqu’il incombe à l’exportateur des données de respecter les exigences du chapitre V du RGPD et non à l’importateur.
Pour en savoir plus Décision de l’Autorité autrichienne de protection des données du 22 avril 2022
