Google Analytics est de nouveau légal en Europe. Pour l’instant

Nous avons désormais un nouvel accord entre les États-Unis et l'Europe pour le transfert de données personnelles.

Encore une fois.

Et de trois.

Reste à voir combien de temps il tiendra.

Je vais maintenant t'expliquer les raisons de cette incertitude, mais d'abord je vais essayer de clarifier un peu le sujet, car ses racines sont profondes. Commençons donc par le début :

La première chose, et la plus importante, à avoir bien en tête est que Google Analytics n'a jamais été illégal en Espagne.

Il l'a bien été en France pendant quelques mois en 2022.

Tout comme en Autriche.

Et en Italie ou au Danemark.

C'était la tendance en 2022 dans plusieurs pays européens, mais il n'a jamais été interdit en Espagne. Même si l'an dernier, on disait que cela arriverait.

Mais depuis la semaine dernière (10 juillet 2023), avec la signature du nouveau traité, comme je te le dis, nous pouvons souffler.

Au moins pour un temps, car si tu as suivi le sujet avec un minimum d'attention, tu sais que cette histoire ne date pas d'hier.

Plus précisément, depuis le 11 septembre 2001.

Le jour où le monde a changé.

Les racines du problème

Cela fait déjà 22 ans depuis ce jour, ce qui ne nous rajeunit pas.

À l'époque, Google Analytics n'existait même pas encore, mais Urchin, la technologie rachetée par Google en 2005, existait déjà et a servi de germe à la première version de l'outil d'analytics numérique de Google.

Ce jour fatidique, nous avons tous, mais surtout les États-Unis, compris que la sécurité apparente dans laquelle nous vivions dans le monde occidental développé n'était guère plus qu'une illusion.

Et les systèmes jugés nécessaires ont été mis en place pour qu'un événement semblable ne se reproduise pas.

Peut-être en raison de son caractère plus libéral, peut-être de son caractère plus militaire, ou peut-être parce que c'était la première fois qu'un événement d'une telle ampleur se produisait sur son territoire, les États-Unis ont déployé un réseau mondial d'espionnage brutal.

Un réseau qui collectait d'immenses quantités de données de communication entre des civils du monde entier sur internet, avec les principales entreprises technologiques américaines — les GAFA (Google, Amazon, Facebook et Apple) — impliquées à des degrés divers.

Ce réseau a fonctionné en dehors de toute loi pendant 12 ans, de 2001 à 2013. Jusqu'à ce qu'un certain Edward Snowden — employé de la NSA, alors assez méconnue, et aussi de la CIA — révèle le scandale : la NSA avait développé une infrastructure qui permettait de recueillir pratiquement n'importe quelle donnée sur n'importe quelle personne dans le monde, notamment :

• Tes e-mails.
• Ton numéro de téléphone. Ou celui de ta femme. Ou de tes amis.
• Tes mots de passe.
• L'utilisation de tes cartes bancaires.
• L'historique de tes appels.

Le tout au nom, et sous le parapluie si ambigu, de la Sécurité nationale.

Si le sujet t'intéresse, il est très bien expliqué dans le documentaire Citizenfour , qui reprend les déclarations d'Edward Snowden. Je le recommande vivement, mais si tu préfères les films, Oliver Stone a réalisé le divertissant Snowden , qui raconte la même histoire sous un angle plus commercial.

Les réactions au scandale

Bon, lorsque le pot aux roses a été découvert, les réactions en Europe ont été timides. Si timides qu'elles semblaient feintes. En public, on ne pouvait pas le dire, mais en privé, nos responsables politiques semblaient d'accord avec ce qu'avait fait le gouvernement américain.

Mais il manquait encore un petit détail. À l'époque, on ignorait encore que les dirigeants politiques mondiaux étaient eux aussi espionnés.

Le coup de grâce a été la surveillance des communications du téléphone portable de la chancelière allemande et dirigeante de facto de l'Europe Angela Merkel, qui a eu un affrontement public musclé avec Barack Obama, alors président des États-Unis.

À partir de là, les choses ont changé.

Parce que, mon ami, espionner le petit peuple est une chose ; espionner les responsables publics en est une autre…

Accords administratifs : de Safe Harbor à Privacy Shield

Très mécontents d'être espionnés, les dirigeants européens ont donc déclaré invalides les règles qui encadraient le Safe Harbor, le protocole de communication entre les entreprises américaines et les clients et citoyens européens en vigueur depuis 2001.

15 ans et un programme PRISM plus tard, il fallait encadrer autrement la vie privée. C'est pourquoi un nouvel accord a été créé en 2016, le Privacy Shield, dont l'impact principal était d'empêcher les entreprises américaines de stocker les données personnelles de citoyens européens sur des serveurs situés en Amérique.

Autrement dit :

• Les données personnelles ont été précisément définies : au-delà des noms et comptes e-mail, elles comprenaient aussi des éléments comme l'IP de connexion à Internet.
• Si une entreprise américaine stockait déjà certaines de ces données sur ses serveurs, elle avait deux options : Cesser de les stocker et les supprimer.

• Continuer à les stocker, en justifiant pourquoi, et sur des serveurs hors des États-Unis, afin qu'elles ne soient pas accessibles — ou pas facilement — à la NSA et aux organismes similaires.

Et tout le monde était content.

Sauf Max Schrems, un avocat autrichien militant pour la vie privée, qui a obtenu de la Cour de justice de l'Union européenne l'annulation de cet accord en 2020.

Cela a fait que, pendant les trois dernières années, les transferts de données personnelles entre l'Europe et les États-Unis n'ont été encadrés par aucun accord commun plus souple, mais par le strict GDPR (Règlement général sur la protection des données de l’Union européenne).

C'est dans ce contexte que la France a déclaré Google Analytics illégal, puisque l'outil collecte les IP de citoyens français sur des serveurs situés sur le territoire américain.

Pourquoi les autres pays européens ne le déclarent-ils pas illégal ? En principe parce que l'enregistrement de l'IP est chiffré, si bien qu'ils ne le considèrent pas comme une donnée personnelle en tant que telle.

Une question de nuances.

Nouveau traité en 2023. Jusqu'à quand ?

Bon, comme tu l'as probablement entendu, depuis la semaine dernière nous avons un nouvel accord-cadre sur la vie privée entre l'Europe et les États-Unis.

Et cela rend l'utilisation de Google Analytics légale.

Peut-être que l'arrivée de GA4 y est pour quelque chose.

Peut-être est-ce une coïncidence.

Ce qui ne semble pas être une coïncidence, c'est que Google ait ouvert l'accès à son IA Bard en Europe trois jours après l'approbation de l'accord. Surtout quand on sait que la raison invoquée pour ne pas la proposer ici dès le départ était précisément son non-respect de la stricte réglementation européenne sur les données.

Alors, que va-t-il se passer maintenant ? D'abord, Max Schrems va de nouveau saisir la CJUE en faisant valoir que la réglementation américaine sur la surveillance de masse reste en vigueur, même si le nouvel accord limite son usage à quelque chose de « proportionné »”.

C'est un mot ambigu qui ne précise pas clairement à quelles données privées des citoyens européens l'administration américaine peut accéder.

Il est donc possible que dans les prochains mois nous ayons d'autres nouvelles sur le sujet, dans un sens ou dans l'autre. C'est alors que nous saurons réellement si nous pouvons continuer à utiliser GA4 légalement ou non.

D'ici là, il faut implémenter.

Ou changer.

Ou prier. Après tout, tout ce bazar a commencé pour des motifs religieux.

Ça ne s'invente pas.