La CNIL a publié, jeudi 10 février 2022, un article [1][2] annonçant la mise en demeure d’un gestionnaire de site web français vis-à-vis de l’utilisation de la solution Google Analytics du géant américain pour cause de transfert hors UE. Vous trouverez ci-dessous quelques informations pour comprendre la situation et conseiller vos clients pour accompagner leur mise en conformité.

Google Analytics

Google Analytics est un outil de mesure d’audience de site Web et un des leaders dans le domaine avec plus de 80% des parts de marché dans le monde.

Pour fonctionner, l’outil envoie certaines données à caractère personnel (DCP) vers les serveurs de Google localisés aux Etats-Unis [3] :

Processor Service	Types of Personal Data
Google Analytics	Online identifiers, including cookie identifiers, internet protocol addresses and device identifiers; client identifiers
Google Analytics 360	Online identifiers, including cookie identifiers, internet protocol addresses and device identifiers; client identifiers
Google Analytics for Firebase	Online identifiers, including cookie identifiers, internet protocol addresses and device identifiers; client identifiers

Transfert de données

Jusqu’en 2020, ce transfert était encadré par le EU-US Privacy Shield [4] qui autorisait les échanges de DCP entre les deux continents. Or, le 16 juillet 2020, la cour de justice de l’Union Européenne (CJUE) a mis fin à cet accord avec l’arrêt Schrems II, jugeant qu’il ne fournissait pas de protection suffisante vis-à-vis de la réglementation européenne de protection des données (RGPD).

Depuis, Google a mis en place des clauses contractuelles types (CCT) [5] avec ses clients pour :

• Garantir un niveau de protection suffisant des données
• Légaliser le transfert des DCP aux Etats-Unis
• Permettre l’utilisation de son service par ses clients

Note : les CCT sont des modèles de contrats de transfert de données personnelles adoptés par la Commission européenne pour transférer des données vers un pays tiers (ex : Etats-Unis) [6]

Législation américaine

Or, dans son article [2], la CNIL précise qu’en tant que fournisseur de communications électroniques, Google est sujet à l’article 702 de la loi américaine sur les renseignements (FAA) [7]. Google a par conséquent l’obligation, dans le cadre de la loi FAA, de fournir au gouvernement américain des données personnelles indépendamment du contenu des clauses CCT, ce qui n’est pas conforme au RGPD.

Aussi, les mesures supplémentaires (notamment techniques) mises en place par Google sont jugées insuffisantes par la CNIL pour protéger les données DCP contre de tels accès.

Par ailleurs, il n’existe aucun moyen technique d’empêcher le transfert des données DCP vers les Etats-Unis : l’outil ne le permettant pas.

Cela explique la mise en demeure de la CNIL et la non-conformité vis-à-vis du RGPD de l’utilisation du service Google Analytics.

Réponses européennes

L’actuelle mise en demeure concerne un gestionnaire de site Web français. Comme le précise l’article, d’autres actions sont en cours au niveau européen pour faire suite aux plaintes déposées par l’association viennoise NOYB [8].

Nous pouvons donc nous attendre à des décisions similaires dans les prochaines semaines par les autorités de contrôle européennes. En effet, la CNIL est d’ores et déjà en train de s’intéresser aux plaintes portées à l’encontre de sociétés françaises de Retail, équipementier sportif, parfumerie.  

Solutions

En l’état actuel des choses, c’est-à-dire sans changement des lois de renseignement américaines et sans modification rapide des mesures de protection mises en place par Google, nous recommandons à nos clients, d’identifier et mettre en œuvre des alternatives compatibles avec leurs usages.

Dans un autre article [9] publié le 23 septembre 2021, la CNIL propose des alternatives pour faire de la mesure d’audience des sites internet, qui présentent le double avantages d’être :

• Conforme au RGPD, c’est-à-dire sur le traitement des données à caractère personnel des utilisateurs
• Conforme à la directive européenne ePrivacy sur l’utilisation des cookies

En effet, pour chaque outil, la CNIL propose une configuration avec laquelle son utilisation serait exemptée de consentement.

Parmi ces outils figurent (entres autres) :

Alternatives gratuites	Alternatives payantes
Abla Analytics de Astra Porta	Analytics Suite Delta de AT Internet (français)
Piwik PRO Analytics Suite de Piwik PRO	SmartProfile de Net Solution Partner
Matomo Analytics de Matomo (open source)

Conclusion

Nous recommandons donc l’usage d’une des solutions alternatives proposées par la CNIL ou tout autre solution européenne dont les données seraient hébergées sur le continent. 

Par Albane Girollet – Consultante Governance, Risks & Compliance chez Almond

Antoine Hochenedel – Consultant Governance, Risks & Compliance chez Almond

Marine Adreit – Consultante Governance, Risks & Compliance chez Almond

Références

[1] https://www.cnil.fr/fr/utilisation-de-google-analytics-et-transferts-de-donnees-vers-les-etats-unis-la-cnil-met-en-demeure

[2] https://www.cnil.fr/sites/default/files/atoms/files/med_google_analytics_anonymisee.pdf

[3] https://privacy.google.com/businesses/adsservices/

[4] https://fr.wikipedia.org/wiki/Bouclier_de_protection_des_donn%C3%A9es_UE-%C3%89tats-Unis

[5] https://www.google.com/analytics/terms/dpa/dataprocessingamendment_20200816.html

[6] https://www.cnil.fr/fr/transfert-de-donnees-les-clauses-contractuelles-types-cct-de-la-commission-europeenne

[7] https://en.wikipedia.org/wiki/Foreign_Intelligence_Surveillance_Act_of_1978_Amendments_Act_of_2008

[8] https://noyb.eu/fr/plaintes-concernant-les-virements-ue-usa

[9] https://www.cnil.fr/fr/cookies-solutions-pour-les-outils-de-mesure-daudience

Par Lloyd Humphreys chez Tradeshift

L’intelligence artificielle est un excellent exemple d’une technologie considérée comme mystérieuse. Les professionnels de l’IT contribuent à entretenir cette perception, se référant souvent à l’IA comme une « boîte noire ». Ainsi, au lieu de voir l’IA comme un « simple outil », elle devient hégémonique et toute puissante. Les organisations doivent changer leur façon de concevoir l’IA. Utilisée correctement, c’est un outil incroyablement puissant qui offrira de nouvelles perspectives à ses utilisateurs. 

Ce que l’IA fait de mieux

L’intelligence artificielle n’est pas toujours aisément accessible, c’est pourquoi de nombreuses organisations supposent qu’elle devrait être principalement déployée sur les projets les plus importants. Et bien que l’IA puisse apporter des avantages importants, elle ne peut répondre à tous les projets.

La facturation est une activité où l’IA peut apporter un avantage significatif et stratégique. Le traitement des factures est une tâche fastidieuse. Un rapport récent a estimé que 23 % de toutes les factures contiennent une erreur nécessitant un examen et un retraitement manuels, les raisons allant d’un décalage entre la facture et le bon de commande (PO) à des erreurs de numérotation de facture. Les équipes des comptes fournisseurs (AP) passent généralement un quart de leur temps à rechercher et à corriger les erreurs de facture. En fait, environ 81 % de toutes les factures nécessitent une intervention manuelle.

Certaines entreprises pourraient considérer cette situation comme une fatalité alors que d’autres pourraient vouloir automatiser l’ensemble du processus de traitement de chaque facture. Aucune de ces deux approches n’a de sens. Les entreprises doivent trouver l’équilibre entre l’homme et la machine, en s’assurant que chacun se complète afin que l’automatisation ne se fasse pas au détriment de la précision.

Garder le contrôle

L’intelligence artificielle n’est efficace que dans la mesure où elle est correctement « alimentée » et guidée afin de traiter des tâches sensibles comme la gestion de factures.  

Une tâche « robotique » parfaite pour l’IA consiste à effectuer une correspondance de ligne entre la facture et le bon de commande. Ce sont des exemples faciles à enseigner. Pendant les deux premiers mois, un collaborateur contrôlera que les tâches sont bien exécutées avant de laisser l’IA traiter seule les opérations à venir. De plus, il est possible de définir le niveau d’autonomie laissé à l’IA, l’idée est tout simplement de trouver un juste milieu, adapté à son organisation, et qui allie sécurité, performance et productivité. 

Un pas de plus vers l’automatisation

Une fois que l’on estime pouvoir faire confiance à l’IA pour effectuer une tâche avec précision, il est possible de passer au niveau supérieur : évoluer de l’intelligence artificielle vers l’automatisation. Pour prendre un exemple lié à la facturation, lorsque l’IA a été testée, et paramétrée, elle permet aux organisations de mettre en œuvre un traitement direct. Cela signifie qu’à partir du moment où une facture est reçue, l’IA cartographie les documents et trouve une correspondance avec le bon de commande associé. Tout se fait de manière transparente. Lorsque l’on atteint ce niveau de qualité, il est possible d’accéder à de vrais avantages. Ainsi, la conjugaison de l’IA et de l’automatisation permet de réduire le coût de traitement des factures et le temps de traitement moyen. Mais les avantages ne s’arrêtent pas là. Lorsque l’on maitrise l’IA, il est possible de supprimer le processus d’approbation de certaines opérations récurrentes ou de faible valeur. Il est possible d’analyser de grandes quantités de données et de détecter des anomalies qui pourraient passer inaperçues si les opérations étaient réalisées manuellement.