La News du vendredi 10/06 – #271

Nouvel épisode

Cette semaine, un nouvel épisode du feuilleton CNIL / Google Analytics.
La Commission persiste et signe. Voir notre article plus bas.
 

Elle ne chôme pas par ailleurs, car elle vient pour la première fois de valider un système de vote en ligne authentifié par la blockchain… Réponse possible à l’abstention qui s’annonce massive dimanche ?

Côté Web3, et selon une étude menée auprès de 5000 personnes en Europe et aux États-Unis, 60% des répondants ne sont pas prêts à acheter dans le métavers. Intéressant aussi de lire l’édito de Sixième Son, agence réputée de branding sonore, sur le fait que le son a été l’un des grands absents du web : il le sera peut-être moins dans le metaverse en permettant aux marques d’offrir des expériences plus immersives.

Quoiqu’il en soit, le marché continue d’osciller à l’image de cet éditorialiste américain qui affirme que « tant que le metaverse sera peuplé de personnages de dessins animés sans jambe, personne n’aura envie d’y aller et que de fait le metaverse est mort né« .

Et pourtant, les metaverses sont de plus en plus présentés comme le futur des réseaux sociaux, même s’il va encore se passer un peu de temps. Gartner parlait en effet en février de 2025 comme l’année où 25% de la population passerait 1h par jour sur les metaverses. 

Dans l’intervalle, les réseaux sociaux continuent mine de rien d’évoluer comme l’analyse le passionnant article de Marie Dollé. Elle conclue qu’un nouvel acteur innovant arrive en moyenne tous les 5 ans : Snapchat en 2011, TikTok en 2016, BeReal en 2022 (dans notre radar depuis février 2021). Les innovations qu’elle voit arriver : le son, la 3D temps réel, la réalité virtuelle et les… NFT ; on est donc pas loin du metaverse non ?

Et dernier point, quand cette semaine un media mainstream comme NRJ fait gagner des NFT, n’est-ce pas le signe d’un palier franchi… ? Tendons l’oreille.

Pour finir, une campagne qui a fait parler d’elle semaine. Comme il n’est jamais trop tard pour bien préparer votre été, suivez les conseils de l’office du tourisme islandais pour répondre à vos emails pendant vos vacances…

Pas de newsletter la semaine prochaine (voir à la fin 👇) mais l’on se retrouve le vendredi 24 juin.

A retenir cette semaine

Série Google Analytics-CNIL : nouvel épisode en ligne

Le 10 février dernier, cataclysme dans le domaine du marketing : la CNIL déclare l’utilisation de Google Analytics illégale. Suite à l’invalidation du Privacy Shield visant à encadrer les flux de données vers les États-Unis, l’outil ne respecte pas le RGPD puisqu’il ne présente pas de « garanties suffisantes pour les droits des utilisateurs européens« . 

Après quelques mois de silence, la CNIL vient de reprendre la parole pour éclaircir ce qu’elle attend des organismes utilisant Google Analytics. Pour rappel, l’autorité française estimait que Google n’avait pas mis en place les mesures nécessaires pour exclure la possibilité d’un accès aux données des résidents européens par les autorités américaines car ces dernières sont transférées illégalement Outre-Atlantique.

Savez-vous que plus d’une entreprise sur deux craint un contrôle de la CNIL concernant le RGPD ? Elles le peuvent puisque l’autorité a réinsisté sur le fait que, si vous utilisez Google Analytics de la même façon que les organismes mis en demeure, alors vous en avez une utilisation illégale. L’ensemble des utilisateurs doivent se mettre en conformité. C’est en tout cas l’objectif visé. 

• Alors, qu’en est-il de Google Analytics aujourd’hui ?

Rien n’a changé… Les clauses contractuelles proposées par défaut par Google ne peuvent pas assurer un « niveau de protection suffisant en cas de demande d’accès d’autorités étrangères« . Même les mesures supplémentaires mises en place par le géant du numérique ont été jugées insatisfaisantes. 

Une question se pose alors : pouvons-nous paramétrer l’outil analytics afin de ne pas réaliser de transferts de données hors de l’UE ? La réponse est claire : non. En effet, Google a déclaré que toutes les données collectées par le biais de son outil sont hébergées aux US. Même avec le consentement explicite des personnes, il n’y a pas de dérogation possible puisqu’il s’agit de transferts systématiques.

Concernant le transfert de données anonymes, là encore, Google ne répond pas pleinement aux exigences : les données sont « pseudonymisées » mais pas anonymisées. Certes, les adresses IP sont utilisées anonymement mais ne concernent pas l’ensemble des transferts. De plus, rien ne nous prouve que cette anonymisation est réalisée avant l’arrivée des données aux États-Unis.

Cerise sur le gâteau, les identifiants uniques ne rendent pas impossible le fait de rendre les données identifiables et le chiffrement des données est insuffisant (les autorités US pouvant, si elles le demandent, accéder aux données en clair). Compliqué… 

En résumé, le problème réside dans le fait qu’il y ait contact direct, par le biais d’une connexion HTTPS, entre le terminal utilisé par l’internaute et les serveurs Google. Une solution possible mais complexe existe : la proxyfication. Sous un nom un poil barbare, il s’agit finalement d’utiliser un serveur mandataire (proxy) pour éviter ce contact direct. Une fois n’est pas coutume, un ensemble de critères sont à respecter pour empêcher une réidentification des internautes. Nous vous invitons à prendre connaissance des conditions de conformité.

• Et les solutions alternatives dans tout ça ?

Admettons que Google Analytics ne transfert pas les données des résidents européens aux États-Unis. La CNIL précise que, de toute façon, avoir recours à des solutions extra européennes n’est pas une bonne pratique puisqu’elles sont susceptibles de présenter des difficultés en matière d’accès aux données (par les autorités étrangères).

Il n’existe pas 36 solutions à l’heure actuelle avec les informations dont nous disposons : se tourner vers un prestataire proposant des garanties suffisantes. 

La CNIL a publié en septembre 2021 une liste d’outils analytics pouvant être exemptés de consentement. Elle est toujours d’actualité. Attention tout de même, elle n’examine pas encore les enjeux des transferts internationaux.

Finalement, des transferts de données entre l’Europe et les Etats-Unis seraient, en pratique, possibles à une condition : la mise en place de mesures techniques, juridiques et organisationnelles supplémentaires. Wait and see… 

Enfin, vous l’espériez peut-être mais la CNIL ne s’exprime pas (encore) sur les réponses apportées par Google avec Google Analytics 4 (GA4). N’attendons pas et prenons les devants : préparez les plans B. A voir s’il faudra les activer ou non et si oui, quand ? 👉 Offre RnD : Conseil & Stratégie.

30 mois depuis notre dernier séminaire physique chez RnD !

La semaine prochaine (enfin !), les équipes RnD basées à Limoges et à Paris se retrouveront pendant 2 jours pour partager, échanger et tout simplement être ensemble.
C’est aussi (et surtout) cela une équipe.

De ce fait, la newsletter prend sa pause 👉 RDV vendredi 24 juin.