Disons-le directement : non, Google Analytics n'est pas illégal en Suisse. Google Analytics s'est retrouvé sous le feu des critiques de plusieurs autorités européennes parce qu'il n'est pas conforme aux règles du GDPR sur les transferts de données extra-européens. Le GDPR ne s'applique pas dans la Confédération helvétique, car elle n'est pas membre de l'Union européenne ou de l'Espace économique européen.
>
Cependant, les entreprises suisses doivent quand même se conformer au GDPR si elles ciblent le marché européen ou surveillent les comportements dans l'UE (cela inclut l'utilisation de Google Analytics sur un site web ciblant un public européen). D'où l'intérêt de creuser plus en profondeur ici.
.
- La législation suisse sur la protection de la vie privée
- Quelles sont les règles applicables à Google Analytics en Suisse ?
- Puis-je transférer des données personnelles de l'Europe vers la Suisse ?
- Que signifie toute cette agitation autour de Google Analytics ?
- Pensées finales
Permettons-nous de plonger dedans !
La législation suisse sur la protection de la vie privée
La Constitution suisse reconnaît la protection des données et la vie privée comme des droits fondamentaux. Le droit suisse comprend un cadre complet de protection des données, notamment la loi fédérale sur la protection des données de 1992. Le DPA suisse (le commissaire à la protection des données et à l'information) a fait respecter ce cadre de protection des données au niveau fédéral.
Quelles sont les règles applicables à Google Analytics en Suisse ?
La loi suisse n'exige pas de consentement pour les cookies. Cependant, le site web doit fournir des informations sur l'utilisation des cookies et expliquer comment l'utilisateur peut se désengager du traitement.
Puis-je transférer des données personnelles de l'Europe vers la Suisse ?
La Commission européenne a adopté une décision d'adéquation pour la Suisse, la déclarant essentiellement comme une destination sûre pour les transferts de données. Vous pouvez transférer des données personnelles vers la Suisse sans aucune charge de conformité, comme si vous transmettiez les données à un État membre de l'UE.
.
Veuillez noter que la Commission réexamine périodiquement les décisions d'adéquation. Si vous prévoyez de vous appuyer sur une décision d'adéquation, assurez-vous qu'elle est toujours valable.
Il est important de savoir que la Suisse est un pays de l'Union européenne.
Que signifie toute cette agitation autour de Google Analytics ?
La récente tendance à prendre des décisions contre Google Analytics fait partie d'un puzzle juridique plus large concernant les transferts de données entre l'EEE et les États-Unis. La question ne concerne pas directement la Suisse, mais elle concerne les sites web suisses qui utilisent Google Analytics s'ils ciblent le marché ou le public européen. Nous avons déjà longuement écrit à ce sujet sur notre blog, voici donc une version courte.
La question centrale est la surveillance de l'État. En vertu du GDPR, les données personnelles européennes ne peuvent être transférées en dehors de l'EEE que lorsque cela peut être fait en toute sécurité. Cela est difficile pour les transferts de données américaines, car le cadre juridique américain permet une surveillance étendue et invasive des données des citoyens étrangers.
>
Deux cadres de transfert de données différents (Safe Harbor et Privacy Shield) entre l'UE et les États-Unis ont rendu possibles des transferts de données conformes au GDPR par le passé, mais ces deux cadres ont été invalidés par la Cour de justice de l'UE dans les affaires Schrems I et II. Un troisième cadre est en route, mais il sera certainement confronté à des défis juridiques. Avec un arrêt Schrems III déjà à l'horizon, l'avenir des flux de données entre l'UE et les États-Unis reste incertain.
>
En attendant, les entreprises doivent recourir à différents outils juridiques (généralement des clauses contractuelles types) pour transférer légalement des données aux États-Unis en vertu du GDPR. Cependant, le problème de ces outils est que ils n'offrent aucune protection contre la surveillance étatique. C'est pourquoi l'arrêt Schrems II a précisé qu'ils doivent être complétés par des mesures supplémentaires de protection de la vie privée chaque fois que des données sont envoyées vers des pays "non sûrs". Cela est difficile et tout à fait impossible pour les transferts requis par certains services basés sur le cloud, tels que Google Analytics (nous avons écrit à ce sujet ici).
Après l'arrêt Schrems II en 2020, la plupart des entreprises ont continué à faire comme si de rien n'était avec des prestataires de services basés aux États-Unis. Entre-temps, l'ONG noyb a déposé 101 plaintes concernant des transferts de données contre des sites web européens utilisant Google Analytics et Facebook Connect afin d'inciter les autorités à appliquer plus strictement l'arrêt Schrems II.
Les autorités de protection des données ont coordonné leur approche au niveau européen pour traiter les plaintes de manière cohérente. En conséquence, les Autrichiens, Français, Italiens, et Hongrois Les APD se sont prononcées contre l'utilisation de Google Analytics dans des décisions très similaires, et l'APD danoise a essentiellement fait de même dans un communiqué de presse. Bien que les décisions s'adressent à un contrôleur individuel, elles établissent toutes un précédent qui pratiquement équivaut à une interdiction à l'échelle de l'État, comme nous l'avons expliqué ici.
Avec la coordination au niveau européen et les autorités françaises et italiennes influentes qui montrent la voie, d'autres APD vont probablement suivre l'exemple et adopter une position plus dure sur Google Analytics.
Pensées finales
Que Google Analytics soit illégal en Suisse ou non, il n'est certainement pas respectueux de la vie privée des visiteurs de votre site web. Nous pensons que vous pouvez recueillir des informations sur votre site Web tout en respectant la vie privée de vos visiteurs. C'est pourquoi nous avons commencé à construire Simple Analytics en tant qu'alternative à Google Analytics respectueuse de la vie privée.
Avec Simple Analytics, vous pouvez toujours recueillir des informations et découvrir des opportunités à partir des analyses de votre site Web sans utiliser de cookies ni collecter de données personnelles. Vous voulez voir à quoi cela ressemble ? Consultez notre tableau de bord en direct ici. Si cela résonne en vous, n'hésitez pas à nous faire un essai.
Les résultats de l'analyse de votre site Web sont présentés dans le tableau de bord.