Les lois laxistes et les accords de faveur appartiennent désormais au passé pour les grandes entreprises technologiques, en particulier en Europe où une série de décisions constituent une menace majeure pour l'un des produits phares de Google.

Plus de la moitié des sites Web dans le monde utilisent Google Analytics pour aider leurs propriétaires à comprendre le comportement des utilisateurs.

Le logiciel, qui déploie des cookies pour suivre le comportement des utilisateurs, ne coûte rien en termes d'argent, bien que la vaste mine de données contribue à alimenter les énormes profits de Google.

Cependant, en 2020, le cadre régissant la manière dont les données personnelles sont transférées de l'UE vers les États-Unis a été annulé par les juges de l'UE en raison de préoccupations concernant l'espionnage par les agences d'espionnage américaines.

Les militants ont depuis déposé des dizaines de plaintes auprès des régulateurs en Europe en faisant valoir que l'outil viole les droits fondamentaux des ressortissants de l'UE.

Les régulateurs de plusieurs pays ont tranché en faveur des militants et déclaré Google Analytics incompatible avec le règlement européen sur la confidentialité des données (RGPD).

Les décisions laissent de nombreuses entreprises européennes dans une impasse.

Ils peuvent abandonner Google et passer à une option respectueuse de la vie privée qui coûte de l'argent, ou attendre et espérer une solution de Google, des régulateurs ou des politiciens.

Vendredi, les États-Unis et l'UE ont annoncé qu'ils s'étaient mis d'accord sur le principe d'un nouveau cadre pour autoriser les transferts de données, mais n'ont pas fourni plus de détails.

L'avocat autrichien Max Schrems, qui a dirigé la campagne pour invalider les accords précédents, a écrit sur Twitter que cela ressemblait à une autre approche "patchwork" sans réforme substantielle des règles d'espionnage américaines.

"Attendons un SMS, mais mon premier pari est qu'il échouera à nouveau", a-t-il écrit.

Corrections potentielles

La semaine dernière, Google a annoncé qu'il publierait une nouvelle version de son logiciel qui ne stockerait pas les adresses IP, le code unique qui peut identifier les ordinateurs individuels.

L'entreprise américaine a également construit des centres de données en Europe.

Cependant, l'impact de ces correctifs potentiels n'est pas clair. Les régulateurs n'ont pas encore commenté.

"Les autorités de protection des données n'ont pas la solution", déclare Florence Raynal de la CNIL, qui a condamné Google.

"Cette solution doit être fournie par les gouvernements au niveau politique."

Les entreprises américaines sont soumises à une loi connue sous le nom de Cloud Act qui permet aux agences de sécurité américaines d'accéder aux données des citoyens étrangers, quel que soit l'endroit où elles sont stockées.

Bien que Google ait soutenu que le risque posé par le Cloud Act est théorique, il rend néanmoins difficile pour les entreprises américaines de se conformer au RGPD.

'À la croisée des chemins'

Marie-Laure Denis, responsable de la CNIL, considérée comme un leader dont les décisions sont suivies par d'autres régulateurs, a résumé le dilemme lors d'une conférence de l'Association internationale des professionnels de la vie privée (IAPP) à Paris la semaine dernière.

Elle a dit des entreprises américaines que "leur modèle économique doit évoluer, ou le cadre juridique américain doit évoluer".

Mais elle a admis que la situation des entreprises européennes utilisant Google Analytics était "compliquée".

Pascal Thisse, qui dirige une agence conseillant les entreprises sur la manière de se conformer au RGPD, explique que les entreprises se trouvent "à la croisée des chemins" sans avoir une idée claire de la voie à suivre.

"Si vous dites à un client qui utilise Google Ads de supprimer Google Analytics, tout s'effondre car c'est la base du système", dit-il.

Mais pour se conformer aux décisions européennes, les entreprises devraient prouver que les services de renseignement américains ne sont pas intéressés par les données collectées, une entreprise bien au-delà des moyens des petites entreprises.

L'avocat Schrems admet également qu'il n'y a pas de solution facile.

"C'est difficile pour nous parce que d'habitude nous essayons de plaider des choses là où il y a une solution et dans ce cas, nous avons un problème politique", a-t-il déclaré lors d'un événement virtuel la semaine dernière avant l'annonce américano-européenne.

Il a déclaré que la loi américaine autorisait la surveillance de masse des citoyens non américains, ce qui était contraire à la charte des droits fondamentaux de l'UE.

"Soit les États-Unis modifient leurs lois, soit l'Union européenne modifie ses principes fondateurs fondamentaux", a-t-il déclaré.