Serveur proxy appartenant à l'UE pour sGTM ou comment utiliser Google Analytics de manière conforme au RGPD

Au cours des deux derniers mois, l'UE a commencé à limiter l'utilisation des services Google pour les pays européens. Il y a plusieurs incidents dans différents pays, mais l'incidence la plus répandue était liée aux réglementations en Italie, en France et en Autriche, où les régulateurs de la protection des données ont déclaré que l'utilisation de Google Analytics n'est pas conforme au RGPD.

Dans cet article, je voudrais parler de la réglementation interdisant le transfert de données d'utilisateurs européens vers des entreprises américaines. J'expliquerai également comment vous pouvez utiliser Stape Europe pour configurer un serveur proxy européen pour le serveur GTM qui contribuera à rendre l'utilisation de Google Analytics conforme au RGPD.

L'histoire juridique du partage de données entre les entreprises européennes et américaines a commencé en 2016 lorsque la Commission européenne a approuvé le Privacy Shield (un cadre juridique qui réglemente le transfert de données à des fins commerciales entre les entreprises américaines et européennes).

En 2020, la Cour de justice européenne a déclaré que Privacy Shield est invalide. C'est arrivé parce que la loi américaine n'offre pas une protection suffisante des données personnelles pour les résidents européens.

La discussion approfondie dans cette décision portait sur les services Google (comme Google Analytics ou Google Fonts) qui ne peuvent pas garantir la sécurité des données des utilisateurs de l'UE.

Ils ont déclaré que demander le consentement de l'utilisateur (ou des clauses contractuelles types) sur le site et déclencher un suivi intelligent basé aux États-Unis basé sur le consentement de l'utilisateur ne rendra pas cet outil de suivi GDPR complet.

Les deux incidents les plus connus liés au transfert de données d'utilisateurs de l'UE vers les États-Unis se sont produits en Italie et en France. Commençons par celui-ci de France.

L'autorité française de protection des données (CNIL) a reçu des plaintes d'utilisateurs français qui demandaient si l'utilisation de Google Analytics (un outil de renseignement appartenant à la société américaine) était conforme aux règles du RGPD.

La CNIL a indiqué que l'utilisation de Google Analytics par des sites français entraînait un transfert de données des utilisateurs européens vers des sociétés américaines. Cela enfreint les règles du RGPD, car les entreprises américaines ne fournissent pas suffisamment de preuves que les données personnelles des utilisateurs de l'UE sont en sécurité. Par ailleurs, la CNIL a confirmé que la mise en place des SCC par Google n'est pas suffisante pour répondre aux exigences du RGPD.

La situation en Italie est un peu pareil. Le régulateur italien SA a reçu des questions de plusieurs utilisateurs pour savoir si l'utilisation de Google Analytics par un site italien particulier est conforme au RGPD. Après de longues enquêtes, le régulateur italien a averti la société italienne qu'elle devait cesser d'utiliser Google Analytics ou mettre en place GA de manière conforme au GDPR dans 90 jours.

En plus, le régulateur italien a publié un avis public indiquant qu'il avait reçu plusieurs plaintes concernant le transfert de données aux entreprises américaines. Tous les propriétaires de sites Web italiens devraient en tenir compte lors de la mise en œuvre d'outils de suivi intelligents basés aux États-Unis. Sinon, des pénalités peuvent s'appliquer.

Donc, pour résumer, le transfert de données des utilisateurs de l'UE vers des entreprises américaines n'est pas conforme au RGPD. La plus grande question concerne l'utilisation de Google Analytics, car il s'agit de l'outil d'analyse le plus répandu.

Cryptage des données.

Le régulateur italien affirme que le transfert de données cryptées n'est pas un moyen acceptable et ne peut garantir la protection des données des utilisateurs. La raison en est que la technologie de cryptage attend des clés de cryptage sur le site de Google qui peuvent être utilisées pour voir et traiter les données brutes des utilisateurs. Ainsi, tant que la clé de chiffrement est disponible pour l'importateur de données (dans ce cas, Google), cette méthode ne peut pas être considérée comme conforme au RGPD.

Fonctionnalités Google Analytics intégrées qui suppriment les informations privés.

Google a tenté de s'adapter aux règles de confidentialité de l'UE en mettant en œuvre des fonctionnalités conçues pour anonymiser les données des utilisateurs. Les régulateurs de l'UE ont déclaré qu'en pratique, la suppression de la propriété intellectuelle de l'utilisateur peut avoir un effet quasi nul sur l'empêchement de l'identification de l'utilisateur. Principalement à cause du traitement constant de la propriété intellectuelle  par Google.

Consentement de l'utilisateur.

Google Analytics n'est toujours pas conforme au GDPR si un utilisateur consent aux cookies d'analyse. Ils ont déclaré que le transfert de données à des entreprises américaines et le consentement sont différents. Le consentement de l'utilisateur n'aide pas à résoudre le problème.

Selon les deux régulateurs, la solution possible consiste à utiliser un serveur proxy européen. Ce serveur proxy vise à briser l'interaction des outils de suivi du renseignement américain avec les navigateurs des utilisateurs. L'un des moyens, et peut-être le plus simple, d'implémenter un tel serveur proxy consiste à utiliser Google Tag Manager.

Les serveurs proxy doivent répondre à un ensemble de critères. Les deux plus importants sont: 

• Une entreprise qui possède un serveur proxy doit être enregistrée dans l'UE
• Le serveur proxy doit être physiquement situé dans l'UE

Bien que le point sur les sociétés enregistrées dans l'UE soit clair, vous pouvez rapidement vérifier où une société est enregistrée sur son site Web ou en consultant les répertoires des registres publics. Le deuxième point pourrait être plus délicat.

Le principal malentendu concerne l'utilisation de Google Cloud pour sGTM. Vous NE POUVEZ PAS utiliser Google Cloud comme serveur proxy pour votre sGTM. Lors de la mise en place d'un serveur proxy (qui peut être un serveur Google Tag Manager), non seulement la zone du serveur doit être en Europe, mais le serveur physique doit être situé en Europe et appartenir à une société européenne.

La mauvaise nouvelle est que l'utilisation d'un serveur proxy 100% UE pour votre serveur Google Tag Manager est insuffisante. Vous devez supprimer toutes les données utilisateur utilisées pour identifier les utilisateurs par la plate-forme d'analyse. Vous devez également pseudo-anonymiser les données des utilisateurs avant de les envoyer à l'outil de suivi américain.

1. Adresse IP.

Vous devez supprimer l'adresse IP de la demande pour vous assurer qu'elle ne peut pas être utilisée pour identifier les utilisateurs. Couper tout simplement l'IP, cela ne fonctionnera pas car il peut toujours être utilisé pour identifier les zones où se trouve l'utilisateur.

2. Identifiants des utilisateurs.

Lorsqu'un utilisateur visite votre site, Google génère un identifiant client unique qui identifie la paire navigateur-appareil de l'utilisateur et stocke des cookies. L'ID client généré par Google doit être supprimé, bien que vous puissiez toujours utiliser un ID client généré de manière aléatoire.

3. Référent externe.

Vous devez supprimer toutes les données sur le site Web que l'utilisateur a visité avant de venir sur votre site. Habituellement, ces données contiennent des informations indiquant si les visiteurs sont venus sur votre site en cliquant sur un lien dans le blog, une recherche organique, etc.

4. Paramètre d'URL.

Souvent, les paramètres d'URL contiennent des informations sur la source, le support, la campagne ou l'ID de clic. En plus, certains sites Web insèrent des données utilisateur (comme l'e-mail, le nom, le téléphone) dans l'URL. Quels que soient les paramètres d'URL de votre site, ils doivent être supprimés.

5. Toutes les données pouvant être utilisées pour la prise d'empreintes digitales. 

Un ensemble de données peut être utilisé pour la prise d'empreintes digitales ; pour l'instant, il n'y a pas d'informations claires sur ce que les régulateurs de données considèrent comme celles qui peuvent être utilisées pour la prise d'empreintes digitales. Cela inclut le navigateur, l'appareil, le modèle, les paramètres de langue, la résolution d'écran, etc.

6. Identifiant intersite.

 Fondamentalement, n'importe quel identifiant peut identifier le même utilisateur sur un site Web différent. Il peut s'agir d'un ID utilisateur, d'un ID utilisateur dans CRM, d'un e-mail d'utilisateur, etc.

7. Toutes les données qui pourraient être utilisées pour l'identification de l'utilisateur. 

Toute information sur l'utilisateur.

Pour l'instant, il n'existe aucun moyen d'automatiser la suppression de tous les paramètres décrits ci-dessus. Tous ces éléments doivent être remplacés manuellement à l'aide de l'interface du serveur Google Tag Manager.

Pour relever ces défis de suivi, nous créons un nouveau produit - Stape Europe. Stape Europe est une société européenne (enregistrée en Estonie) qui utilise un fournisseur de serveurs cloud 100 % européen Scaleway pour héberger des conteneurs de serveur GTM.

Nous couvrons toutes les questions liées au serveur proxy appartenant à l'UE. Lors de la configuration d'un conteneur sGTM à l'aide de Stape Europe, vous ne transférez aucune donnée à la société américaine car Stape Europe elle-même est une société enregistrée dans l'UE et nous utilisons des serveurs physiquement situés en Europe.

Malheureusement, pour l'instant, nous n'avons pas de solution pour la suppression automatisée des données des utilisateurs. Bien que notre équipe travaille feme pour mettre en œuvre des fonctionnalités qui aideront à supprimer automatiquement les informations privées, ou du moins nous vous faciliterons la vie en supprimant automatiquement certaines des informations privées.

Beaucoup de travail doit être fait pour rendre l'utilisation de Google Analytics conforme au RGPD. Cela peut être très pénible si vous n'êtes pas familier avec le balisage côté serveur. 

La bonne chose est qu'avec Stape, vous n'avez pas à vous soucier du serveur proxy de l'UE et vous pouvez directement vous plonger dans les limitations de données définies dans l'interface du serveur Google Tag Manager.

À quoi ressembleraient les données Google Analytics une fois que vous auriez supprimé toutes les informations requises ? Suffira-t-il d'analyser le comportement des utilisateurs, les performances du site, etc. ? Eh bien, nous verrons moins de données que d'habitude. Mais il semble que ce soit une nouvelle réalité à laquelle nous devons nous habituer.

Soit vous décidez de rester conforme au RGPD et de recevoir moins de données sur les visiteurs du site Web. Ou négligez ces règles et risquez de recevoir des avertissements ou des amendes pour avoir transféré des données d'utilisateurs aux États-Unis.

Bien qu'il y ait eu des cas liés au transfert de données en Italie, en France et en Autriche, certains autres pays européens ont déjà commencé à parler de réglementations similaires. Donc, si vous implémentez le suivi côté serveur, je vous propose de supprimer immédiatement la partie avec transfert de données aux États-Unis. N'attendez pas que les mêmes cas se reproduisent dans votre pays ; vous devez refaire la configuration

En tous ca, si vous avez des questions, n'hésitez pas à nous contacter. L'équipe Stape peut également vous aider à configurer un serveur proxy européen pour vous !