Pourquoi l’utilisation de Google Analytics 4 (GA4) est illégale en Suisse ?
Le Conseil fédéral tient une liste (en annexe 1 de l’Ordonnance sur la protection des données personnelles) des pays que la Suisse considère comme garantissant un niveau adéquat en matière de protection des données.
Afin de communiquer des données vers un pays non-adéquat, le responsable de traitement doit prendre des mesures particulières. A défaut, la communication est illégale.
Or en utilisant GA4, des données personnelles, notamment l’adresse IP, sont communiquées aux États-Unis, pays qui n’est pas considéré comme « adéquat » et ne figurant ainsi pas sur la liste du Conseil fédéral.
Que risque-t-on en utilisant GA4 en Suisse ?
Si une plainte est déposée à votre encontre, vous pouvez risquer jusqu’à CHF 250’000.- d’amende.
Toutefois, tout porte à croire qu’aucune sanction ne devrait aujourd’hui être prononcée. En effet, nous sommes actuellement face à une incertitude, puisque le Préposé fédéral à la protection des données a confirmé qu’une discussion était en cours avec les États-Unis concernant la conclusion d’un accord, le Data privacy Framework Suisse-Etats-Unis. Cela n’est donc a priori qu’une question de temps avant que l’utilisation de GA4 devienne licite.
GA4 est-il légal en Europe ?
Le 10 juillet 2023, la Commission européenne a adopté un accord permettant le transfert de données personnelles vers certaines entités aux États-Unis.
Les entités en question doivent adhérer obligatoirement à cet accord.
C’est le cas de Google LLC.
La liste des entités agréés se trouve ici.
Depuis cet accord, les entreprises européennes peuvent donc à nouveau transférer des données personnelles à GA4 sans garanties supplémentaires.
Les solutions alternatives en attendant la décision de la Suisse
- Déployer GA4 avec l’utilisation de la proxification et s’assurer du consentement de l’utilisateur (le désavantage étant que GA4 perd de son utilité)
- Choisir un autre outil tel que Matomo
Informations sur la mise en conformité en matière de protection des données personnelles