Vente à emporter (AI)
- Le Garante italien se joint à l’Autriche et à la France pour qualifier la transmission de données personnelles par Google Analytics de communication.
- L’adresse IP est considérée comme une donnée à caractère personnel ; l’anonymisation IP n’est qu’une pseudonymisation et ne suffit pas, car Google peut permettre une identification supplémentaire.
- Transfert vers les Etats-Unis non autorisé sans mesures supplémentaires ; cryptage Google insuffisant, car la clé reste chez Google.
Après Autriche (autorité de protection des données) et France (CNIL) l’Italie (le garant) limite également l’utilisation de Google Analytics :
Le Garant se rallie sur le fond aux décisions de l’Autriche et de la France. Tout d’abord, il existe une Communication de données personnelles avant :
- Lors de l’utilisation de Google Analytics, des informations sur le comportement sur un site web sont collectées par des cookies, entre autres l’adresse IP. Dans le cas présent, l’entreprise concernée avait encore conclu l’accord d’utilisation avec Google LLC aux États-Unis.
- Une L’adresse IP est une donnée à caractère personnelL’adresse IP peut être utilisée pour identifier un appareil de communication électronique, rendant ainsi la personne concernée identifiable en tant qu’utilisateur. Cela vaut “en particulier” lorsque l’adresse IP est associée, comme dans le cas présent, à d’autres informations sur le navigateur utilisé ainsi que sur la date et l’heure de la visite.
- En outre, les données collectées peuvent être associées à d’autres informations du compte d’utilisateur concerné chez Google.
- En l’occurrence, l’option de Raccourcissement de l’adresse IP n’a pas été activée avant la transmission aux États-Unis. Une telle “anonymisation IP” n’est cependant qu’une pseudonymisation, car Google peut identifier l’utilisateur par d’autres indications.
Cette annonce serait non autorisé:
- Pour sa défense, l’entreprise concernée avait notamment invoqué la probabilité du risque d’accès aux données par les autorités et la gravité de ce risque. Le garant rappelle ici que la CJUE, dans le Arrêt Schrems II Cour de justice dans l’arrêt précité pas à des facteurs subjectifs tels que la probabilité d’accès aux données. pris j’ai.
- Le garant estime en outre à ce sujet que la législation et les pratiques du pays tiers empêchent en l’espèce l’importateur de remplir ses obligations découlant des CSC, sans qu’il ne procède à un examen plus approfondi de ce point. Par conséquent mesures supplémentaires qui garantissent un niveau de protection équivalent à celui du RGPD sont nécessaires.
- Les mesures prises par Google Mesures de cryptage ne sont pas suffisantes, car la clé reste entre les mains de Google, ce qui permet aux autorités d’y accéder et donc d’accéder aux données cryptées.
La décision du Garant n’est plus surprenante et n’appelle guère de commentaires. Le Garant examine lui aussi uniquement s’il existe des bases juridiques déficitaires aux Etats-Unis (ce qui est généralement supposé depuis Schrems II sans examen propre), mais pas la probabilité qu’une autorité en profite.