Cette initiative de l’agence de protection des données personnelles française précède une autre décision. Celle de l’autorité autrichienne le 13 janvier dernier portant sur un site Internet dans le domaine de la santé qui ne respectait pas le RGPD du fait de l’usage de Google Analytics. En cause : le transfert des données de Google Analytics vers les Etats-Unis.

Une stratégie de lock-in efficace

C’est en verrouillant ses utilisateurs grâce à un outil d’analyse de mesure d’audience simple, efficace et gratuit dès 2005 que Google a réussi à coloniser près de 90% du marché mondial (le fameux lock-in d’usage que nous abordons dans notre dernier GAFAnomics Quarterly). Avec cette mainmise sur la donnée par Google Analytics, l’entreprise a pu enrichir la proposition de valeur de tout son écosystème publicitaire et bâtir son empire de la publicité en ligne. Google est aujourd’hui devenu le passage obligé de ses partenaires, tuant dans l’œuf toute concurrence et lui permettant de dicter les règles du marché publicitaire en ligne tout en tirant les revenus des éditeurs à la baisse comme nous l’analysions dans un précédent focus des GAFAnomics Quarterly.
Quasi intégralement dépendant de cette solution, le monde du numérique a de quoi trembler de cette récente décision.

Google Analytics n’est d’ailleurs pas le seul outil concerné par les différentes plaintes : Facebook Connect, proposé par Facebook permettant d’utiliser son compte sur le réseau social pour se connecter sur un site tiers l’est également. De nouvelles annonces pourraient suivre puisque d’autres acteurs font l’objet d’enquêtes de la CNIL. On peut penser à Adobe Analytics par exemple, solution de web analyse du géant américain Adobe, qui décrit les transferts de données hors UE dans sa politique de protection des données personnelles. Plus qu’une simple décision ponctuelle, c’est très certainement un véritable mouvement de fond qui s’engage.

La naissance d’une adtech européenne ?

Si le bras de fer entre l’Europe et Google continue, la CNIL s’attaque donc pour l’instant aux clients de la firme de Sundar Pichai pour ajouter une pression supplémentaire au géant de la pub à se mettre en conformité RGPD. Elle a en effet mis en demeure des gestionnaires de site web français (sans les nommer) pour l’utilisation de Google Analytics et leur donne un mois pour changer leurs solutions. La majorité des entreprises françaises sont in fine concernées et n’ont d’autres choix que d’être attentives à la suite de ces décisions. Elles devront inévitablement étudier les alternatives et identifier tous les autres outils qui pourraient concerner le transfert de données hors UE.
Pour le marché européen de l’ad tech, cette période est peut-être l’occasion rêvée de venir redistribuer les cartes pour faire émerger de nouvelles solutions RGPD par design. De premières solutions françaises et européennes existent comme AT Internet, qui sont certes payantes, mais permettent de répondre aux exigences réglementaires et des consommateurs.

Cette décision remet en évidence également le besoin pour les entreprises d’essayer de maîtriser sa dépendance aux GAFA, et plus généralement l’intérêt d’être propriétaire de ses données ainsi que de mieux en contrôler leurs collectes dans un contexte où elles deviennent rares. Si cette stratégie demande quelques investissements pour créer cette couche de données dans son infrastructure, elle est une piste sérieuse dans un monde où le RGPD devient un avantage plutôt qu’une contrainte.