La Cnil appelée à se prononcer sur l'utilisation de Google Analytics par les entreprises de l'e-santé

"L'association française Interhop a saisi la Cnil pour lui demander de se positionner sur l'utilisation de Google Analytics par les entreprises spécialisées dans l'e-santé. L'autorité autrichienne a décidé il y a quelques jours que l'utilisation de Google Analytics violait le RGPD car le recours à cet outil engendrait nécessairement le transfert des données personnelles vers les Etats-Unis. 

Interhop, une association qui promeut, développe et met à disposition des logiciels libres pour la santé, a saisi la Commission nationale de l'informatique et des libertés (Cnil) pour l'enjoindre de se pencher sur l'utilisation du service Google Analytics par les entreprises spécialisées dans l'e-santé. "En voici une liste non exhaustive : Recare, Qare, HelloCare, Alan, Therapixel, Implicity, Medaviz, Medadom, KelDoc, Maiia...", détaille l'association dans un courrier datant du 29 janvier 2022.

C'est une décision particulièrement importante rendue par l'autorité de protection des données autrichienne (la Datenschutzbehörde) qui justifie cette nouvelle saisine de la Cnil. Le 13 janvier dernier, elle a jugé que l'utilisation de Google Analytics violait le Règlement général sur la protection des données (RGPD) car elle engendrait de facto le transfert des données personnelles vers les Etats-Unis. Or, depuis l'invalidation du Privacy Shield par le juge européen, les flux de données de citoyens européens vers les Etats-Unis sont très largement remis en cause et leur légalité est loin d'être évidente.

En vertu d'un ensemble de réglementations, les fournisseurs de cloud américains sont soumis aux ordres des autorités américaines. Sous certaines conditions, elles peuvent exiger l'accès à des données hébergées par ces derniers même si elles sont stockées en dehors du territoire américain. C'est cette extraterritorialité du droit américain qui a justifié l'invalidation du Privacy Shield par la Cour de justice de l'Union européenne (CJUE). Elle a estimé que les pratiques américaines n'étaient pas compatibles avec les protections du RGPD..." Lire la suite