Action concernant l’Université Paris Nanterre suite à l’utilisation de Google Analytics et de Google Ads sur le site PARISNANTERRE.FR
En février 2023, le site de l’Université Paris Nanterre, « PARISNANTERRE.FR », utilisait Google Analytics et l’exécutait au chargement de la page, avant la moindre action de l’internaute.
Ce traitement de données était réalisé malgré l’affichage d’une bannière de consentement à l’utilisation de cookies, dont le texte était : « Ce site utilise Google Analytics. En appuyant sur le bouton "j’accepte" ou en continuant à naviguer sur le site, vous nous autorisez à déposer des cookies à des fins de mesure d’audience ».
Une plainte a été déposée à la CNIL pour demander notamment que Google Analytics soit retiré. La Commission a répondu, quatre mois plus tard, que « les services de la CNIL sont intervenus […] en rappelant à l’UNIVERSITE PARIS-NANTERRE les obligations qui lui incombent concernant l’encadrement des transferts de données vers un pays hors de l’Union européenne et plus particulièrement vers les États-Unis ».
La Commission lui a également rappelé que « le dépôt de cookies ne peut avoir lieu qu’à la condition que l’utilisateur ait exprimé son consentement préalable, sauf s’il s’agit de cookies strictement nécessaires à la fourniture du service ».
Deux mois mois après ce rappel à la loi, Google Analytics était toujours utilisé et exécuté sans le consentement préalable des visiteurs. De plus, le service Google Ads était désormais utilisé dans les mêmes conditions. Une seconde plainte a été déposée pour réitérer les demandes initiales. La Commission a répondu, six mois plus tard que « la Présidente de la CNIL a décidé d’ouvrir une procédure de contrôle afin de vérifier la conformité des traitements de données à caractère personnel que l’UNIVERSITE PARIS NANTERRE met en œuvre », que « sur la base des éléments ainsi recueillis, la Présidente de la CNIL a, le 24 janvier 2024, mis en demeure l’UNIVERSITE PARIS NANTERRE de se conformer aux dispositions de l’article 82 de la loi Informatique et Libertés » et enfin, que « l’UNIVERSITE PARIS NANTERRE dispose d’un délai de deux mois pour se conformer à cette décision ».
Dix jours après cette mise en demeure, il a été constaté que les services Google Analytics et Google Ads avaient été retirés. La bannière de consentement a également été retirée.
Chronologie des événements :
-
Plainte déposée à la CNIL
La plainte n° 44-17697 a été déposée à la CNIL pour demander que Google Analytics soit retiré, que les données collectées grâce à Google Analytics soient supprimées et que les personnes soient informées que leurs données personnelles ont été transférées dans un pays ne garantissant pas une protection adéquate.Documents
- Plainte Univ Paris Nanterre GA.pdf
- www.parisnanterre.fr_Archive [23-02-16 13-58-43].txt
-
Plainte transmise
La plainte n° 44-17697 a été transmise au service de l’exercice des droits et des plaintes de la CNIL. -
Message de la CNIL
La CNIL a indiqué que « les services de la CNIL sont intervenus […] en rappelant à l’UNIVERSITE PARIS-NANTERRE les obligations qui lui incombent concernant l’encadrement des transferts de données vers un pays hors de l’Union européenne et plus particulièrement vers les États-Unis » et que « le dépôt de cookies ne peut avoir lieu qu’à la condition que l’utilisateur ait exprimé son consentement préalable, sauf s’il s’agit de cookies strictement nécessaires à la fourniture du service ».Voir le message intégral
Monsieur,
Vous avez saisi la Commission Nationale de l’Informatique et des Liberté (CNIL) d’une plainte relative à l’utilisation du service Google Analytics sur le site web parisnanterre.fr édité par l’UNIVERSITE PARIS-NANTERRE. Vous visez en effet que l’usage de cet outil entraine des transferts vers les États-Unis. Vous ajoutez que les cookies liés à l'utilisation d'un tel outil sont déposés avant toute action, dès l’arrivée de l’internaute sur le site.
Les services de la CNIL sont intervenus ce jour à l’appui de votre plainte, par courriel de ce jour, en rappelant à l’UNIVERSITE PARIS-NANTERRE les obligations qui lui incombent concernant l'encadrement des transferts de données vers un pays hors de l’Union européenne et plus particulièrement vers les États-Unis à la suite de l'invalidation de la décision 2016/1250 relative à l'adéquation de la protection assurée par le bouclier de protection des données entre l’Union européenne et les États-Unis (Privacy shield).
Nous lui avons également rappelé que, conformément à l’article 82 de la loi « Informatique et Libertés », sauf s’il s’agit de cookies strictement nécessaires à la fourniture du service sollicité par l’utilisateur ou de cookies ayant pour finalité exclusive de permettre ou de faciliter la communication par voie électronique, le dépôt de cookies ne peut avoir lieu qu’à la condition que l’utilisateur ait exprimé son consentement préalable.
Compte tenu de ces éléments, il est procédé à la clôture de votre dossier.
Si malgré cette intervention et l’écoulement d’un délai raisonnable pour l’UNIVERSITE PARIS-NANTERRE pour adopter les mesures nécessaires, vous constatez que la problématique persiste, nous vous invitons à revenir vers nos services en nous saisissant d’une nouvelle plainte, par voie postale ou électronique en utilisant notre téléservice de plainte en ligne https://www.cnil.fr/fr/plaintes, et en y joignant tout élément utile à son instruction (nous vous invitons à également y mentionner le numéro de ce dossier). La CNIL examinera alors s’il convient de mener de plus amples investigations.
Nous vous informons que, sous réserve de l’intérêt pour agir des requérants, les décisions de la CNIL sont susceptibles de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de leur notification.
Nous vous prions d’agréer, Monsieur, l’expression de nos salutations distinguées.
Service de l’exercice des droits et des plaintes
-
Plainte déposée à la CNIL
Google Analytics était toujours utilisé et exécuté au chargement de la page. La plainte n° 44-35321 a été déposée à la CNIL pour réitrérer les demandes initiales.Documents
- Plainte ParisNanterre GA2.pdf
- www.parisnanterre.fr_Archive [23-07-28 17-20-27].har.txt
-
Plainte transmise
La plainte n° 44-35321 a été transmise au service de l’exercice des droits et des plaintes de la CNIL. -
Message de la CNIL
La CNIL a indiqué que « la Présidente de la CNIL a décidé d’ouvrir une procédure de contrôle afin de vérifier la conformité des traitements de données à caractère personnel que l’UNIVERSITE PARIS NANTERRE met en œuvre », que « sur la base des éléments ainsi recueillis, la Présidente de la CNIL a, le 24 janvier 2024, mis en demeure l’UNIVERSITE PARIS NANTERRE de se conformer aux dispositions de l’article 82 de la loi Informatique et Libertés et enfin, que « l’UNIVERSITE PARIS NANTERRE dispose d’un délai de deux mois pour se conformer à cette décision ».Voir le message intégral
Monsieur,
Vous avez adressé à la Commission nationale de l’informatique et des libertés (CNIL) une plainte à l’encontre de l'UNIVERSITE PARIS NANTERRE relative aux modalités de dépôt de traceurs (cookies) sur le site web https://www.parisnanterre.fr.
Dans le cadre des suites données à votre plainte, la Présidente de la CNIL a décidé d’ouvrir une procédure de contrôle afin de vérifier la conformité des traitements de données à caractère personnel que l'UNIVERSITE PARIS NANTERRE met en œuvre.
Sur la base des éléments ainsi recueillis, la Présidente de la CNIL a, le 24 janvier 2024, mis en demeure l'UNIVERSITE PARIS NANTERRE de se conformer aux dispositions de l’article 82 de la loi Informatique et Libertés.
L'UNIVERSITE PARIS NANTERRE dispose d’un délai de deux mois pour se conformer à cette décision.
Compte-tenu de ces éléments, j'estime que l'action de la CNIL a permis d'apporter une réponse appropriée à la situation pour laquelle vous l’avez saisie. Dès lors, je vous informe de ma décision de clore votre plainte à l’encontre de l'UNIVERSITE PARIS NANTERRE.
Sous réserve de votre intérêt à agir, vous pouvez contester cette décision de clôture en saisissant le Conseil d’Etat dans un délai de 2 mois à compter de la date de notification de ce message.
Je vous prie d’agréer mes salutations distinguées.
Par délégation de la Présidente
[RETIRÉ]
Chargée d’instruction juridique
au service de l’exercice des droits et des plaintes
-
Constatation
Google Analytics et Google Ads n’était plus intégrés au site et la bannière de consentement n’était plus affichée.