En septembre 2022, le site dédié aux Journées du Patrimoine, « JOURNEESDUPATRIMOINE.CULTURE.GOUV.FR », édité par le ministère de la Culture, utilisait Google Analytics et l’exécutait au chargement de la page, avant la moindre action de l’internaute.

Ce traitement était réalisé malgré l’affichage d’une bannière de consentement à l’utilisation de cookies.

Une plainte a été déposée à la CNIL pour demander notamment que Google Analytics soit retiré. La Commission a répondu, six mois plus tard, que « les services de la CNIL sont intervenus […] en rappelant au MINISTERE DE LA CULTURE les obligations qui lui incombent concernant l’encadrement des transferts de données vers un pays hors de l’Union européenne et plus particulièrement vers les Etats-Unis ».

La Commission lui a également rappelé que « le dépôt de cookies ne peut avoir lieu qu’à la condition que l’utilisateur ait exprimé son consentement préalable, sauf s’il s’agit de cookies strictement nécessaires à la fourniture du service ».

En juillet 2023, il a été constaté que Google Analytics était toujours présent et exécuté mais que des règles (Consent Security Policy) avaient été mises en place pour demander au navigateur de le bloquer.

Chronologie des événements :

  • Le 01/09/2022, une plainte a été déposée à la CNIL (réf. 44-1085) pour demander (i) que le module Google Analytics soit retiré, (ii) que les données collectées grâce au module Google Analytics soient supprimées et que (iii) les personnes soient informées que leurs données personnelles ont été collectées sans leur consentement et transférées dans un pays ne garantissant pas une protection adéquate.
  • Le 08/03/2023, un message a été reçu de la CNIL pour indiquer que « les services de la CNIL sont intervenus […] en rappelant au MINISTERE DE LA CULTURE les obligations qui lui incombent concernant l’encadrement des transferts de données vers un pays hors de l’Union européenne et plus particulièrement vers les Etats-Unis » et en lui rappelant que « le dépôt de cookies ne peut avoir lieu qu’à la condition que l’utilisateur ait exprimé son consentement préalable, sauf s’il s’agit de cookies strictement nécessaires à la fourniture du service » (Voir le message intégral).
  • Le 21/07/2023, il a été constaté que Google Analytics était toujours présent. L’en-tête Consent Security Policy des pages a toutefois été implementé ou modifié pour le bloquer.
Cette action est désormais terminée.