Les politiques de conservation des donnees sont un element essentiel de la conformite au RGPD, pourtant de nombreuses organisations utilisant Google Analytics ne comprennent pas pleinement combien de temps les donnees utilisateur sont stockees ou quel controle elles ont sur les periodes de conservation. Cela cree des risques significatifs de conformite.

Comment fonctionne la conservation des donnees dans Google Analytics

Google Analytics stocke les donnees au niveau de l'utilisateur et au niveau des evenements pendant des periodes configurables. Les parametres de conservation par defaut et les options disponibles ont change selon les versions de la plateforme. Dans GA4, la conservation des donnees utilisateur peut etre definie a 2 mois ou 14 mois, tandis que les rapports agreges restent disponibles indefiniment.

Cependant, la distinction entre les donnees au niveau de l'utilisateur et les donnees agregees est importante. Meme apres l'expiration des donnees au niveau de l'utilisateur, Google peut conserver des donnees agregees ou desidentifiees derivees des donnees personnelles originales.

Exigences du RGPD

Le principe de limitation de la conservation du RGPD exige que les donnees personnelles ne soient conservees que le temps necessaire a la finalite de leur traitement. Les organisations doivent definir et justifier leurs periodes de conservation, et les donnees doivent etre supprimees ou anonymisees lorsqu'elles ne sont plus necessaires.

Pour l'analyse web, cela souleve des questions difficiles : combien de temps une organisation a-t-elle reellement besoin de donnees au niveau des visiteurs ? Une periode de conservation de 14 mois est-elle justifiee pour une analyse de trafic courante ? Les organisations peuvent-elles demontrer que leurs parametres de conservation correspondent a leurs finalites declarees ?

Defis de conformite

Au-dela des periodes de conservation, le probleme fondamental est que les donnees stockees par Google Analytics resident sur une infrastructure controlee par une entreprise americaine, soumise aux lois de surveillance americaines. Cela cumule la question de la conservation avec les preoccupations relatives aux transferts de donnees qui ont conduit plusieurs autorites europeennes a declarer l'utilisation de Google Analytics non conforme au RGPD.

Les organisations devraient revoir leurs parametres de conservation des donnees d'analyse, s'assurer qu'elles peuvent justifier les periodes choisies et envisager si des alternatives respectueuses de la vie privee avec un stockage de donnees transparent et base dans l'UE repondent mieux a leurs besoins de conformite.