Tracking et réglementation RGPD peut-on continuer à utiliser Google Analytics ? 

Ce live est organisé par GiveXpert, solution complète et francophone de collecte de dons en ligne. C’est une application en marque blanche qui permet de gérer vos formulaires de dons et d’inscription aussi multilingue multidevise, avec un large choix de moyens de paiement bien sûr, des intégrations avec la plupart des outils CRM, outil de mailing et tracking. 

Cet article est la retranscription de notre LinkedIn Live du jeudi 19 mai 2022.
C’est un plaisir de vous voir toujours de plus en plus nombreux et nombreuses à nous rejoindre pour ce type de webinaire.

Abonnez-vous pour être informé.e de notre prochain LinkedIn Live.

Nos LinkedIn Live mensuels : 

• 45 minutes pour échanger sur une thématique de collecte digitale et problématique de levée de fonds en ligne.
• Avec des retours d’expérience, des témoignages d’utilisateurs ou de partenaires de GiveXpert.
• Dans l’objectif d’apporter des solutions ensemble, en collectif, étant nous-mêmes une entreprise sociale.

Le sujet du jour :

• Tracking et RGPD : quelle est la réglementation et quelle solution pour recueillir des données en conformité ?

L’expert du jour :

• Alexandre Desse, expert certifié Google sur tout ce qui est Search Engine marketing donc publicitaire et web Analytics.
• L’équipe de GiveXpert a la chance de collaborer avec lui pour différentes organisations caritatives et associations depuis déjà plusieurs années.

👇 Sommaire

1. RGPD et appel du rôle de la CNIL
2. Pourquoi Google Analytics est ressorti tout d’un coup au niveau de l’actualité ?
3. La source du vent de panique
4. D’où vient ce problème de transfert de données entre l’UE et les États-Unis ?
5. La bonne nouvelle : un accord de principe en remplacement du Privacy Shield
6. Gestion du consentement : la perte de données de suivi dans l’utilisation de Google Analytics
7. Recommandation d’intégration de la CMP
8. Exemption du consentement validées par la CNIL
9. Préparer son passage à Google Analytics 4
10. Pourquoi migrer vers Google Analytics 4 ?
11. Solution pour améliorer ses audiences et ses conversions
12. Conclusion
13. Démo : comment intégrer Google Analytics 4 dans GiveXpert ?
14. FAQ

Rappel du rôle de la CNIL

La RGPD est mise en application au niveau français par la CNIL.

Pour rappel, la CNIL est responsable en France de réguler et de suivre son application. 

Elle a un pouvoir qui était beaucoup plus important qu’avant au niveau du suivi légal et de son pouvoir coercitif. Elle a maintenant la possibilité de prononcer des sanctions pécuniaires. 

Le montant des sanctions peut s’élever jusqu’à 200 000 d’euros ce qui est énorme et pour certaines entreprises qui sont de tailles internationales, ça peut aller jusqu’à 4% du chiffre d’affaires mondial annuel. Donc on peut se retrouver avec des amendes qui sont énormes. On a pu le voir avec des sociétés internationales mais également françaises, avec des grosses sociétés qui ont été condamnés avec des sanctions, par exemple pour AG2R La Mondiale avec une sanction de 1,75 million d’euros, Facebook 60 millions d’euros, 150 millions d’euros d’amende pour Google, ça, c’est pour les grosses sociétés. Mais on a également des plus petites structures, on a une société, comme Sergic, une société dans l’immobilier qui fait 70 millions d’euros de chiffre d’affaires, qui a écopé d’une amende de 400 000€. 

Donc en fait, c’est vrai que on est face à, on est dans un environnement qui devient complexe au niveau réglementaire avec les RGPD, mais ça touche tous les types de société. 

Par contre la CNIL en général a une approche graduelle, elle met rarement une amende en premier. En général, on a, on a un rappel à l’ordre qui peut être suivi d’une demande de mise en conformité, avec des mise sous astreintes et peut limiter temporairement où définitivement certains traitements dans l’entreprise. 

Donc ça peut empêcher l’entreprise de fonctionner. Elle peut suspendre des flux de données ordonner de supprimer des données personnelles et donc en dernier recours, prononcer une amende administrative.

Alors pourquoi Google Analytics est ressorti tout d’un coup au niveau de l’actualité ?

En février 2022, certains professionnels du digital ont commencé à avoir peur en nous annonçant la fin de de Google Analytics.  

En effet, depuis 4 mois, beaucoup de questions se posent sur la légalité de Google Analytics et sur sa possible interdiction. On avait vu énormément de posts sur les réseaux sociaux à ce sujet, des posts le plus souvent alarmistes. 

Ils ont été source de commentaires houleux et souvent partisans. Alors certains se délectent un petit peu de la chute de Google Analytics. Il est vrai que cet événement a été une opportunité pour certains acteurs de se développer en France. 

Des acteurs du web Analytics et des acteurs pas que français d’ailleurs, mais des acteurs également européens. Et, de mon point de vue, je trouve que c’est une bonne chose, ça anime la concurrence au niveau des solutions de web Analytics. 

Pour l’instant en France à part des acteurs comme AT Internet, la plupart restaient dans l’ombre de Google Analytics.

Quasiment tous nos clients nous ont contactés à partir de février pour nous poser des questions et pour faire un point sur la situation et l’utilisation de Google Analytics.

C’est à partir des échanges que nous avons avec eux que nous allons essayer de les partager avec vous et on va essayer de partager notre analyse de la situation. 

La RGPD concerne à la fois le traitement des données commerciales, marketing et communication mais aussi toutes les données de l’entreprise, comme les données RH et les employés. Donc on est sur un sujet qui concerne nos sites web, mais pas que. Ça concerne l’intégralité de l’entreprise.

La source du vent de panique

La source du vent de panique date du 10 février 2022 où la CNIL met en demeure un site web sur l’utilisation de Google Analytics et le transfert de données vers les États-Unis depuis l’Union Européenne.
En effet, l’association autrichienne NOYB, qui est une organisation de protection de la vie privée autrichienne, a porté plainte auprès de la CNIL pour dénoncer le transfert des données aux États-Unis lors de l’utilisation de Google Analytics.

Vous pouvez retrouver facilement cette mise en demeure sur le site de la CNIL. Cela vous permettra de la lire et de vous faire votre propre avis.

Le vent de panique vient vraiment de cette mise en demeure. 

Vu le pouvoir actuel de la CNIL, c’est vrai qu’il y avait de quoi se poser des questions. Dans cet exemple, cela concernait un seul site web que la CNIL a décidé de garder anonyme, mais potentiellement, ça pourrait en concerner des dizaines de milliers, voire des millions. Alors cette association autrichienne, elle avait déjà fait le même type de plainte quelques mois auparavant, avec l’équivalent de la CNIL en Autriche. 

A ce moment-là, la RGPD étant européenne, de nombreuses personnes avaient évoqué le fait que ces plaintes allaient pouvoir se propager à l’intérieur de l’UE. Effectivement, ça a été le cas. 

Cette association est donc venue porter plainte au niveau de la CNIL en France.

D’où vient ce problème de transfert de données entre l’UE et les États-Unis ?

On parle bien de transfert de données. Là, il n’est même pas question de transfert de données personnelles. On parle vraiment de l’envoi de données qui ne sont même pas forcément des données personnelles. Donc il n’est même pas question de cookies, de stockage d’identifiants personnels. C’est de manière générale les données analytiques qui sont envoyées aux États-Unis.

Alors effectivement, lorsqu’on suit les recommandations de la CNIL pour la mise en place de solutions de web Analytics, il y a des recommandations qui sont en fait des obligations qui nous demandent d’être attentifs, et je trouve que le mot est faible en réalité, sur le transfert des données hors de l’UE. 

La CNIL nous fournit une liste de pays vers lesquels nous pouvons transférer ou non nos données. 

Les pays sur lesquels on peut ou pas transférer nos données sont listés par là CNIL. On peut les voir sur la carte suivante.

Pour faire court, les pays en bleu, ce sont les pays vers lesquels on peut transférer nos données sans problème. Si Google Analytics était une solution japonaise ou néo-zélandaise, ça ne poserait aucun problème. Il y a la Grande-Bretagne aussi, qui est dans un bleu un peu plus clair. Mais effectivement, on se retrouve avec les US en couleur violette et donc qui sont un pays qui est non éligible au transfert de données. 

Alors cela peut paraître un peu surprenant qu’il n’y ait pas de transfert possible de l’Union européenne vers les États-Unis, mais en réalité ça a été possible avant le 6 juillet 2020. Il y avait un accord entre l’Union européenne et les États-Unis pour le transfert des données : le Privacy Shield. Cependant, depuis le 16 juillet 2020 ce Privacy Shield a été invalidé et donc il n’y a plus de cadre légal sur le transfert des données entre l’UE et les États-Unis. 

La fin du Privacy Shield vient d’une décision de la Cour de justice européenne qui a estimé qu’il y avait maintenant, dans la réglementation américaine, des limitations dans la consultation des données de la part des programmes de surveillance américains. 

Donc toutes les données qu’on envoyait aux États-Unis pouvaient être consultées par les services de renseignement américains, quels que soient les types de données, ce qui a posé problème au législateur européen. 

Donc on se retrouve sans cadre légal entre l’UE et les États-Unis et la CNIL l’interprète comme une interdiction d’envoyer des données aux États-Unis. La CNIL dit alors que nous sommes censés suivre cette interdiction, sinon il y a un risque d’amende non négligeable.

La bonne nouvelle : un accord de principe en remplacement du Privacy Shield

Le 25 mars 2022, un accord de principe a été passé entre l’Union européenne et les États-Unis sur le transfert des données entre les 2 pays. Cet accord doit venir en remplacement du Privacy Shield.

Alors malheureusement, pour l’instant, on n’a aucun détail sur le contenu de ce projet, sachant qu’il devrait encore prendre de nombreux mois avant de voir le jour (courant 2023 voire 2024). Il peut donc se passer encore beaucoup de temps avant que cet accord soit entériné. 

On se retrouve donc dans une période d’incertitude sur l’utilisation de Google Analytics, mais on a un accord qui nous fait espérer que nous puissions continuer à utiliser Google Analytics. Donc c’est une situation très étrange.

Gestion du consentement : la perte de données de suivi dans l’utilisation de Google Analytics

En réalité, on ne perd pas des données, mais en tout cas, on a moins de données collectées et disponibles dans Google Analytics depuis la mise en place du consentement sur les sites. 

Voici un petit exemple de la période sans consentement, puis une fois le consentement mis en place, on remarque que le trafic qu’on est capable d’analyser réduit de 25 à à 50%. Le consentement, c’est donc la fenêtre d’acceptation ou de refus des cookies. 

Pour gérer ce consentement, la plupart du temps, on va utiliser une CMP (Consent Management Plateform), soit une plateforme de gestion du consentement. Les plus connus vont être Tarte au citron, Axeptio et Cookiebot. 

L’avantage de ces CMP, c’est qu’elles vont vous permettre d’optimiser et de personnaliser facilement votre fenêtre d’acceptation des cookies. Elles vont également vous donner plein d’indications pour optimiser votre taux d’acceptation et éviter que vous ayez trop de personnes qui refusent vos cookies de suivi de web Analytics. 

Avec nos clients, on travaille énormément au niveau de nos CMP pour optimiser le taux d’acceptation et pour avoir un maximum de personnes qui comprennent l’intérêt d’accepter nos cookies de suivi de web Analytics. 

La CMP a un intérêt de personnalisation des contenus de la fenêtre, mais répond aussi à des exigences réglementaires, comme par exemple de conserver la preuve du consentement.

Recommandation d’intégration de la CMP

L’idéal pour pouvoir intégrer cette gestion du consentement dans un flux qui permette d’intégrer vos tags est d’utiliser un gestionnaire de tags. Le plus connu, c’est Google Tag Manager. 

L’avantage, c’est qu’un gestionnaire de tags va vous permettre de tout centraliser et de déployer facilement votre CMP. C’est le gestionnaire de tags qui va déployer la CMP sans avoir à installer de code en dur. L’idéal est donc d’avoir un gestionnaire de tags qui s’occupe de tout : la CMP et des tags. Ensuite, vous pourrez utiliser votre gestionnaire de tags pour conditionner l’exécution de vos tags au sein de votre gestionnaire de tags. 

Sur le graphique, vous voyez qu’il y a un aller-retour entre le gestionnaire de tags et la CMP. L’utilisateur arrive sur le site web. Il donne ses consentements. Les consentements sont envoyés au gestionnaire de tâches et en fonction des types de consentement, on va déployer les tags qui correspondent au consentement de l’internaute.

Techniquement :

• la CMP la mieux intégrée avec Google Tag Manager, c’est Cookiebot qui fonctionne nativement avec la gestion du consentement disponible dans Google Tag Manager (concept mode).
• Axeptio est également bien intégré à Google Tag Manager car elle nous met à disposition des variables, des déclencheurs dans Google Tag Manager et donc vous allez pouvoir facilement gérer le déclenchement de vos tags en fonction de l’acceptation de l’internaute.
• Tarte au citron est le 3e CMP vraiment le plus utilisé, dont l’intégration est possible avec Google Tag Manager mais dont l’intégration avec Google Tag Manager n’est pas aussi poussée que les deux précédents. Si on veut avoir une exécution qui soit aussi fine que les deux précédents dans l’exécution des tags, ça va demander pas mal de personnalisation. Le défaut auquel il faut faire attention avec Tarte au citron, c’est que par défaut Tarte au citron peut empêcher le déclenchement de Google Tag Manager. 

Ce type de modèle d’intégration de vos tags avec la CMP ne va pas vous permettre de retrouver la totalité de votre trafic mais par contre elle vous permettra d’optimiser l’exécution de l’ensemble de vos tags. 

En revanche, pour retrouver l’intégralité de vos données de trafic, il existe bien une possibilité. Cette possibilité est liée à la possibilité que nous donne la CNIL de pouvoir déployer des outils de web Analytics sans le consentement.

Il y a donc des exceptions au consentement.

Exemption du consentement validées par la CNIL

L’avantage de ces solutions web Analytics, c’est qu’elles vont nous permettre de retrouver l’intégralité de nos données de trafic comme avant la RGPD.

Ces solutions ont été validées par la CNIL. Elles peuvent être installées sans le consentement de l’internaute, sous réserve du respect d’un protocole de paramétrage de la solution web Analytics. Ce protocole de paramétrage a été soumis par l’éditeur à la CNIL et validé. Il faut le respecter quand on va paramétrer la solution.

La liste des solutions est disponible sur le site de la CNIL. 7 solutions ont été validées à l’heure actuelle par la CNIL pour être utilisées sans consentement. La solution la plus connue et que les clients nous demandent le plus d’installer, c’est Matomo. 

Par contre, il faut savoir que ces solutions doivent être paramétrées pour que l’utilisateur puisse faire un refus à posteriori. 

L’avantage de ces solutions, c’est que vous êtes propriétaire de vos données. L’inconvénient est qu’en étant propriétaire de vos données, vous devenez souvent responsable  de leur stockage, soit via une solution proposée par l’éditeur de la solution, soit via un hébergeur de données. 

En général, ça va avoir un coût. Il faut faire très attention parce que ce coût peut être proportionnel à votre trafic. Il faut donc être très vigilant quand vous mettez en place ce type de solution. 

Pour Google Analytics, j’ai eu des discussions avec des partenaires, des clients et d’autres agences sur l’utilisation du Consent Mode de Google (le mode de consentement dont on parlait juste avant). Ce mode permet la remontée de premières données dans Google Analytics mais également dans Google Ads avant la validation du consentement par l’internaute. N’étant pas certain de sa conformité avec la RGPD, nous avons choisi de ne pas l’utiliser. Alors vous allez demander “si on ne peut pas voir l’intégralité des données de trafic dans Google Analytics, pourquoi continuer à l’utiliser ?” Tout simplement parce que Google Analytics se trouve au cœur d’un écosystème qu’il est intéressant de continuer à utiliser pour gérer et optimiser les campagnes publicitaires, notamment avec Google Ads. 

De plus, nous ne désespérons pas qu’avec l’accord du 25 mars nous puissions configurer un Google Analytics 4 sans consentement. A noter que c’est un point de vue tout à fait personnel. C’est pour ça qu’à notre avis, il faut se préparer à l’abandon de Google Universal Analytics qui est la version 3 de Google Analytics pour passer à la version 4.

Préparer son passage à Google Analytics 4

Le passage de Google Analytics vers Google Analytics 4 doit se préparer parce qu’en juillet 2023, on va avoir un arrêt de la collecte des données. Il n’y aura donc plus aucune donnée qui remonte dans Google Analytics. Et 6 mois après, apparemment, il n’y aura plus aucune donnée disponible.

Probablement que début 2024, la version actuelle de Google Analytics sera finie et on n’aura plus aucune donnée. On n’aura plus accès notamment à des historiques.

Donc il faut bien penser à :

• exporter vos données, soit via des CSV ou sur BigQuery pour ceux qui ont des Google Analytics 360
• migrer vos objectifs, des anciens vers les nouveaux. 
• migrer et exporter les rapports e-commerce

Pour tout ce qui est paramétrage d’événements : les anciens événements sont réutilisables sur la nouvelle version de Google Analytics, donc il n’y a rien à faire en particulier.

Le plus important c’est d’installer au plus tôt Google Analytics 4 afin d’avoir un historique de données au moins au niveau du trafic. Si vous n’avez pas d’informations sur la collecte de dons ou des données e-commerce ce n’est pas trop grave, c’est vraiment au niveau du trafic. Après sur les données e-commerce ça peut être fait au fur et à mesure. 

Pourquoi migrer vers Google Analytics 4 ?

Installer Google Analytics 4 est important car c’est au cœur d’un écosystème. Il va fonctionner avec Google Ads, mais il y a d’autres solutions publicitaires Google qu’on va être amené à utiliser comme Google Search Ads 360 ou Display et Video 360. 

Avec la version 4, vous allez pouvoir créer facilement des audiences et vous allez pouvoir facilement créer des conversions car tout est événement maintenant dans Google Analytics 4.

On a plein d’améliorations qui sont apportées par la version de de Google Analytics 4 :

• Tout ce qui est mesure automatique d’événements comme le téléchargement de fichiers, le Tracking de liens sortants, le scrolling automatique et tout un tas d’événements automatiques. 
• Une nouvelle interface de rapports qui est personnalisable, ça c’est vraiment un gros progrès. Avant on pouvait pas éditer l’interface Google Analytics. Maintenant on a la possibilité de l’éditer et de la personnaliser à 100%. 
• Le suivi du cross device a été amélioré. 
• Les rapports en temps réel ont également été améliorés.
• Une interface de débugage est disponible et vraiment super pratique pour identifier les problèmes. Elle fonctionne très bien avec la nouvelle extension Chrome de debugage.
• Un nouvel outil de création d’audience avec une solution de création d’audience prédictive (tout ce qui est machine learning).
• Du suivi de conversion intégrée directement aux événements.
• Des explorations avec la création de rapports d’entonnoir. Avant c’était très limité cette partie de création de rapports entonnoir, maintenant c’est au cœur de Google Analytics.

Si vous voulez encore améliorer votre suivi de conversion et de vos audiences dans Google Ads, la recommandation est d’utiliser le suivi avancé des conversions comme nous allons le voir à présent.

Solution pour améliorer ses audiences et ses conversions

Le suivi avancé des conversions, c’est ce qui va vous permettre d’enrichir en données vos tags de conversion existants. Vous allez donc pouvoir améliorer l’optimisation de vos campagnes en utilisant vos données First Party, c’est-à-dire vos données propriétaires comme l’email ou le téléphone. Ces données sont hachées et sont cryptées, puis envoyées à Google Ads. L’envoi peut se faire en automatique ou en utilisant Google Tag manager.

C’est un mécanisme qui existait déjà, mais qui a été généralisé à l’ensemble des campagnes Google Ads. L’avantage c’est que vous allez pouvoir enrichir vos audiences publicitaires et optimiser votre suivi des conversions. Cela compense le manque de suivi au niveau du Tag Google Ads et de compenser un peu cette perte de données.

Conclusion

Comme vous pouvez le voir, il y a encore beaucoup à tirer de Google Ads et surtout de Google Analytics. 

Pour l’instant, à notre avis, Google Analytics est un outil qui est toujours dans la partie, surtout avec la version de Google Analytics 4. C’est un outil qui évolue tous les jours avec plein d’améliorations qui sont en train de se faire.

Dans ce contexte, comment peut se faire l’intégration de Google Analytics 4 dans GiveXpert ?

La bonne pratique est d’utiliser un gestionnaire de consentement et de le mettre dans un tag manager. Pour ça, la plupart du temps, le mieux est de se faire accompagner, sauf à développer ses propres compétences au sein de son organisation. 

Au niveau de GiveXpert, ce qui a été important pour nous, c’est de couvrir 2 niveaux d’intégration des statistiques. Un premier niveau qui est le fait d’être tout simplement respectueux de la législation.

On a donc mis en place, comme vous le voyez sur la capture d’écran ci-dessus, la possibilité quand vous ajoutez un tag d’indiquer si c’est un tag qui nécessite un consentement ou pas. Cela fait apparaître une petite boîte. Si la personne refuse, à partir de ce moment-là le Tag ne va pas être appliqué. On va donc véritablement permettre de respecter la législation. Si on utilise les anciens tags type un tag Universal Analytics et qu’on active cette demande de consentement, on va en effet avoir uniquement les personnes qui acceptent le consentement pour lesquelles le Tag va être déclenché. 

Le corollaire de cette option est une baisse du nombre de visites traquées, comme vu précédemment.

Le mettre en œuvre est très simple parce que, depuis le back office de GiveXpert, il y a la possibilité au niveau du Tag manager d’activer ou non la demande de consentement. On met le code qui doit être affiché sur la page principale, ainsi que sur la page retour. C’est le cas le plus simple pour respecter la législation sur les cookies et la RGPD :

Maintenant, on peut aussi déployer via l’outil GiveXpert un tag Google Tag manager, qui s‘interface avec une application de gestion des consentements. Sur ce tag, on décide alors de ne pas demander de consentement étant donné que c’est au niveau de l’application de demande de consentement (CMP) que va se faire cette vérification et le déclenchement ou non des tags :

Au moment où vous configurez vos formulaires de dons, vous retrouvez dans une section appelée “Tags” les différents tags disponibles et vous activez ce que vous souhaitez. Si vous voulez déployer un tag de retargeting, de reciblage publicitaire, un tag de conversion Facebook ou autre, vous avez 2 options. 

1. Déployer un tag via le Tag Manager quand vous travaillez avec un consultant spécialiste comme Alexandre Desse. 
2. Déployer directement dans l’outil juste pour une campagne, si vous êtes sur une campagne d’affiliation qui concerne un seul formulaire par exemple.

FAQ