Schrems II et Google Analytics : où en sont les transferts de données vers les États-Unis ?

Le 16 juillet 2020, l’arrêt « Schrems II » de la Cour de justice de l’Union européenne (CJUE) invalidait le Privacy Shield, le cadre qui permettait de transférer des données personnelles vers les États-Unis sans autre formalité. En cause, le risque que les services de renseignement américains accèdent aux données transférées, un risque que la Cour jugeait insuffisamment encadré par le droit américain. Le 10 février 2022, la CNIL tirait la conséquence de cet arrêt pour un outil très répandu en mettant en demeure un gestionnaire de site web qui utilisait Google Analytics.

La version initiale de cet article, publiée en février 2022, concluait que l’usage d’outils d’audience américains était difficilement compatible avec le RGPD. L’état du droit a changé depuis : un nouveau cadre d’adéquation, le Data Privacy Framework, s’applique depuis le 10 juillet 2023, Universal Analytics a cessé de fonctionner au profit de Google Analytics 4, et la validité du nouveau cadre est contestée devant la Cour de justice. Cette version fait le point à la date du 19 octobre 2026 : elle conserve l’historique de Schrems II, qui reste nécessaire pour comprendre les règles actuelles, puis explique ce qui s’applique aujourd’hui à Google Analytics et aux autres outils d’audience.

Repères chronologiques

• 6 octobre 2015 : l’arrêt Schrems I invalide la décision d’adéquation de 2000 (Safe Harbor) concernant les États-Unis.
• 16 juillet 2020 : l’arrêt Schrems II invalide le Privacy Shield, qui lui avait succédé.
• 10 février 2022 : la CNIL met en demeure un gestionnaire de site web à propos de Google Analytics.
• 7 octobre 2022 : le président américain signe le décret 14086, qui encadre l’accès des services de renseignement aux données.
• 1er juillet 2023 : les propriétés Universal Analytics standard cessent de traiter les données.
• 10 juillet 2023 : la Commission européenne adopte la décision d’adéquation du Data Privacy Framework (décision d’exécution (UE) 2023/1795).
• 9 octobre 2024 : premier examen périodique du cadre par la Commission.
• 3 septembre 2025 : le Tribunal de l’Union européenne rejette le recours en annulation de Philippe Latombe (affaire T-553/23).
• 31 octobre 2025 : M. Latombe forme un pourvoi devant la Cour de justice (affaire C-703/25 P), toujours pendant à la date de rédaction.

Schrems II : les transferts vers les États-Unis remis en cause

Dans l’arrêt du 16 juillet 2020 (affaire C-311/18, Facebook Ireland et Schrems), la Cour a analysé la législation américaine alors en vigueur, notamment la section 702 du FISA et le décret présidentiel 12333, et en a conclu que la collecte de données par les services de renseignement n’était pas proportionnée et que les voies de recours ouvertes aux Européens étaient insuffisantes. Elle a donc invalidé la décision d’adéquation de la Commission sur laquelle reposait le Privacy Shield.

L’arrêt ne se limite pas au Privacy Shield, et c’est ce qui en a fait un événement pour toutes les entreprises exportant des données. Lorsqu’un exportateur s’appuie sur les clauses contractuelles types ou sur un autre outil de l’article 46 du RGPD, il lui revient d’évaluer, cas par cas, si le droit du pays de destination permet de respecter les garanties que l’outil promet, puis de les compléter au besoin par des mesures supplémentaires. La CNIL cite en exemple la pseudonymisation avant export, que les recommandations du Comité européen de la protection des données du 18 juin 2021 n’admettent que si les données pseudonymisées ne peuvent être attribuées à une personne identifiable, même recoupées avec d’autres informations. Cette obligation vaut pour tous les pays tiers dépourvus de décision d’adéquation au sens de l’article 45 du RGPD, et non pour les seuls États-Unis.

Pourquoi Google Analytics était dans le viseur

Google Analytics suit chaque visiteur à l’aide d’un identifiant et lui associe des données de navigation. Quand le navigateur de l’internaute contacte directement les serveurs de l’outil par une connexion HTTPS, ces serveurs reçoivent son adresse IP ainsi que de nombreuses informations sur son terminal, qui peuvent, selon la CNIL, permettre de manière réaliste de le réidentifier et d’accéder à sa navigation sur l’ensemble des sites utilisant le même outil. Ces données sont donc des données à caractère personnel, et leur envoi vers des serveurs américains constitue un transfert au sens du RGPD.

Saisie de plaintes par l’association NOYB, la CNIL a analysé ces transferts en coopération avec ses homologues européens, puis a mis en demeure, le 10 février 2022, un gestionnaire de site web. Les réglages proposés par l’éditeur de l’outil n’y changeaient rien. Dans sa page de novembre 2023 sur la mesure d’audience, la CNIL explique que la seule modification du traitement de l’adresse IP ne suffit pas, et que remplacer l’identifiant fourni par l’outil par un identifiant généré par l’éditeur du site, ou le chiffrer, n’apporte que peu ou pas de garanties supplémentaires. La difficulté de fond tient au contact direct entre le terminal de l’internaute et les serveurs de l’outil : seules des solutions qui rompent ce contact répondent au risque d’accès par des autorités extra-européennes.

La CNIL ajoute que de nombreux outils d’audience du marché entraînent des transferts vers des pays ou des entités sans niveau de protection adéquat. Le sujet dépassait donc largement Google, même si son outil était le plus utilisé.

Le Data Privacy Framework, une nouvelle décision d’adéquation depuis 2023

Pour répondre à l’arrêt Schrems II, les États-Unis ont adopté le 7 octobre 2022 le décret présidentiel 14086, qui consacre les principes de nécessité et de proportionnalité pour l’accès des services de renseignement aux données et crée un mécanisme de recours indépendant devant une Data Protection Review Court. Après l’avis du Comité européen de la protection des données du 28 février 2023, la Commission européenne a adopté le 10 juillet 2023 une nouvelle décision d’adéquation, qui fonde le Data Privacy Framework (DPF).

Cette décision ne déclare pas adéquat l’ensemble du territoire américain. Son article 1er limite l’adéquation aux organisations établies aux États-Unis qui figurent sur la « liste du cadre de protection des données », tenue à jour par le ministère américain du Commerce. Les entreprises s’y inscrivent par auto-certification et s’engagent chaque année à respecter les principes du cadre. Les conséquences pour l’exportateur européen sont les suivantes :

• les transferts vers une organisation certifiée peuvent se faire sans clauses contractuelles types ni autre outil de l’article 46 du RGPD, mais l’exportateur doit vérifier avant le transfert que le destinataire figure sur la liste, que la fiche couvre bien les filiales et la catégorie de données concernées (données commerciales ou de ressources humaines), et continuer à tenir à jour son registre de traitements et l’information des personnes ;
• les transferts vers une entité américaine absente de la liste ne peuvent pas s’appuyer sur la décision : ils exigent des garanties appropriées, par exemple des clauses contractuelles types, avec l’analyse du droit local que l’arrêt Schrems II impose ;
• l’exportateur qui utilise les clauses contractuelles types peut s’appuyer sur l’appréciation de la législation américaine faite par la Commission, à condition de vérifier que son destinataire n’est pas soumis à des lois sectorielles que la décision ne couvre pas.

La CNIL a aussi précisé le sort des griefs antérieurs : elle continue d’instruire les plaintes sur des transferts survenus avant le 10 juillet 2023, et les manquements à Schrems II commis avant cette date peuvent donner lieu à des mesures correctrices, mais ils ne peuvent plus faire l’objet de mises en demeure ni d’injonctions pour l’avenir.

Un cadre contesté devant la justice européenne

Le DPF n’est pas définitivement acquis. La Commission doit suivre en permanence l’application du cadre américain et peut, selon la décision elle-même, la suspendre, la modifier ou l’abroger si la protection cesse d’être adéquate. Son premier examen périodique, publié le 9 octobre 2024, a conclu que les autorités américaines avaient mis en place les structures et procédures nécessaires au bon fonctionnement du cadre, et fixé le prochain examen à trois ans.

Sur le terrain judiciaire, le Tribunal de l’Union européenne a rejeté, le 3 septembre 2025, le recours en annulation de la décision formé par Philippe Latombe (affaire T-553/23). Le requérant soutenait que la Data Protection Review Court n’est ni indépendante ni impartiale, et que la collecte en vrac de données par les agences américaines, sans autorisation préalable d’un juge ou d’une autorité indépendante, n’est pas assez encadrée. Le Tribunal a relevé que la nomination et le fonctionnement de cette juridiction sont assortis de garanties d’indépendance, et que l’arrêt Schrems II n’impose pas d’autorisation préalable pour la collecte en vrac, mais un contrôle judiciaire a posteriori au minimum, que le droit américain assure selon lui par la Data Protection Review Court. Il confirme ainsi que, à la date d’adoption de la décision, les États-Unis assuraient un niveau de protection adéquat, ce qui ne préjuge pas de l’évolution du droit américain après 2023.

M. Latombe a formé un pourvoi le 31 octobre 2025 (affaire C-703/25 P), qui invoque quatre moyens : deux portent sur la Data Protection Review Court (son indépendance et sa qualité de tribunal préalablement établi par la loi), un sur l’absence d’autorisation préalable de la collecte en vrac, et un sur le pouvoir du président américain de mettre à jour, selon le requérant en secret, la liste des objectifs de cette collecte. D’après la fiche de la Cour de justice consultée le 19 octobre 2026, l’affaire est toujours pendante. Les deux cadres précédents ayant été invalidés par la Cour, en 2015 puis en 2020, toute organisation qui fonde ses transferts sur le DPF a intérêt à garder un instrument de repli.

Conséquences pour Google Analytics et les outils d’audience

Universal Analytics a disparu, Google Analytics 4 l’a remplacé

La mise en demeure de 2022 portait sur la version d’alors de l’outil. Les propriétés Universal Analytics standard ont cessé de traiter les données le 1er juillet 2023, et Google a retiré l’accès aux données historiques à partir de la semaine du 1er juillet 2024. Google Analytics 4 est désormais la seule version disponible. Google indique que, pour les utilisateurs situés dans l’Union, au Royaume-Uni ou en Suisse, l’outil n’enregistre ni ne stocke aucune adresse IP : l’adresse sert seulement à déduire une géolocalisation approximative, puis elle est supprimée, et la collecte s’effectue d’abord sur des serveurs situés dans l’Union, avant l’envoi aux serveurs de traitement de l’outil. Ces garanties sont des déclarations de l’éditeur, qui ne dispensent pas le responsable du traitement de ses propres vérifications.

Le volet transfert : une certification à vérifier

Depuis le DPF, la CNIL indique que les transferts vers les entités américaines certifiées peuvent se faire librement. Au 19 octobre 2026, Google LLC figure sur la liste du ministère du Commerce avec une participation active au cadre UE-États-Unis, pour les données commerciales comme pour les données de ressources humaines, la prochaine échéance de renouvellement étant fixée au 13 septembre 2027. La fiche précise toutefois que le traitement varie selon les produits : l’exportateur doit donc s’assurer que le service qu’il utilise est bien couvert. Google indique de son côté s’appuyer sur le DPF, depuis le 1er septembre 2023, pour transférer vers les États-Unis les données de l’Espace économique européen traitées dans ses produits publicitaires et de mesure, et peut recourir aux clauses contractuelles types lorsqu’il n’a pas adopté de cadre de ce type.

L’obstacle juridique qui motivait la mise en demeure de 2022, l’absence de cadre de transfert valable vers les États-Unis, a donc été levé tant que la décision d’adéquation reste en vigueur. La CNIL rappelle toutefois que la proxyfication reste une solution pour les outils qui transfèrent encore des données vers des entités américaines non certifiées ou vers d’autres pays non adéquats, et qu’elle constitue de toute façon une bonne pratique.

Le consentement reste une question distincte

Le DPF ne règle que la question des transferts, celle des traceurs relevant d’autres règles. La CNIL souligne que le fait qu’un outil d’audience soit exempté de consentement est sans incidence sur les transferts, et la réciproque vaut : un transfert licite ne rend pas un cookie dispensé de consentement. Pour qu’une mesure d’audience soit exemptée, ses traceurs doivent avoir pour seule finalité la mesure de l’audience, pour le compte exclusif de l’éditeur, sans suivi de la navigation d’un site à l’autre et sans recoupement avec d’autres traitements ni transmission à des tiers.

Or la CNIL range les offres dont le fournisseur indique réutiliser les données pour son propre compte hors du périmètre de l’exemption, et cite Google Analytics parmi elles ; sa formation restreinte avait d’ailleurs jugé, dans une décision du 18 novembre 2020, que les cookies de Google Analytics ne sont pas strictement nécessaires à la fourniture du service. Pour bénéficier de l’exemption, l’éditeur doit obtenir du fournisseur un engagement contractuel de ne pas réutiliser les données, et désactiver par défaut toute mesure à visée marketing, comme le suivi des canaux d’acquisition ou des campagnes. La page de la CNIL ne traite pas spécifiquement Google Analytics 4 : à défaut de cet engagement, le consentement préalable reste la règle.

Contrôler ses outils d’audience sans attendre l’arrêt de la Cour

Une organisation qui utilise Google Analytics, ou tout autre outil d’audience américain, peut passer en revue quatre points, indépendants les uns des autres.

• Vérifier la certification du fournisseur : consulter la fiche de l’entité sur la liste du cadre de protection des données, y relever le statut, les entités et les catégories de données couvertes, et conserver une capture datée dans la documentation des transferts.
• Maintenir un recueil du consentement conforme pour tout outil qui ne remplit pas les conditions de l’exemption, et informer les personnes de l’existence d’un transfert vers les États-Unis.
• Évaluer une alternative si le risque d’un revirement de la Cour est trop lourd à porter : un serveur mandataire (proxy) hébergé dans l’Union qui supprime l’adresse IP, remplace l’identifiant utilisateur, retire le referer externe et les paramètres d’URL, traite les informations pouvant servir d’empreinte et exclut tout identifiant inter-sites, ou un outil qui ne transfère aucune donnée hors de l’Union. La CNIL publie un guide de configuration pour utiliser Matomo Analytics sans recueil de consentement, ainsi qu’un outil d’auto-évaluation destiné aux fournisseurs de solutions d’audience.
• Prévoir un plan de repli : conserver les clauses contractuelles types signées avec le fournisseur et l’analyse d’impact du transfert, afin de pouvoir basculer si la Cour de justice annulait la décision d’adéquation.

Pour les autres enjeux liés aux transferts de données vers des fournisseurs américains, notre article sur le CLOUD Act et l’extraterritorialité du droit américain prolonge cette analyse, et celui sur le tracking sans cookies tiers présente les évolutions techniques du suivi des internautes.

Sources et références 17 sources

Cour de justice de l'Union européenne

1. [1] Arrêt du 16 juillet 2020, Facebook Ireland et Schrems (C-311/18)
2. [2] Communiqué de presse n° 106/25, arrêt du Tribunal dans l'affaire T-553/23, Latombe/Commission (3 septembre 2025)
3. [3] Pourvoi C-703/25 P, Latombe/Commission, notice au Journal officiel (22 décembre 2025)
4. [4] Affaire C-703/25 P, fiche de procédure (CURIA)

Commission européenne

1. [5] Décision d'exécution (UE) 2023/1795 du 10 juillet 2023 constatant le niveau de protection adéquat assuré par le cadre de protection des données UE-États-Unis
2. [6] Rapport sur le premier examen périodique du cadre, COM(2024) 451 du 9 octobre 2024

CNIL

1. [7] Lettre d'information de février 2022 (mise en demeure à propos de Google Analytics)
2. [8] Adéquation des États-Unis : les premières questions-réponses
3. [9] Transferts de données vers les États-Unis : la Commission européenne adopte une nouvelle décision d'adéquation
4. [10] Mesure d'audience et transferts de données : comment mettre son outil en conformité avec le RGPD
5. [11] Mesurer la fréquentation de vos sites web et de vos applications
6. [12] Matomo Analytics : guide de configuration pour l'exemption de consentement
7. [13] Outil d'auto-évaluation d'une solution de mesure d'audience exemptée de consentement (juillet 2025)

Google et ministère américain du Commerce

1. [14] Google Analytics 4 a remplacé Universal Analytics (aide Google Analytics)
2. [15] Données et confidentialité pour le Royaume-Uni, la Suisse ou l'UE (aide Google Analytics)
3. [16] Advertising and analytics products: information about international data transfers (Google)
4. [17] Fiche de Google LLC sur la liste du Data Privacy Framework (ministère du Commerce des États-Unis)