Votre outil de mesure d’audience envoie des données vers les États-Unis chaque fois qu’un visiteur ouvre une page de votre site. L’adresse IP du visiteur et des informations sur son terminal partent directement vers des serveurs américains, sans que vous les voyiez passer. Depuis l’arrêt Schrems II du 16 juillet 2020, ce transfert ne peut plus reposer sur le bouclier de protection UE-États-Unis, et la Commission nationale de l’informatique et des libertés (CNIL) a déjà mis en demeure des gestionnaires de sites français pour leur usage de Google Analytics. La décision d’adéquation du 10 juillet 2023 change une partie du tableau, mais uniquement pour les organismes américains certifiés. Le Conseil d’État, le 26 décembre 2025, vient de préciser ce que la CNIL peut exiger d’un éditeur de site : une évaluation rigoureuse des transferts et une information complète des utilisateurs. Cet article explique comment qualifier votre situation, répondre à une mise en demeure ou à une plainte, basculer vers un outil conforme et verrouiller votre contrat et vos preuves.
I. Pourquoi votre outil de mesure transfère des données et quel cadre s’applique
A. Le contact direct entre le terminal du visiteur et les serveurs américains
Un outil de mesure d’audience comme Google Analytics fonctionne par des requêtes émises depuis le navigateur du visiteur vers les serveurs de l’éditeur de l’outil. La CNIL décrit un mécanisme dans lequel les requêtes émises vers les serveurs de l’outil leur livrent l’adresse IP du visiteur et de nombreuses informations sur son terminal, ce qui rend réaliste une réidentification et le suivi de sa navigation sur tous les sites qui utilisent le même outil. L’adresse IP constitue une donnée à caractère personnel dès lors qu’elle permet d’identifier une personne, directement ou par recoupement, et le règlement (UE) 2016/679 du 27 avril 2016 (RGPD) s’applique donc pleinement.
Beaucoup d’éditeurs pensent régler le problème par un simple réglage : anonymisation de l’adresse IP, chiffrement de l’identifiant généré par le fournisseur, remplacement par un identifiant propre au site. La CNIL écarte ces réglages : modifier seulement le traitement de l’adresse IP ne suffit pas, et le chiffrement ou le remplacement de l’identifiant n’apporte guère de garanties supplémentaires tant que l’adresse IP continue d’être traitée. Le verrou se situe ailleurs : selon la Commission, seules des solutions qui rompent le contact entre le terminal et le serveur répondent au risque d’accès par des autorités extra-européennes.
Le principe général applicable aux transferts figure à l’article 44 du RGPD : « Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l’objet d’un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs ». Vous êtes responsable du traitement dès lors que vous décidez d’installer l’outil sur votre site et de mesurer votre audience, même si les serveurs appartiennent à Google ou à un autre éditeur américain. Le chapitre V du RGPD (articles 44 à 50) offre ensuite trois voies : la décision d’adéquation, les garanties appropriées et les dérogations particulières. Aucune ne fonctionne par défaut : chacune exige une vérification concrète.
Vos obligations documentaires commencent avant tout litige. Le registre des activités de traitement doit mentionner, en vertu de l’article 30, paragraphe 1, sous e), du RGPD : « le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l’article 49, paragraphe 1, deuxième alinéa, les documents attestant de l’existence de garanties appropriées ». L’information des visiteurs doit également couvrir les destinataires établis dans des pays tiers : l’article 15 du RGPD ouvre au visiteur le droit d’obtenir « les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales », comme le rappelle le tribunal judiciaire d’Arras dans une ordonnance de référé du 28 mai 2026. Un site dont la politique de confidentialité ne mentionne ni les destinataires américains ni l’outil de transfert utilisé présente déjà un premier manquement exploitable par la CNIL ou par un plaignant.
B. L’outil de transfert qui reste debout après Schrems II et le cadre de 2023
Le 16 juillet 2020, la Cour de justice de l’Union européenne a invalidé le bouclier de protection UE-États-Unis tout en validant le principe des clauses contractuelles types, comme l’expose le communiqué officiel de la Cour : la décision d’adéquation de 2016 tombe, tandis que la décision de 2010 sur les clauses types demeure valable. Cette validité reste conditionnelle : les personnes concernées doivent retrouver, après le transfert, une protection d’un niveau substantiellement équivalent à celui garanti dans l’Union, et cette équivalence s’apprécie en combinant les stipulations contractuelles conclues avec le destinataire et l’examen du système juridique du pays tiers, y compris l’accès éventuel de ses autorités publiques aux données. Autrement dit, signer les clauses ne suffit pas : vous devez examiner le droit américain applicable à votre importateur, notamment les programmes de surveillance, et ajouter des mesures supplémentaires si la protection n’est pas équivalente.
Le paysage a évolué le 10 juillet 2023 avec la décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 constatant, conformément au règlement (UE) 2016/679, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE-États-Unis. L’article 1er de la décision énonce : « Aux fins de l’article 45 du règlement (UE) 2016/679, les États-Unis assurent un niveau adéquat de protection des données à caractère personnel transférées depuis l’Union vers des organisations établies aux États-Unis qui figurent sur la «liste du cadre de protection des données», tenue à jour et publiée par le ministère du commerce, conformément à la section I.3 de l’annexe I. » Ce fondement permet les transferts relevant de l’article 45 du RGPD, selon lequel « Un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers […] assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d’autorisation spécifique. » La limite est stricte : seuls les organismes américains inscrits sur la liste du Département du Commerce américain et adhérant aux principes du cadre peuvent recevoir des données sur ce fondement. La CNIL précise que les transferts vers des entités américaines absentes de cette liste ne peuvent pas reposer sur l’adéquation et appellent des garanties appropriées, par exemple les clauses contractuelles types. Vérifiez donc d’abord si votre fournisseur figure sur cette liste et si vos données relèvent des secteurs couverts : dans le cas contraire, vous restez dans le régime des garanties de l’article 46.
En l’absence de décision d’adéquation, l’article 46, paragraphe 1, du RGPD dispose : « En l’absence de décision en vertu de l’article 45, paragraphe 3, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. » Parmi ces garanties figurent « des clauses types de protection des données adoptées par la Commission en conformité avec la procédure d’examen visée à l’article 93, paragraphe 2 », c’est-à-dire aujourd’hui les clauses issues de la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu du règlement (UE) 2016/679. Les dérogations de l’article 49 restent une voie étroite, ouverte « En l’absence de décision d’adéquation en vertu de l’article 45, paragraphe 3, ou de garanties appropriées en vertu de l’article 46 » et uniquement à l’une des conditions énumérées, dont « la personne concernée a donné son consentement explicite au transfert envisagé, après avoir été informée des risques que ce transfert pouvait comporter pour elle en raison de l’absence de décision d’adéquation et de garanties appropriées ». Le consentement aux cookies ne vaut pas ce consentement explicite au transfert : les deux couches doivent être distinguées dans vos mentions et vos preuves.
II. Répondre à la mise en demeure, basculer d’outil et verrouiller la preuve
A. Répondre à la CNIL, traiter la plainte et choisir la solution technique
La CNIL dispose d’un large pouvoir d’appréciation lorsqu’elle reçoit une plainte relative à un transfert vers les États-Unis : elle examine les faits, rappelle l’organisme à ses obligations ou le met en demeure. La loi du 6 janvier 1978 prévoit que le président de la CNIL peut mettre en demeure le responsable de traitement « De mettre les opérations de traitement en conformité avec les dispositions applicables », de satisfaire aux demandes d’exercice des droits, de rectifier ou d’effacer les données ou de limiter le traitement. Le Conseil d’État ne censure ces décisions, pour le bien-fondé, qu’« en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir », ce qui laisse à la Commission une marge réelle mais sanctionne l’inaction manifeste.
L’arrêt du Conseil d’État du 26 décembre 2025 (n° 491371 et 494329) illustre concrètement ce qui est attendu d’un éditeur de site. Saisie d’une plainte relative à un transfert de données vers les États-Unis par un site internet, la CNIL avait demandé à la société « de procéder à une évaluation de la légalité des transferts de données en dehors du territoire de l’Union européenne qu’impliquait le fonctionnement de son site, dans le cadre, s’agissant des transferts vers les Etats-Unis, de la nouvelle décision d’adéquation européenne du 10 juillet 2023 ». Pour les destinataires non couverts par l’adéquation, « il lui revenait de procéder à une évaluation rigoureuse de leur légalité au regard des articles 46 et 49 du RGPD et de mettre en place des mesures adaptées pour garantir que ces données fassent l’objet d’une protection substantiellement équivalente à celle garantie dans l’Union européenne ». La CNIL avait également exigé « d’informer les utilisateurs du site des destinataires ou catégories de destinataires concernés ainsi que des outils de transfert utilisés ». Le Conseil d’État a rejeté le recours et refusé de saisir la Cour de justice à titre préjudiciel sur la décision d’adéquation. Concrètement, si vous recevez une mise en demeure ou apprenez l’existence d’une plainte, produisez sans délai trois pièces : l’évaluation écrite de chaque flux vers les États-Unis au regard des articles 45, 46 et 49, la preuve de la certification de votre fournisseur ou de vos clauses et mesures complémentaires, et vos mentions d’information mises à jour avec les destinataires et les outils de transfert.
Sur le plan technique, deux chemins existent. Le premier consiste à conserver l’outil américain en ajoutant des mesures supplémentaires réelles, dont la proxyfication documentée par la CNIL : un serveur mandataire qui rompt le contact direct entre le terminal et les serveurs de l’outil, avec, selon le guide de la CNIL, l’absence de tout transfert de l’adresse IP vers les serveurs de l’outil, le remplacement de l’identifiant utilisateur par le serveur mandataire et la suppression du site référent externe, outre la suppression des paramètres d’URL, le retraitement des empreintes et l’absence de collecte entre sites. La CNIL prévient que cette mise en œuvre peut se révéler coûteuse et complexe. Le second chemin, souvent plus rapide devant la CNIL, consiste à basculer vers une solution qui ne réalise aucun transfert hors de l’Union européenne : outil hébergé dans l’Union, sans requête vers des serveurs américains, avec un contrat de sous-traitance qui interdit les transferts. Dans les deux cas, conservez les factures, les journaux de configuration, les captures de la liste de certification et les versions datées de vos mentions : ce dossier constitue votre preuve de diligence si la mise en demeure débouche sur une procédure de sanction.
B. Sécuriser le contrat, agir en référé et mesurer la réparation
Votre contrat avec le fournisseur de l’outil ou avec votre prestataire web doit encadrer les transferts. L’article 28, paragraphe 2, du RGPD impose : « Le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. » Or un changement d’infrastructure côté fournisseur peut ajouter un sous-traitant américain à votre insu. Exigez une information préalable sur tout ajout ou remplacement, un droit d’objection effectif et une clause qui limite les transferts aux seuls pays et outils listés en annexe. Le contrat doit en outre prévoir que le sous-traitant « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ». Sans ces stipulations, vous subissez le transfert sans pouvoir démontrer que vous l’avez encadré, et la CNIL comme le juge vous le reprocheront.
Quand le prestataire retient vos données ou refuse de basculer, le référé offre une voie rapide. L’article 835 du code de procédure civile dispose : « Le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence peuvent toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite. Dans les cas où l’existence de l’obligation n’est pas sérieusement contestable, ils peuvent accorder une provision au créancier, ou ordonner l’exécution de l’obligation même s’il s’agit d’une obligation de faire. » La cour d’appel de Paris a confirmé le 26 juin 2025 une ordonnance qui enjoignait à un éditeur de logiciels en nuage de restituer les données d’un cabinet d’expertise comptable après résiliation : le contrat ne prévoyant pas de dispositions spéciales sur l’accessibilité des données après la résiliation, « celles-ci devaient être restituées ou rendues accessibles immédiatement » et « l’existence d’un trouble manifestement illicite est établie ». La leçon vaut pour votre outil de mesure : faites écrire la restitution et la suppression, sous astreinte, dès la signature.
La rédaction des clauses mérite autant de soin que leur exécution. Le 9 avril 2026, la cour d’appel de Paris a appliqué à la lettre une clause qui prévoyait : « Le Client a bien pris note qu’une résiliation de l’option de sauvegarde en ligne signifie la suppression définitive, irrévocable et immédiate de ses données informatiques hébergées sur les serveurs de Nemoxia ou du prestataire spécialisé et qu’aucune copie ne pourrait être demandée. » Le client, qui confondait sauvegarde et archivage, a perdu : « le contrat ne met pas à la charge de la société Nemoxia une obligation d’archivage, seule une prestation de sauvegarde a été souscrite, obligeant le prestataire à une rétention de 28 jours des données stockées sur le cloud », et le juge des référés, « s’il n’a pas le pouvoir d’interpréter le contrat il est tenu d’appliquer ses clauses claires ». Transposez cette rigueur à la mesure d’audience : définissez la durée de conservation des identifiants, le sort des données à la résiliation, l’interdiction des transferts non listés et une obligation d’assistance en cas de contrôle CNIL, avec des pénalités dissuasives. En cas d’inexécution suffisamment grave, l’article 1224 du code civil rappelle que « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. »
Enfin, mesurez vos demandes de réparation avec réalisme, que vous soyez visiteur ou éditeur attaqué. L’article 82, paragraphe 1, du RGPD ouvre le droit à réparation à « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement ». La chambre sociale de la Cour de cassation, le 24 juin 2026, a cassé un arrêt qui déduisait automatiquement un préjudice de la violation : « En statuant ainsi, alors que la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation et qu’il lui appartenait d’apprécier si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral, la cour d’appel a violé le texte susvisé. » Le visiteur qui invoque un transfert illicite doit donc établir un dommage concret : temps perdu, démarches, exposition de sa navigation, préjudice moral caractérisé. Symétriquement, l’éditeur assigné en paiement automatique peut faire écarter les provisions non justifiées, comme l’a fait le tribunal judiciaire d’Arras le 28 mai 2026 en condamnant sous « astreinte à raison de 100 euros par jour de retard » pour la communication des données tout en déboutant le demandeur de ses provisions pour préjudice moral. L’article 1240 du code civil, « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. », ne joue qu’une fois le dommage prouvé. Pour aller plus loin sur le versant contractuel des litiges informatiques, notamment la suspension des flux et la résiliation face à un prestataire, vous pouvez utilement lire notre analyse des contrats de prestations informatiques et SaaS ainsi que notre article consacré au prestataire SaaS qui transfère vos données vers les États-Unis.
Un visiteur qui découvre un transfert illicite vers les États-Unis sur votre site peut donc agir sur trois fronts : plainte auprès de la CNIL, qui peut mettre en demeure puis sanctionner, action en référé pour obtenir communication, suppression ou cessation sous astreinte, et action en réparation sur le fondement de l’article 82 du RGPD à condition de prouver un dommage. Côté éditeur, la parade tient en quatre gestes accomplis avant toute mise en demeure : cartographier les flux, vérifier la certification ou signer les clauses de 2021 avec des mesures supplémentaires réelles, informer les visiteurs des destinataires et des outils, et verrouiller le contrat du prestataire sur les transferts, la restitution et l’assistance au contrôle. Le contentieux de 2025 et 2026 montre que les juges récompensent le dossier documenté et sanctionnent l’approximation, des deux côtés de la barre.
Besoin d’un avis rapide sur votre dossier
Vous avez reçu une mise en demeure de la CNIL pour votre outil de mesure d’audience ou vous découvrez un transfert de vos données vers les États-Unis ? Obtenez un avis sur votre dossier en numérique et données personnelles avec Maître Reda KOHEN, avocat au Barreau de Paris. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.