Nouvelle sanction importante pour Google en Europe. Le régulateur irlandais de la protection des données lui inflige 403 millions d’euros d’amende pour plusieurs infractions au RGPD concernant le traitement des données de localisation. L’affaire remonte toutefois à des pratiques utilisées entre 2018 et 2020, que Google assure avoir depuis largement modifiées.
403 MILLIONS D’EUROS POUR GOOGLE
La Data Protection Commission (DPC) irlandaise a rendu lundi sa décision au terme d’une enquête ouverte il y a plus de six ans. Google devra payer 403 millions d’euros. Il s’agit de la quatrième plus importante sanction prononcée par le régulateur irlandais depuis l’entrée en application du RGPD.
Pourquoi l’Irlande ? Tout simplement parce que le siège européen de Google se trouve à Dublin. La DPC agit donc comme autorité principale de contrôle du groupe au sein de l’Union européenne pour ce dossier.
L’enquête avait débuté en février 2020 après plusieurs plaintes d’associations européennes de défense des consommateurs, dont le BEUC. Elle s’intéressait aux pratiques de Google entre le 25 mai 2018 et le 4 février 2020, et plus précisément à trois fonctions : Activité sur le Web et les applications, Historique des positions et Précision de la localisation.
DES UTILISATEURS PAS SUFFISAMMENT INFORMÉS
Le problème ne tient donc pas simplement au fait que Google ait enregistré des positions géographiques. La DPC estime que le groupe n’a pas respecté plusieurs principes du RGPD concernant la licéité, l’équité et la transparence du traitement de ces informations. Le régulateur lui reproche également d’avoir conservé certaines données de localisation plus longtemps que nécessaire.
Or, la localisation constitue une donnée particulièrement sensible. Associée à d’autres informations, elle peut permettre de déduire les habitudes d’une personne, les lieux qu’elle fréquente ou encore certains de ses centres d’intérêt.
Selon Graham Doyle, commissaire adjoint de la DPC, les manquements constatés pouvaient ainsi conduire certains utilisateurs à ignorer que leur position servait notamment à personnaliser des publicités ou à déduire leurs centres d’intérêt. Le régulateur considère donc qu’ils pouvaient perdre une partie du contrôle sur leurs données personnelles.
GOOGLE ASSURE AVOIR DÉJÀ CHANGÉ SES PRATIQUES
Google rappelle de son côté que l’affaire porte sur des pratiques anciennes. Le groupe affirme avoir considérablement modifié la gestion de la localisation à partir de 2019, notamment en proposant des outils de suppression automatique des données, davantage de contrôles publicitaires et des informations plus claires sur leur utilisation.
Cela n’a pas empêché la DPC de demander à Google de mettre les traitements concernés en conformité avec le RGPD dans un délai de six mois. Selon Reuters et la chaîne publique irlandaise RTÉ, Google entend contester la décision. Et les ennuis européens du groupe ne sont pas terminés : trois autres enquêtes de la DPC concernant Google seraient actuellement à un stade avancé.
QU’EN PENSER ?
403 millions d’euros constituent évidemment une sanction importante, mais l’affaire illustre aussi la lenteur de certaines procédures liées au RGPD : l’enquête a débuté en 2020 et porte sur des pratiques remontant jusqu’à 2018. Elle rappelle surtout que la question ne se limite pas à l’activation ou non de la géolocalisation sur un smartphone. Le véritable enjeu concerne aussi ce que les plateformes font ensuite de ces données, pendant combien de temps elles les conservent et si l’utilisateur comprend réellement les traitements auxquels il consent.
