Google enfreint le RGPD et écope d’une amende de 403 millions d’euros
L’amende record de 403 millions d’euros infligée à Google par la Commission irlandaise de protection des données (DPC) pour violation du RGPD marque une nouvelle étape dans la lutte contre les pratiques intrusives de géolocalisation. Au-delà du montant symbolique, cette décision interroge la capacité des régulateurs européens à sanctionner efficacement les géants du numérique, alors que les infractions portent sur des données aussi sensibles que les déplacements ou les lieux fréquentés par les utilisateurs.
Quelles pratiques de Google ont été jugées contraires au RGPD dans cette affaire ?
La DPC a retenu trois manquements principaux : le traitement des données de localisation sans base juridique valable pour l’activité web et mobile, l’historique de localisation et la précision géolocalisée, une opacité sur ces traitements, ainsi qu’un non-respect des principes de conservation des données pour certaines fonctionnalités. Google a notamment été épinglé pour avoir enregistré des lieux visités ou des déplacements sans informer clairement les utilisateurs sur l’étendue et la finalité de ces collectes.
Pourquoi cette décision a-t-elle mis autant de temps à être rendue publique ?
L’enquête de la DPC, ouverte dès 2020, s’est heurtée à la complexité des mécanismes de traitement des données de Google et à des divergences internes au sein des autorités européennes de protection des données. Agustín Reyna, du BEUC, souligne que le délai de six ans entre l’entrée en vigueur du RGPD et la sanction finale illustre les lenteurs des procédures, alors que les infractions concernaient des pratiques antérieures à 2020. Google, de son côté, évoque des règles obsolètes et des mises à jour récentes de ses politiques.
Quels acteurs ont joué un rôle clé dans cette affaire et comment ?
La Commission irlandaise de protection des données (DPC) a mené l’enquête en tant qu’autorité de contrôle pour Google, dont le siège européen est basé en Irlande. Huit organisations de consommateurs, regroupées au sein du BEUC, ont déposé les plaintes initiales en 2018, renforçant la pression sur les régulateurs. Une seconde plainte, déposée en 2022 par dix membres du BEUC dont l’UFC-Que Choisir, cible désormais les dark patterns utilisés par Google pour inciter les utilisateurs à partager davantage de données.
Comment Google justifie-t-il cette amende et quelles mesures a-t-il déjà prises ?
Google conteste partiellement la décision en rappelant que l’enquête porte sur des règles de confidentialité antérieures à 2019, date à laquelle l’entreprise affirme avoir revu ses pratiques et introduit des outils pour simplifier la gestion des données de localisation. Le groupe évoque des améliorations significatives depuis, sans préciser leur nature exacte, et se dit prêt à respecter les obligations imposées par la DPC dans un délai de six mois.
Ce que ça pourrait changer
Cette sanction pourrait accélérer l’harmonisation des pratiques des géants du numérique en matière de transparence et de consentement, sous peine de nouvelles amendes dissuasives. Elle met aussi en lumière les limites des mécanismes de régulation européens, où les lenteurs administratives risquent de réduire l’efficacité des sanctions face à des infractions massives et répétées. Enfin, elle pourrait renforcer la pression sur les autorités nationales pour qu’elles adoptent une approche plus proactive dans la protection des données personnelles.
