Google enfreint le RGPD et écope d’une amende de 403 millions d’euros

La Commission à la protection des données irlandaise (DPC), autorité chargée de faire respecter le RGPD (Règlement général sur la protection des données) en Irlande, a infligé à Google une amende de 403 millions d’euros. Cette sanction fait suite à des infractions au RGPD concernant le traitement des données de localisation des utilisateurs. En 2023, la DPC avait déjà infligé une amende de 1,2 milliard d’euros à Meta pour des manquements similaires. Le RGPD est un règlement européen entré en vigueur en mai 2018 qui encadre strictement la collecte, le stockage et l’utilisation des données personnelles des citoyens européens.

L’enquête de la DPC contre Google a débuté en début d’année 2020. Elle fait suite à des plaintes déposées par huit organisations de défense des consommateurs, regroupées au sein du BEUC (Bureau européen des unions de consommateurs). Ces plaintes visaient les pratiques de Google en matière de traitement des données de localisation, notamment via ses services web, ses applications mobiles et ses fonctionnalités de géolocalisation. Le siège européen de Google est basé en Irlande, ce qui donne à la DPC une compétence exclusive pour enquêter sur le groupe dans l’Union européenne.

La DPC a identifié trois principaux manquements de Google au RGPD entre mai 2018 et février 2020. Premièrement, l’entreprise a traité les données de localisation liées à l’activité sur le web et aux applications sans base juridique valable, ce qui signifie qu’elle n’avait pas le droit légal de collecter ces informations. Deuxièmement, Google a enregistré les lieux visités et les déplacements des utilisateurs dans un historique de localisation sans fondement juridique ni transparence suffisante. Enfin, la fonctionnalité de précision de la localisation, qui améliore la géolocalisation au-delà des données GPS, n’a pas respecté les principes de traitement légal, loyal et transparent des données.

Outre les manquements liés au traitement des données, la DPC a également reproché à Google de ne pas respecter ses obligations de transparence. Les utilisateurs n’ont pas été suffisamment informés sur la manière dont leurs données de localisation étaient collectées, utilisées ou conservées. Par ailleurs, Google a enfreint les principes de conservation des données pour deux de ses fonctionnalités : l’activité sur le web et les apps, ainsi que l’historique de localisation. Cela signifie que les données ont été conservées plus longtemps que nécessaire ou autorisé par le RGPD.

Les données de localisation sont considérées comme particulièrement sensibles, car elles révèlent des informations intimes sur la vie privée des individus. Elles peuvent indiquer l’école fréquentée par les enfants, le nombre de visites à un hôpital, les lieux de culte fréquentés ou encore les habitudes de déplacement. Agustín Reyna, directeur général du BEUC, a souligné que ces pratiques étaient extrêmement intrusives et portaient atteinte au droit fondamental à la vie privée. Le RGPD vise précisément à protéger ces données en imposant des règles strictes à leur collecte et leur utilisation.

Agustín Reyna a salué la décision de la DPC, mais a critiqué le temps nécessaire pour aboutir à cette sanction. Selon lui, le délai de plusieurs années entre les plaintes (2018) et la décision (2026) est disproportionné au regard de la gravité des infractions. Il estime qu’une application tardive de la loi peut être aussi préjudiciable qu’une absence totale de sanction, car elle ne protège pas efficacement les droits des consommateurs. Le BEUC a d’ailleurs déposé une seconde plainte contre Google en 2022 pour des pratiques similaires.

Google a indiqué qu’elle avait déjà mis à jour ses pratiques depuis 2019 et lancé des outils pour simplifier la gestion des données de localisation. L’entreprise a rappelé que l’amende concernait des règles de confidentialité obsolètes et qu’elle avait depuis adopté des mesures conformes au RGPD. Selon elle, les fonctionnalités actuelles permettent aux utilisateurs de mieux contrôler leurs données. Cependant, la DPC a donné à Google un délai de six mois pour se mettre en règle, bien que l’entreprise affirme déjà respecter les nouvelles exigences.