L'Irlande inflige à Google une amende de 403 millions d'euros sur les données de localisation, sa première grande sanction contre l'entreprise

Ce que le régulateur a décidé

L'amende, environ 463 millions de dollars, est la quatrième plus élevée jamais prononcée par la DPC et sa première grande sanction contre Google, rapporte POLITICO. Elle s'ajoute aux plus de 4 000 000 000 d'euros d'amendes que la DPC a infligées depuis l'entrée en vigueur du RGPD en 2018. Ce total comprend 1 200 000 000 d'euros contre Meta, près de trois fois le montant de l'amende visant Google.

Outre l'amende, la DPC a ordonné à Google de mettre ses traitements de données de localisation en conformité sous six mois, rapporte Reuters. L'amende ne pourra être recouvrée avant qu'un tribunal irlandais ne la confirme, et Google peut faire appel devant la High Court dans les 28 jours suivant la notification formelle, précise la DPC. Google affirme que l'affaire porte sur des politiques anciennes, depuis mises à jour. Un porte-parole a déclaré à Reuters que l'entreprise comptait faire appel pour « obtenir davantage de clarté juridique sur quelques points précis ».

Les constats portent sur des pratiques qui ont pris fin en février 2020.

Pourquoi le ciblage publicitaire est au centre

La DPC a constaté des violations des règles du RGPD sur le traitement licite et équitable, ainsi que sur la transparence, pour Web & App Activity et Location History. Elle a aussi relevé que Google conservait les données de localisation plus longtemps que nécessaire via ces deux fonctions. Graham Doyle, commissaire adjoint de la DPC, a indiqué que les personnes concernées pouvaient ignorer que leur localisation servait, par exemple, à les influencer par la publicité ou à déduire leurs centres d'intérêt. Elles pouvaient ainsi perdre la maîtrise de leurs données personnelles.

Pour Location Accuracy, une fonction Android disponible avec ou sans compte Google, les constats sont plus restreints. Google a manqué à ses obligations de transparence et de responsabilité, faute d'avoir pu démontrer que le traitement était licite, équitable et transparent.

La DPC n'a pas indiqué publiquement quels traitements couvre son injonction de conformité. Elle précise que la décision complète sera publiée plus tard.

Ce que Google dit avoir déjà changé

En mai 2019, pendant la période examinée, Google a annoncé des contrôles de suppression automatique pour Location History et Web & App Activity. Les utilisateurs pouvaient effacer ces données au bout de 3 ou 18 mois. En juin 2020, l'entreprise a fait de la suppression automatique à 18 mois le réglage par défaut pour Web & App Activity sur les nouveaux comptes et pour toute personne activant Location History pour la première fois.

En décembre 2023, Google a annoncé que Timeline, la vue de Location History dans Maps, conserverait ses données sur les appareils des utilisateurs. Les nouveaux utilisateurs de Location History bénéficieraient d'une suppression automatique par défaut à 3 mois. Google affirme avoir fait évoluer sensiblement ses pratiques à partir de 2019 et lancé des outils de gestion des données de localisation. La DPC n'a pas dit publiquement si ces changements suffisent à satisfaire son injonction.

Six ans et demi entre l'enquête et la décision

La DPC a ouvert l'enquête en février 2020 après des plaintes d'associations de consommateurs européennes, dont BEUC. Les organisations membres de BEUC avaient saisi les autorités nationales en novembre 2018. La période examinée va du 25 mai 2018, date d'entrée en vigueur du RGPD, au 4 février 2020, jour où la DPC a annoncé l'enquête.

La décision est tombée plus de 6,5 ans après l'ouverture de l'enquête. Agustín Reyna, directeur général de BEUC, s'en est félicité tout en critiquant le délai : « Une application tardive peut être aussi nocive qu'une absence d'application », a-t-il déclaré.

Ce qui se passe ensuite

La DPC mène trois autres enquêtes formelles sur Google, portant sur son modèle d'IA PaLM2, son système de publicité personnalisée et sa procédure d'inscription des comptes. Le régulateur indique que les trois sont en phase finale.