L'Irlande inflige une amende de 403 millions d'euros à Google sur les données de localisation

La décision

C'est la première sanction que la DPC inflige à Google, rapporte The Record. Le régulateur a aussi ordonné à l'entreprise de modifier le traitement visé par la décision.

La DPC est le principal régulateur de la vie privée de Google dans l'Union européenne, car le siège européen du groupe se trouve à Dublin. Ses décisions s'appliquent donc dans tout le bloc. L'enquête couvre la période du 25 mai 2018, date d'entrée en vigueur du RGPD, au 4 février 2020.

Ce que la DPC a constaté

Les trois commissaires de la DPC ont relevé quatre infractions sur les trois fonctionnalités, rapporte BetaNews. Le traitement via Web & App Activity et Location History ne respectait pas les exigences de licéité et d'équité. Location Accuracy a manqué à l'obligation de responsabilité, car Google n'a pas pu démontrer qu'il satisfaisait aux exigences de licéité, d'équité et de transparence. Les trois fonctionnalités ont échoué sur la transparence, et Google a conservé les données des deux premières plus longtemps que nécessaire.

Graham Doyle, commissaire adjoint de la DPC, a déclaré que les données de localisation « peuvent révéler un grand nombre d'informations sur une personne, y compris des informations intrinsèquement privées ». Selon lui, les utilisateurs pouvaient ignorer que leur localisation servait « par exemple à les influencer par la publicité ou à déduire leurs centres d'intérêt », et risquaient de perdre le contrôle de leurs données personnelles. Le fait de conserver ces données plus longtemps que nécessaire « a aggravé cette perte de contrôle », a-t-il ajouté.

Les trois fonctionnalités

Web & App Activity est un paramètre de compte qui peut enregistrer les recherches, l'historique de navigation et les données de localisation. Location History, désormais présenté comme Google Maps Timeline, conserve les lieux visités et les trajets effectués, y compris lorsqu'une personne porte un appareil sans utiliser de service Google. Location Accuracy est une fonction Android qui combine GPS, Wi-Fi, antennes mobiles et capteurs, et qui fonctionne sans compte Google.

La DPC a ouvert l'enquête en février 2020 après des plaintes de plusieurs organisations européennes de défense des consommateurs, dont BEUC, indique le régulateur. Plus de six ans se sont écoulés avant la décision.

La réponse de Google

Google a déclaré dans un communiqué : « Cette affaire porte sur des politiques anciennes qui ont depuis été mises à jour. » L'entreprise affirme que ses pratiques ont « nettement évolué » depuis 2019 et qu'elle a mis en place des outils de gestion des données de localisation.

Elle cite les contrôles de suppression automatique, qui permettent aux utilisateurs d'effacer leurs données sur une base glissante de trois, 18 ou 36 mois. Les données de Google Maps Timeline sont désormais stockées sur l'appareil, et celles de plus de trois mois sont supprimées automatiquement, rapporte BleepingComputer. Google indique aussi conserver une zone générale estimée plutôt qu'une position précise de l'appareil lors d'une recherche. L'entreprise dit avoir ajouté des outils simplifiés de gestion des annonces, qui permettent de désactiver entièrement les publicités personnalisées. Sa documentation précise que Timeline est désactivé par défaut, mais Google avertit que le désactiver n'empêche pas forcément l'enregistrement de la localisation via d'autres paramètres.

Ampleur et suites

L'amende de 403 millions d'euros est la quatrième plus élevée jamais prononcée par la DPC. Elle reste inférieure à l'amende de 1,2 milliard d'euros infligée à Meta et à celles visant TikTok. Elle s'ajoute aux plus de 4 milliards d'euros d'amendes prononcées au total par le régulateur depuis qu'il a endossé le rôle de chef de file du RGPD en 2018. La valeur en dollars a été rapportée entre environ 461 millions et 463 millions.

Trois autres enquêtes réglementaires sur Google restent ouvertes et sont à un stade avancé, indique la DPC. Le régulateur a promis de publier la décision complète.