Six ans d’enquête, une sanction lundi
Lundi, la Commission irlandaise de protection des données a frappé Google d’une amende de 403 millions d’euros pour violation du Règlement général sur la protection des données (RGPD). Cette décision met fin à une enquête de six ans sur les pratiques de suivi du géant américain. La DPC est la principale autorité de régulation de la vie privée de Google au sein de l’Union européenne.
Une enquête née de plaintes de consommateurs
L’instruction a été ouverte en février 2020, après des plaintes de plusieurs organisations européennes de défense des consommateurs, dont le BEUC. Les enquêteurs se sont penchés sur trois fonctionnalités : Activité sur le Web et les applications, Historique des positions et Précision de la localisation. Leur analyse couvre la période allant de l’entrée en vigueur du RGPD, le 25 mai 2018, au 4 février 2020.
Ce que reproche le régulateur à Google
La DPC a établi trois manquements :
- un traitement illicite et déloyal des données de localisation ;
- un défaut de transparence sur les trois fonctionnalités examinées ;
- une conservation des données au-delà de la durée nécessaire.
La décision a été rendue par les commissaires Des Hogan, Dale Sunderland et Niamh Sweeney.
Pour Graham Doyle, commissaire adjoint de la DPC, ces manquements ont pu laisser les utilisateurs dans l’ignorance : leurs données servaient notamment à leur adresser des publicités ou à déduire leurs centres d’intérêt. Ils ont ainsi pu perdre la maîtrise de leurs informations personnelles, une perte de contrôle aggravée par la durée de conservation.
La défense de Google
Google estime que le dossier concerne des politiques anciennes, depuis mises à jour. Un porte-parole affirme que le groupe a « considérablement fait évoluer » ses pratiques à partir de 2019 et lancé des outils permettant de gérer facilement les données de localisation.
Six mois pour se mettre en conformité
Outre l’amende, la DPC a ordonné à Google de mettre ses traitements en conformité dans un délai de six mois. Selon Reuters, il s’agit de la quatrième sanction la plus lourde prononcée par le régulateur irlandais depuis l’entrée en vigueur du RGPD. Elle se place derrière les 1,2 milliard d’euros infligés à Meta en 2023 pour le transfert de données personnelles d’Européens vers les États-Unis.
Le BEUC réclame plus de rapidité
Agustin Reyna, directeur général du BEUC, y voit la preuve que Google doit répondre de la manière dont il a recueilli le consentement des utilisateurs pour exploiter leurs données de localisation. Il appelle toutefois à une défense plus rapide des droits des consommateurs, alors que cette affaire aura mis six ans à aboutir.
