L'Irlande DPC amende Google de €403 millions pour le suivi de localisation

La Commission irlandaise de la protection des données (DPC) a amende Google de 403 millions d'euros (463 millions de dollars) pour la manière dont elle a géré les données de localisation des utilisateurs d'Android et de comptes Google, après avoir constaté que le géant de la technologie ne disposait d'aucune base légale pour traiter les informations et que ses utilisateurs n'avaient pas reçu suffisamment de clarté concernant ce à quoi ils acceptaient.

La DPC a constaté que Google avait échoué à traiter les données de localisation de manière légale, loyale et transparente sur trois produits qui comprenaient l'activité Web & App, l'historique de localisation et la précision de la localisation. Les deux premiers produits peuvent suivre l'activité de navigation et de recherche ainsi que les endroits où le dispositif de l'utilisateur a été visité précédemment, tandis que la précision de la localisation n'est qu'un paramètre AndroidOS.

Le régulateur irlandais a également souligné les risques importants pour la vie privée liés au suivi de localisation. Le commissaire adjoint Graham Doyle a déclaré que les données de localisation peuvent rendre les services en ligne plus utiles, mais peuvent également révéler des informations très privées et sensibles sur une personne.

Selon le Guardian, le commissaire a déclaré que les utilisateurs ne savaient peut-être pas que leur position était utilisée pour cibler la publicité ou inférer ce que pouvaient être leurs intérêts. Garder les informations plus longtemps que nécessaire, a-t-il ajouté, réduisait davantage le contrôle des utilisateurs sur leurs données.

L'enquête du régulateur irlandais a commencé à la date d'entrée en vigueur du Règlement général sur la protection des données le 25 mai 2018 pour une période de près de deux ans jusqu'au 4 février 2020.

Une plainte ancrée en Norvège

L'affaire a commencé avec des plaintes de sept organisations européennes de consommateurs, accusant Google de suivre les utilisateurs tout au long de leur vie quotidienne. Leurs préoccupations s'appuyaient sur une recherche de 2018 de l'agence norvégienne de la consommation, le Forbrukerrådet, qui soutenait que Google utilisait « diverses astuces » pour maintenir l'historique de localisation et l'activité Web & App activés.

La recherche a également indiqué comment et pourquoi le suivi de la localisation peut exposer beaucoup plus que simplement les lieux géographiques qu'une personne a visités. Les visites de lieux de culte peuvent révéler les croyances religieuses, la participation à des manifestations peut pointer vers les opinions politiques, les visites à l'hôpital peuvent indiquer des conditions de santé, tandis que les lieux qu'une personne visite peuvent révéler son orientation sexuelle.

Finn Myrstad, directeur de la politique numérique au Conseil norvégien de la consommation, a décrit la décision comme une étape importante. Selon le Guardian, Myrstad a déclaré que les gens devraient pouvoir comprendre ce à quoi ils acceptent sans être induits en erreur ou pressés de faire des choix qu'ils ne feraient pas autrement.

L'Organisation européenne des consommateurs, connue sous le nom de BEUC, a également décrit la géolocalisation comme l'une des formes les plus invasives de surveillance des consommateurs.

Six ans après le début de l'enquête

Bien que le directeur général de BEUC, Agustín Reyna, ait salué la décision, il a critiqué le temps qu'il a fallu pour y parvenir. Il a décrit le retard comme « disproportionné par rapport à la gravité de l'infraction » et a averti que « l'application tardive peut être aussi nuisible qu'aucune application du tout ».

Pour contexte, la DPC a ouvert son enquête il y a six ans.

Google, pour sa part, a souligné les changements que l'entreprise prétend avoir apportés depuis la période couverte par l'enquête. Un porte-parole a déclaré que l'affaire concernait des politiques historiques qui ont depuis été mises à jour, ajoutant que l'entreprise avait notablement changé ses pratiques à partir de 2019 et introduit des outils pour faciliter la gestion des données de localisation.

La DPC a également donné à Google six mois pour mettre ses pratiques de traitement en conformité avec le RGPD.

Pourquoi l'Irlande mène le dossier

Le siège européen de Google est situé à Dublin, ce qui fait de l'autorité irlandaise de protection des données son régulateur principal dans les 27 États membres de l'UE. La DPC joue le même rôle pour la plupart des grandes entreprises technologiques américaines dont les bases européennes sont en Irlande.

L'amende de 403 millions d'euros constitue la quatrième plus grosse sanction infligée par la commission de régulation irlandaise. Selon le Guardian, la DPC a déjà infligé à Meta une amende de 1,2 milliard d'euros, à TikTok 530 millions d'euros et à Instagram, propriété de Meta, 405 millions d'euros.

La dernière décision ne sera peut-être pas l'action finale du régulateur à l'encontre de Google cette année, trois autres enquêtes concernant l'entreprise étant déjà à un stade avancé.