La DPC irlandaise inflige une amende de 403 millions d'euros à Google pour le tracde la géolocalisation

La Commission irlandaise de protection des données (DPC) a infligé à Google une amende de 403 millions d'euros ( 463$ ) pour la manière dont il a traité les données de localisation des utilisateurs d'Android et de comptes Google, après avoir constaté que le géant technologique ne disposait d'aucune base légale pour traiter ces informations et que ses utilisateurs n'avaient pas reçu suffisamment d'informations claires sur ce à quoi ils consentaient.

La DPC a constaté que Google n'avait pas traité les données de localisation de manière licite, loyale et transparente pour trois produits : Activité Web et App, Historique des positions et Précision de la localisation. Les deux premiers permettent tracl'activité de navigation et de recherche, ainsi que les lieux visités par l'appareil de l'utilisateur, tandis que la Précision de la localisation est un simple paramètre d'Android.

L'autorité irlandaise de régulation a également souligné les risques importants pour la vie privée liés au tracla géolocalisation. Le commissaire adjoint Graham Doyle a déclaré que les données de localisation peuvent certes améliorer l'utilité des services en ligne, mais aussi révéler des informations très privées et sensibles concernant une personne.

D'après le Guardian, le commissaire a déclaré que les utilisateurs ignoraient peut-être que leurs données de géolocalisation étaient utilisées pour cibler la publicité ou déduire leurs centres d'intérêt. Conserver ces informations plus longtemps que nécessaire, a-t-il ajouté, réduit encore davantage le contrôle des utilisateurs sur leurs données.

L'enquête du régulateur irlandais a débuté à partir de la date d'entrée en vigueur du Règlement général sur la protection des données, le 25 mai 2018, et s'est poursuivie pendant près de deux ans, jusqu'au 4 février 2020.

Une plainte qui trouve son origine en Norvège

L'affaire a débuté par des plaintes de sept associations européennes de consommateurs, accusant Google de suivre les utilisateurs tracdans leur vie quotidienne. Leurs inquiétudes s'appuyaient sur une étude menée en 2018 par l'agence norvégienne de protection des consommateurs, le Forbrukerrådet, qui affirmait que Google utilisait diverses techniques pour maintenir activés l'historique de localisation et l'activité sur le Web et les applications.

L'étude a également montré comment et pourquoi tracde la géolocalisation peut révéler bien plus que les simples lieux visités. Les visites de lieux de culte peuvent révéler des convictions religieuses, la participation à des manifestations des opinions politiques, les visites à l'hôpital des problèmes de santé, et les lieux fréquentés, l'orientation sexuelle.

Finn Myrstad, directeur des politiques numériques au Conseil norvégien des consommateurs, a qualifié cette décision d'historique. Selon le Guardian, M. Myrstad a déclaré que les consommateurs devraient pouvoir comprendre ce à quoi ils consentent sans être induits en erreur ni contraints de faire des choix qu'ils n'auraient pas faits autrement.

L’Organisation européenne des consommateurs, connue sous le nom de BEUC, a également décrit la géolocalisation comme l’une des formes les plus intrusives de surveillance des consommateurs.

Six ans après le début de l'enquête

Si le directeur général du BEUC, Agustín Reyna, s'est félicité de la décision, il a néanmoins critiqué le délai mis pour y parvenir. Il a qualifié ce délai de « disproportionné à la gravité de l'infraction » et a averti qu'« une application tardive de la loi peut être aussi préjudiciable qu'une absence totale d'application »

Pour rappel, la DPC a ouvert son enquête il y a six ans.

Google, de son côté, a mis en avant les changements qu'elle affirme avoir apportés depuis la période visée par l'enquête. Un porte-parole a déclaré que l'affaire concerne des politiques anciennes qui ont depuis été mises à jour, ajoutant que l'entreprise avait notamment modifié ses pratiques à partir de 2019 et introduit des outils pour simplifier la gestion des données de géolocalisation.

La DPC a également donné à Google six mois pour mettre ses pratiques de traitement en conformité avec le RGPD.

Pourquoi l'Irlande est à la tête de l'affaire

Le siège européen de Google se trouve à Dublin, ce qui fait de l'autorité de surveillance irlandaise son principal organisme de réglementation au sein des 27 États membres de l'UE. La DPC (Digital Providers Commission) remplit le même rôle pour la plupart des grandes entreprises technologiques américaines dont les sièges européens sont situés en Irlande.

L'amende de 403 millions d'euros est la quatrième plus importante infligée par la commission de régulation irlandaise. Selon le Guardian, la DPC a déjà condamné Meta à des amendes de 1,2 milliard d'euros, TikTok à 530 millions d'euros et Instagram à 405 millions d'euros.

Cette dernière décision pourrait ne pas être la dernière mesure prise par l'autorité de régulation contre Google cette année, trois autres enquêtes concernant l'entreprise étant déjà à un stade avancé.