L’Irlande, au nom de l’Union européenne, a annoncé lundi avoir infligé une amende de 403 millions d’euros à Google pour avoir utilisé de manière inappropriée les données de localisation de ses utilisateurs entre mai 2018 et février 2020. Le délai de près de huit ans écoulé depuis les premières plaintes a toutefois suscité des critiques. Le Bureau européen des unions de consommateurs (BEUC) estime notamment qu’une application aussi tardive du droit peut « être aussi préjudiciable qu’une absence totale de sanctions ».
L’autorité irlandaise de protection des données, qui agit au niveau européen pour Google, a annoncé lundi une amende de 403 millions d’euros (462 millions de dollars) contre le géant américain, huit ans après le dépôt des premières plaintes par des organisations de consommateurs.
Il s’agit de la quatrième plus importante sanction jamais infligée par la Data Protection Commission (DPC), l’autorité irlandaise chargée de la protection des données.
### Google sanctionné pour des pratiques contraires au RGPD
La DPC est chargée de superviser Google à l’échelle européenne, l’entreprise ayant, comme de nombreux géants de la technologie, son siège européen en Irlande.
Selon l’autorité, Google a enfreint le Règlement général sur la protection des données (RGPD) entre mai 2018 et février 2020.
Dans sa décision finale, rendue après l’ouverture d’une enquête en février 2020, la DPC estime que Google a enfreint le RGPD concernant « la licéité et l’équité du traitement des données de localisation » recueillies dans le cadre de l’activité sur le Web et les applications ainsi que de l’historique des positions.
Graham Doyle, vice-commissaire de la DPC, a déclaré que « du fait des manquements de Google, certaines personnes pouvaient ignorer que leur localisation était utilisée, par exemple, pour les influencer au moyen de publicités ou pour déduire leurs centres d’intérêt ».
Il a également souligné que « la conservation des données de localisation des utilisateurs pendant une durée supérieure à celle nécessaire avait encore aggravé cette perte de contrôle ».
En plus de l’amende, le régulateur a ordonné à Google de se mettre en conformité avec le RGPD dans un délai de six mois.
Google a de son côté affirmé que cette procédure portait sur « des politiques historiques qui ont depuis été mises à jour ».
« Depuis 2019, nous avons considérablement fait évoluer nos pratiques et lancé des outils robustes qui permettent de gérer simplement les données de localisation », a déclaré l’entreprise.
## « Une sanction trop tardive peut être aussi préjudiciable que l’absence de sanction »
En novembre 2018, la DPC avait reçu des plaintes coordonnées déposées par des organisations de consommateurs de République tchèque, du Danemark, de Grèce, des Pays-Bas, de Norvège, de Pologne, de Slovénie et de Suède.
Le BEUC, qui fédère ces organisations, a qualifié la décision de lundi de « décision importante », rendue près de huit ans après le dépôt d’une série de plaintes contre Google.
« Cette décision est une bonne nouvelle pour les consommateurs, car elle tient Google pour responsable et confirme l’illégalité de la manière dont le géant technologique a obtenu le consentement des utilisateurs pour exploiter leurs données de localisation », a déclaré Agustin Reyna, directeur général du BEUC.
Il a toutefois critiqué la durée de la procédure.
« Le temps nécessaire pour parvenir à cette conclusion est disproportionné au regard de la gravité de l’infraction », a-t-il déclaré.
« Une application tardive du droit peut être aussi préjudiciable qu’une absence totale de sanctions. Les droits fondamentaux des consommateurs doivent être protégés plus rapidement et plus efficacement », a-t-il ajouté.
Le BEUC a également décrit les données de géolocalisation comme « l’une des formes les plus intrusives de surveillance commerciale », car elles peuvent révéler de nombreuses informations sensibles sur les individus, notamment leurs convictions religieuses, leur état de santé, leurs opinions politiques ou leur orientation sexuelle.
## Trois autres enquêtes en cours
Google fait par ailleurs l’objet de trois autres enquêtes menées par la DPC, toutes considérées par le régulateur comme étant « à un stade avancé ».
L’une d’elles porte sur une procédure ouverte en septembre 2024 afin de déterminer si Google pourrait être tenu responsable de ne pas avoir réalisé une analyse d’impact concernant l’utilisation des données personnelles d’Européens pour entraîner ses systèmes d’intelligence artificielle.
La plus lourde amende jamais infligée par la DPC avait été prononcée en 2023 contre Meta, la maison mère de Facebook. Le groupe avait alors été condamné à une sanction de 1,2 milliard d’euros pour le transfert de données personnelles vers les États-Unis.
