Google va devoir régler une facture particulièrement salée en Irlande. La Commission irlandaise de protection des données (DPC) lui inflige une amende de 403 millions d’euros pour sa gestion des informations de localisation. L’autorité estime que plusieurs pratiques du groupe ont enfreint le règlement général sur la protection des données (RGPD).
Trois fonctions dans le viseur
La DPC joue ici le rôle de chef de file européen, le siège de Google dans l’UE étant installé à Dublin. Son enquête a débuté en février 2020, après des plaintes déposées par plusieurs organisations de défense des consommateurs. Les faits examinés couvrent la période allant du 25 mai 2018 au 4 février 2020.
L’enquête s’est penchée sur trois outils. Le premier, « Activité sur le web et les applications », conserve différentes interactions effectuées sur les services de Google. Cela peut inclure l’historique de navigation, les recherches et certaines données de localisation. Le deuxième, « Historique de localisation », est un service optionnel capable d’enregistrer les déplacements réalisés avec des appareils compatibles.
Ces informations alimentent notamment la fonctionnalité « Vos trajets » de Google Maps, qui présente une carte des lieux visités. L’enregistrement peut continuer même lorsque l’utilisateur n’utilise pas directement un service Google. Enfin, la fonction « Précision de la localisation » d’Android améliore la position calculée par le téléphone au-delà des seules données GPS. Elle peut être utilisée sans compte Google.
Selon la DPC, le géant du web n’a pas respecté les exigences du RGPD pour les deux premières fonctions. L’entreprise n’a pas non plus suffisamment démontré sa conformité pour la troisième. Le régulateur relève également des manquements concernant la transparence des trois outils ainsi que la durée de conservation de certaines données.
Le Bureau européen des unions de consommateurs (BEUC) accueille favorablement la sanction, tout en regrettant le temps nécessaire pour y parvenir. Les premières plaintes coordonnées par l’organisation remontent à novembre 2018. Pour le Bureau, ces données sont particulièrement sensibles. Elles peuvent révéler une visite à l’hôpital, la fréquentation d’un lieu de culte ou encore l’école d’un enfant.
« Une application tardive peut être aussi dommageable qu’une absence d’application », souligne Agustín Reyna, directeur général du BEUC. L’organisation avait notamment dénoncé des interfaces trompeuses et des sollicitations répétées poussant les utilisateurs d’Android à autoriser le suivi de leurs déplacements.
Google répond que l’affaire concerne d’anciennes pratiques, modifiées depuis. Le groupe affirme avoir largement fait évoluer ses politiques depuis 2019 et lancé des outils destinés à simplifier la gestion des données de localisation. L’entreprise a maintenant six mois pour mettre ses traitements en conformité avec le RGPD.