Le 3 janvier 2014, la CNIL a condamné Google à 150 000 euros d’amende, estimant que les règles de confidentialité mises en œuvre par Google depuis le 1er mars 2012 ne sont pas conformes à la loi « informatique et libertés ». Le montant de l’amende est ridicule au vu des bénéfices engrangés par Google mais c’est le plus élevé prononcé jusqu’à présent par la CNIL.
Une seule politique de confidentialité, mais pas la bonne
Accessoirement, la CNIL enjoint Google de procéder à la publication d’un communiqué relatif à cette décision sur la page d’accueil de Google.fr, sous huit jours à compter de la notification de la décision. Le 1er mars 2012, Google a décidé de fusionner en une seule politique les différentes règles de confidentialité applicables à une soixantaine de ses services, dont Google Search, YouTube, Gmail, Picasa, Google Drive, Google Docs, Google Maps, etc. Quasiment tous les internautes français sont concernés par cette décision.
Le » G29 « , le groupe des CNIL européennes, a mené une analyse de cette politique de confidentialité, concluant que celle-ci n’était pas conforme au cadre juridique européen, et a émis plusieurs recommandations. Google n’ayant pas donné de suite à celles-ci, six autorités européennes ont engagé à son encontre des procédures répressives.
Plusieurs dispositions non respectées
Dans ce contexte, le 3 janvier 2014, la CNIL a prononcé à l’encontre de Google une sanction de 150 000 €, estimant que celui-ci ne respectait pas plusieurs dispositions de la loi » informatique et libertés « .
La CNIL considère que les données relatives aux utilisateurs des services de Google en France et traitées par cette société, sont des données à caractère personnel. La CNIL retient que, contrairement à ce que soutient Google., la loi française s’applique bien aux traitements, par Google, des données personnelles des internautes résidant en France.
La CNIL ne conteste pas la légitimité de l’objectif de simplification poursuivi par Google en fusionnant ses politiques de confidentialité. Elle considère cependant que les conditions de mise en œuvre de cette politique unique sont contraires aux exigences de la loi.
Google se moque d’informer ses utilisateurs
Google n’informe pas suffisamment ses utilisateurs des conditions et des finalités de traitement de leurs données personnelles. De ce fait, ils ne peuvent pas comprendre, ni les finalités de la collecte des données, celles-ci n’étant pas déterminées comme l’exige la loi, ni l’ampleur des données collectées à travers les différents services. Par conséquent, les utilisateurs ne sont pas mis en mesure d’exercer leurs droits, notamment d’accès, d’opposition ou d’effacement.
Google ne respecte pas les obligations qui lui incombent d’obtenir le consentement des utilisateurs préalablement au dépôt de cookies sur leurs terminaux . Google ne fixe pas de durée de conservation pour les données qu’il traite. Google s’autorise enfin, sans base légale, selon la CNIL à procéder à la combinaison de l’intégralité des données qu’il collecte sur les utilisateurs à travers l’ensemble de ses services.
Même constat au niveau européen
Ces conclusions sont similaires à celles précédemment retenues par les autorités néerlandaise et espagnole de protection des données en novembre et décembre 2013, au regard de leur droit national respectif. La sanction pécuniaire décidée constitue le montant le plus élevé prononcé jusqu’à présent par la CNIL. Elle se justifie par le nombre et la gravité des manquements constatés.
Par ailleurs, la CNIL a enjoint Google de procéder à la publication d’un communiqué relatif à cette décision sur le site https://www.google.fr, pendant 48 heures, sous huit jours à compter de la notification de la décision. Cette mesure de publicité s’explique par l’ampleur des données collectées ainsi que par la nécessité d’informer les personnes concernées, qui ne sont pas en mesure d’exercer leurs droits.
