La Commission de protection des données irlandaise a infligé une amende record de 403 millions d'euros à Google pour des manquements liés à la loyauté, la transparence et la conservation des données de localisation des utilisateurs au sein de ses services. L'autorité a estimé que les utilisateurs n'étaient pas suffisamment informés et n'avaient pas un contrôle effectif sur l'utilisation de ces données, notamment à des fins publicitaires.

Faits et contexte

L'autorité irlandaise de protection des données (DPC) a aujourd'hui publié une décision de sanction à l'encontre de Google Ireland Limited (comprenant le prononcé d'une amende de 403 000 000 €) pour des manquements en lien avec le traitement des données de localisation.

L'affaire trouve son origine dans une enquête d'initiative lancée en février 2020 par la DPC, agissant en tant qu'autorité de contrôle chef de file, suite à des plaintes d'organisations européennes de consommateurs concernant le traitement des données de localisation par Google.

Motifs de la décision

L'enquête a porté sur la période allant du 25 mai 2018 au 4 février 2020 et a concerné trois fonctionnalités spécifiques : "Activité sur le web et les applications", "Historique des positions" et "Précision de la localisation". L'autorité a retenu les manquements suivants :

• Obligation de licéité, de loyauté et de transparence (principe de l'article 5, paragraphe 1, point a) du RGPD) : L'autorité a jugé que le traitement des données de localisation dans les fonctionnalités "Activité sur le web et les applications" et "Historique des positions" manquait de loyauté et de transparence. Les utilisateurs n'étaient pas en mesure de comprendre que leurs données de localisation étaient utilisées pour des finalités telles que l'affichage de publicités ciblées ou la déduction de leurs centres d'intérêt, ce qui les privait d'un contrôle effectif sur leurs données personnelles.

• Obligation de responsabilité (article 5, paragraphe 2, du RGPD) : Concernant la fonctionnalité "Précision de la localisation", intégrée au système d'exploitation Android, Google n'a pas été en mesure de démontrer sa conformité avec les principes de licéité, de loyauté et de transparence. Ce manquement à l'obligation de responsabilité a empêché l'autorité de s'assurer que le traitement était effectué dans le respect du règlement.

• Obligation de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : Google a manqué à son obligation de limiter la conservation des données de localisation collectées via "Activité sur le web et les applications" et "Historique des positions". L'autorité a souligné que la conservation de ces données pour une durée plus longue que nécessaire aggravait la perte de contrôle des utilisateurs sur leurs informations personnelles.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 403 000 000 € à Google Ireland Limited.

En outre, l'autorité a ordonné à Google de mettre ses traitements en conformité dans un délai de six mois.

Enseignements

Cette décision rappelle que :

• La transparence sur le traitement des données de localisation doit être absolue et couvrir l'ensemble des finalités, y compris l'inférence de centres d'intérêt ou l'affichage de publicités, afin de ne pas vicier la loyauté du traitement.

• Une durée de conservation excessive pour des données sensibles comme la localisation est un facteur aggravant, car elle prolonge la perte de contrôle de la personne concernée sur ses données.

• L'obligation de responsabilité impose de pouvoir démontrer activement la conformité des traitements, y compris pour des fonctionnalités intégrées au système d'exploitation qui traitent des données personnelles en arrière-plan.