L’amende de €403m à Google reste secrète

La Commission irlandaise de protection des données a sanctionné Google pour le traitement de données de localisation entre 2018 et 2020. Mais elle n’a toujours pas publié sa décision motivée ni les mesures imposées au groupe, près de huit ans après les premières plaintes.

L’amende est spectaculaire. Le dossier, lui, reste largement inaccessible : la Commission irlandaise de protection des données (DPC) n’a publié ni le calcul des 403 millions d’euros, ni le détail des manquements juridiques, ni l’injonction de mise en conformité. Le public ne peut donc pas encore vérifier si la sanction et le remède correspondent aux violations constatées.

Ce que la DPC a annoncé — et ce qu’elle n’a pas publié

L’enquête portait sur des pratiques comprises entre mai 2018 et février 2020 et sur trois fonctionnalités de Google : Web & App Activity, Location History et Android’s Location Accuracy. Leur interaction était au cœur du problème : un utilisateur qui désactivait Location History pouvait encore voir des informations liées à ses déplacements enregistrées via Web & App Activity. Le Conseil norvégien des consommateurs avait documenté cette faille dans un rapport de 2018. La question réglementaire était donc de savoir si les utilisateurs pouvaient comprendre l’effet combiné de réglages distincts sur les lieux visités, les horaires et la fréquence des déplacements.

Les conclusions varient selon les fonctionnalités. Web & App Activity et Location History auraient enfreint les principes de licéité, d’équité et de transparence. L’annonce de la DPC énumère ces manquements, sans préciser quelle base juridique Google invoquait ni pourquoi elle aurait été insuffisante (Irish DPC). Pour Location Accuracy, Google n’aurait pas démontré qu’il respectait ses obligations : il s’agit d’un manquement au principe de responsabilité. La décision complète pourrait préciser ce que la DPC reproche exactement au traitement lui-même. Seules les deux premières fonctionnalités auraient conservé les données pendant une durée excessive.

La plupart des articles ont résumé l’affaire par une formule plus simple : « Google suivait ses utilisateurs à des fins publicitaires. » Les griefs vont au-delà de la publicité. La répartition des 403 millions d’euros entre les différents manquements et entre les trois fonctionnalités reste inconnue. La DPC affirme que la décision complète sera publiée « en temps voulu » (Irish DPC).

Huit ans entre la plainte et l’amende

Des organisations de consommateurs de huit pays avaient déposé des plaintes coordonnées en novembre 2018 par l’intermédiaire du BEUC, l’organisation européenne de défense des consommateurs (BEUC, Forbrukerrådet). La DPC a ouvert sa propre enquête en février 2020, avant d’en annoncer l’issue en septembre 2026. L’association néerlandaise Consumentenbond s’est félicitée du résultat, tout en soulignant que les consommateurs avaient attendu près de huit ans (Consumentenbond). Le BEUC estime qu’une sanction qui intervient après la transformation des produits perd une grande partie de sa portée préventive (BEUC).

Le mécanisme du guichet unique prévu par le RGPD, qui confie à un seul régulateur national les dossiers transfrontaliers d’une entreprise, a concentré l’affaire à Dublin : l’établissement européen compétent de Google se trouve en Irlande (RGPD, EUR-Lex). Les autres autorités pouvaient formuler des observations ou des objections, mais la DPC dirigeait l’enquête. Elle les a remerciées pour leur « coopération et leur assistance », sans les nommer ni préciser si l’une d’elles avait contesté ses conclusions. Aucune décision correspondante ne figurait dans le registre du Comité européen de la protection des données consacré aux décisions contraignantes de règlement des différends.

La défense de Google et l’injonction introuvable

Google soutient que la décision porte sur des pratiques anciennes qu’il aurait déjà réformées. Le groupe a introduit des outils de suppression automatique en 2019, renforcé les réglages par défaut pour les nouveaux utilisateurs en 2020, puis orienté les données de Maps Timeline vers un stockage sur l’appareil (BleepingComputer). Ces changements pourraient limiter les mesures encore nécessaires. Ils ne rendent pas licites rétroactivement les traitements effectués entre 2018 et 2020, et les déclarations de l’entreprise ne constituent pas, à elles seules, une preuve indépendante de conformité.

L’injonction de mise en conformité, prévue pour six mois, pourrait compter davantage que l’amende. Or la DPC n’a pas indiqué ce que Google devrait modifier : suppression des données historiques, méthode de contrôle du respect des obligations ou point de départ du délai. L’amende devra être confirmée par un tribunal irlandais avant d’être payée, et Google pourra faire appel (EUobserver).

Le guichet unique donne à la décision une portée européenne : une seule autorité peut encadrer le traitement des données de localisation de Google dans tout l’Espace économique européen. Il n’a pas empêché près de huit années d’attente. Tant que la DPC ne publiera pas ses motifs et son injonction, la décision établira des violations sans permettre de vérifier si la sanction et le remède sont à leur mesure. Le texte resté secret dira si Google devra supprimer des données, revoir ses réglages ou simplement documenter des réformes déjà engagées.