La Cnil a prononcé une sanction pécuniaire de 150 000 € à l'encontre de Google, « estimant que les règles de confidentialité mises en œuvre par celle-ci depuis le 1er mars 2012 ne sont pas conformes à la loi "informatique et libertés". » Une sanction annoncée de longue date, mais qui n'est qu'une goutte d'eau dans l'océan des 37 milliards d'euros de chiffre d'affaires du géant de l'internet.
La Cnil ne reproche pas à Google d'avoir fusionné en une seule politique les différentes règles de confidentialité de sa soixantaine de services, mais déplore depuis plus d'un an le manque d'informations « sur la finalité de la collecte et l'utilisation des données personnelles » et sur la durée de leur conservation. La firme de Mountain View ne s'est jamais donné la peine de répondre, estimant que le droit français ne lui était pas applicable en tant qu'entreprise américaine.
Engagée fin septembre, la procédure de sanction est parvenue à son terme avec cette amende, qui atteint le « montant le plus élevé prononcé jusqu'à présent » par la Cnil au vu « [du] nombre et [de] la gravité des manquements constatés. » L'autorité française de protection des données personnelles est parvenue aux mêmes conclusions que ses homologues néerlandaise et espagnole, qui ont aussi sanctionné Google :
[La Cnil] considère cependant que les conditions de mise en œuvre de cette politique unique sont contraires aux exigences de la loi :
- La société n'informe pas suffisamment ses utilisateurs des conditions et finalités de traitement de leurs données personnelles. De ce fait, ils ne peuvent comprendre, ni les finalités de la collecte, celles-ci n'étant pas déterminées comme l'exige la loi, ni l'ampleur des données collectées à travers les différents services. Par conséquent, ils ne sont pas mis en mesure d'exercer leurs droits, notamment d'accès, d'opposition ou d'effacement.
- La société ne respecte pas les obligations qui lui incombent d'obtenir le consentement des utilisateurs préalablement au dépôt de cookies sur leurs terminaux.
- Elle ne fixe pas de durées de conservation pour l'ensemble des données qu'elle traite.
- Elle s'autorise enfin, sans base légale, à procéder à la combinaison de l'intégralité des données qu'elle collecte sur les utilisateurs à travers l'ensemble de ses services.
Un rapporteur sera bientôt désigné pour engager la procédure formelle de sanction, la Cnil demandant par ailleurs à Google « de procéder à la publication d'un communiqué relatif à cette décision sur le site https://www.google.fr, pendant 48 heures, sous huit jours à compter de la notification de la décision. »
Source : Merci Jean F.
