Google condamné à 403 millions d’euros pour avoir exploité les données de localisation à des fins publicitaires

Google écope d’une amende de 403 millions d’euros en Europe pour des manquements au Règlement général sur la protection des données (RGPD). L’autorité irlandaise de protection des données (DPC) reproche au géant américain d’avoir collecté, conservé et exploité les données de géolocalisation de ses utilisateurs sans leur fournir un niveau suffisant de transparence et de contrôle.

L’affaire concerne des pratiques observées entre mai 2018 et février 2020, notamment à travers plusieurs paramètres des comptes Google. Certaines données de déplacement auraient notamment été utilisées pour personnaliser la publicité et établir les centres d’intérêt des utilisateurs.

L’enquête de la DPC, ouverte en 2020 après plusieurs plaintes déposées par des associations européennes de consommateurs, s’est intéressée à la manière dont Google gérait les informations de localisation provenant notamment des smartphones. Trois paramètres ont particulièrement retenu l’attention des régulateurs : Activité sur le Web et les applications, Historique des positions et Précision de la localisation.

Selon l’autorité irlandaise, Google n’aurait pas suffisamment informé les utilisateurs de la manière dont ces paramètres permettaient de collecter et d’exploiter leurs données géographiques. Entre mai 2018 et février 2020, Google aurait notamment encouragé les utilisateurs à conserver certains réglages activés sans expliquer suffisamment clairement les conséquences de ce choix.

Les informations obtenues pouvaient servir à personnaliser les publicités et à déterminer certains centres d’intérêt à partir des déplacements des utilisateurs. La DPC estime que ces pratiques ont réduit le contrôle exercé par les internautes sur leurs propres données personnelles.

La durée de conservation de certaines informations géographiques est également mise en cause. Selon Graham Doyle, commissaire adjoint de la DPC, la conservation des données au-delà de la période nécessaire aurait aggravé cette perte de contrôle. Les données de localisation peuvent révéler bien davantage que la simple position géographique d'une personne. Lorsqu'elles sont analysées sur une longue période et combinées à d'autres informations, elles peuvent permettre de reconstituer une partie importante de ses habitudes quotidiennes.

Des déplacements réguliers vers certains lieux peuvent ainsi potentiellement révéler ou suggérer des informations sensibles concernant la santé, les convictions religieuses, les opinions politiques ou encore l'orientation sexuelle d'un utilisateur. C'est notamment pour cette raison que la collecte et l'exploitation de données de géolocalisation sont particulièrement encadrées par les règles européennes de protection de la vie privée.

Google souligne de son côté que la décision concerne des politiques anciennes qui ont depuis été modifiées. L'entreprise affirme avoir commencé à faire évoluer ses pratiques à partir de 2019 et avoir développé de nouveaux outils destinés à simplifier la gestion des données de localisation. La firme dispose désormais d'un délai de six mois pour mettre ses systèmes en conformité avec les exigences formulées par les autorités européennes.

L'association européenne de consommateurs BEUC a salué la décision, tout en regrettant la durée de la procédure. Elle estime qu'une intervention plusieurs années après les pratiques concernées peut réduire l'efficacité des mesures de protection dans un environnement numérique qui évolue rapidement.

Cette nouvelle sanction vient s'ajouter aux différentes procédures européennes visant Google ces dernières années, aussi bien dans le domaine de la protection des données personnelles que dans celui de la concurrence. Selon les informations communiquées, trois autres enquêtes importantes concernant l'entreprise seraient également à un stade avancé en Irlande.