Google a été condamné à une amende de 403 millions d’euros par la Commission irlandaise de la protection des données (DPC) pour sa gestion des données de localisation des utilisateurs. Le régulateur a découvert de multiples violations du RGPD concernant la manière dont Google traitait, expliquait et conservait les informations de localisation collectées via plusieurs de ses services.
L’enquête a couvert les pratiques de Google entre le 25 mai 2018 et le 4 février 2020. Elle a examiné trois fonctionnalités capables de traiter les informations de localisation : l’activité Web & application, l’historique de localisation et la précision de la localisation.
La DPC irlandaise a ouvert son enquête en février 2020 à la suite de plaintes déposées par des organisations européennes de consommation. Comme le siège européen de Google est situé en Irlande, l’autorité irlandaise agit comme principal régulateur de l’entreprise pour de nombreuses questions transfrontalières de protection des données dans l’Union européenne.
Le régulateur a identifié des problèmes liés à la légalité et à l’équité du traitement de Google via l’activité Web & App ainsi que l’historique de localisation. Il a également constaté que Google n’avait pas démontré le respect des exigences du RGPD concernant les données personnelles traitées via Location Accuracy.
La transparence était un autre enjeu central. Selon le DPC, Google n’a pas fourni aux utilisateurs des informations suffisamment claires sur la manière dont les données de localisation étaient traitées entre les trois services. Les régulateurs ont également conclu que certaines informations collectées via Web & App Activity et Location History étaient conservées plus longtemps que nécessaire.
Les informations de localisation peuvent être particulièrement sensibles car les enregistrements répétés des déplacements d’une personne peuvent révéler des lieux, des routines et des centres d’intérêt fréquemment visités. Le DPC a indiqué que les pratiques de Google auraient pu laisser les gens inconscients que leurs informations de localisation pouvaient être utilisées pour déduire des intérêts ou influencer la publicité qu’ils ont montrée.
Les trois fonctionnalités de Google couvertes par l’enquête ont des objectifs différents. Web & App Activity peut sauvegarder l’activité sur les services Google, tandis que l’historique de localisation enregistre les lieux et itinéraires associés à un utilisateur et peut les afficher via Google Maps Timeline. Location Accuracy utilise des signaux provenant de multiples sources pour améliorer le positionnement sur les appareils Android.
Google conteste l’importance de ces conclusions pour ses services actuels. L’entreprise affirme que l’affaire concerne des pratiques historiques qui ont depuis été modifiées, en évoquant des mesures introduites ces dernières années telles que des options de suppression automatique, des contrôles de confidentialité supplémentaires et des informations plus claires sur les données de localisation.
Google prévoit de faire appel de la décision, ce qui signifie que le litige pourrait se poursuivre devant les tribunaux. En plus de l’amende de 403 millions d’euros, la DPC a ordonné à l’entreprise de mettre le traitement concerné en conformité avec les exigences du RGPD dans un délai de six mois.
Le régulateur n’a pas encore publié la décision complète. Une explication plus complète de ses conclusions et des mesures de conformité spécifiques exigées de Google est attendue lorsque la décision finale sera rendue publique.