La Commission irlandaise pour la protection des données (DPC) a infligé lundi 21 septembre une amende de 403 millions d’euros à Google, jugée en violation du règlement général sur la protection des données (RGPD) pour sa gestion des informations de géolocalisation de ses utilisateurs.
Il s’agit de la quatrième sanction la plus élevée jamais prononcée par cet organisme. Elle concerne les options « Historique des positions », « Précision de la localisation » et « Activité sur le web et les applications ». Installée à Dublin, où le groupe a son siège européen, la DPC exerce la supervision de Google à l’échelle de l’Union.
Selon Graham Doyle, commissaire adjoint à la DPC, les données de géolocalisation peuvent « améliorer l’utilité des services en ligne », mais aussi « révéler une quantité importante d’informations sur une personne, y compris des informations intrinsèquement privées », a‑t‑il souligné dans un communiqué. « En raison des manquements » de l’entreprise, les utilisateurs « pouvaient ignorer que leur localisation était utilisée, par exemple, pour les influencer au moyen de publicités ou pour déduire leurs centres d’intérêt ».
L’entreprise dispose d’un délai de six mois pour adapter ses pratiques et se mettre en conformité avec le RGPD.
L’enquête a débuté en février 2020, après des plaintes déposées de manière coordonnée en novembre 2018 par le Bureau européen des unions de consommateurs (BEUC) et des associations de défense des consommateurs de Suède, de Pologne, des Pays-Bas, de Grèce, de Slovénie, de Norvège et de République tchèque.
Pour Agustín Reyna, directeur général du BEUC, la décision « confirme l’illégalité de la manière dont le géant technologique a obtenu le consentement pour utiliser les données de localisation ». Il a toutefois estimé que « le temps nécessaire pour parvenir à cette conclusion est disproportionné par rapport à la gravité de l’infraction », ajoutant qu’« une application tardive de la loi peut être aussi nuisible que son absence ».
Un porte‑parole de Google a répondu que « cette affaire porte sur des politiques historiques qui ont depuis été mises à jour ». « Depuis 2019, nous avons fait évoluer nos pratiques de manière significative et lancé des outils robustes qui rendent la gestion des données de localisation simple. »
Trois autres procédures de la DPC visant Google sont en cours, « toutes à un stade avancé ». L’une d’elles, ouverte en septembre 2024, examine si une étude d’impact a fait défaut avant l’emploi de données personnelles d’Européens destinées à l’entraînement de son intelligence artificielle. En 2023, c’est Meta qui avait reçu de la DPC la sanction la plus élevée jamais prononcée, d’un montant de 1,2 milliard d’euros, pour des transferts de données vers les États‑Unis.
