La CNIL inflige une amende de 150 000€ à Google

Sale temps pour Google. Condamné par l’Espagne à 900 000€ pour violation de la vie privée, décrié en Europe et désormais condamné en France. Deux fois.

Entre la CNIL et Google c’est une grande histoire de désamour qui dure depuis plusieurs mois. Début de la non romance, 1^er mars 2012, lorsque Google décide de « fusionner en une seule politique les différentes règles de confidentialité applicables à une soixantaine de ses services, dont Google Search, YouTube, Gmail, Picasa, Google Drive, Google Docs, Google Maps, etc. ». Puis avril 2013 : la Commission couve du regard la firme de Mountain View. En cause ? Les conditions d’utilisation nouvellement modifiées qui léseraient l’utilisateur. En juin, la Commission met en demeure Google de régulariser la situation sous trois mois. Frondeuse, la firme attend le dernier jour pour répondre à la Commission Nationale Informatique et Libertés et s’estime dans son droit. Camouflet. La CNIL décide alors de sévir :

Dans ce contexte, la présidente de la CNIL va désigner un rapporteur aux fins d’engager une procédure formelle de sanction, telle que prévue par la loi “Informatique et Libertés”

En octobre dernier, la CNIL porte un coup de semonce à l’encontre de Google. Le géant américain risque une amende maximale de… 150 000€. Coup de semonce qui, à l’échelle de Google, représente un coup d’épée dans l’eau. Google pesant 50 milliards de chiffre d’affaires annuel.

Aujourd’hui, elle passe de la parole aux actes. Dans un communiqué, la CNIL annonce avoir infligé une « sanction pécuniaire » de 150 000€ à l’entreprise Google Inc. pour ses manquements à se conformer à la loi « informatique et libertés ». 150 000€, soit la somme maximale prévue par la loi (Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) lors du premier manquement.

Cette sanction est le résultat d’une concertation du « G29 », soit le groupe regroupant les CNIL européennes, « concluant que celle-ci [la politique concernant les règles de confidentialité, ndlr] n’était pas conforme au cadre juridique européen ». Après diverses recommandations, Google n’a pas jugé bon de donner suite, ainsi « six autorités européennes ont engagé à son encontre des procédures répressives, chacune en ce qui la concerne ».

Les CNIL européennes reprochent à Google de contrevenir aux exigences de la loi dans le traitement des données des utilisateurs, considérés comme des « données personnelles » par la CNIL, en n’informant pas suffisamment ses mêmes utilisateurs.

La société n’informe pas suffisamment ses utilisateurs des conditions et finalités de traitement de leurs données personnelles. De ce fait, ils ne peuvent comprendre, ni les finalités de la collecte, celles-ci n’étant pas déterminées comme l’exige la loi, ni l’ampleur des données collectées à travers les différents services. Par conséquent, ils ne sont pas mis en mesure d’exercer leurs droits, notamment d’accès, d’opposition ou d’effacement

La société ne respecte pas les obligations qui lui incombent d’obtenir le consentement des utilisateurs préalablement au dépôt de cookies sur leurs terminaux

Par ailleurs, la CNIL considère que Google ne « fixe pas de durées de conservation pour l’ensemble des données qu’elle traite » tout en s’autorisant « sans base légale, à procéder à la combinaison de l’intégralité des données qu’elle collecte sur les utilisateurs à travers l’ensemble de ses services ».

La Commission assortie sa sanction d’une demande à Google de « procéder à la publication d’un communiqué relatif à cette décision sur le site https://www.google.fr, pendant 48 heures, sous huit jours à compter de la notification de la décision. Cette mesure de publicité s’explique par l’ampleur des données collectées ainsi que par la nécessité d’informer les personnes concernées, qui ne sont pas en mesure d’exercer leurs droits. »

En décembre 2011 déjà, Google était condamné par la Cour d’appel de Paris pour « injure publique ». La firme devant s’acquitter d’une amende de 50 000€ mais – et c’est une première – devait afficher une publication judiciaire sur sa page d’accueil et ce pendant 7 jours (sous peine d’une amende de 5000€ par jour de retard), à la manière des magazines people condamnés pour atteinte à la vie privée.

Dans cette affaire, rien à voir avec les conditions d’utilisation. Une entreprise lyonnaise a porté plainte car lorsque le nom de l’entreprise était googlelisé, le terme “escroc” sortait dans les suggestions de la barre de recherche. S’estimant injuriée publiquement, l’entreprise avait porté l’affaire en justice.

En première instance, l’entreprise lyonnaise avait remporté une victoire avec la suppression de la suggestion « escroc ». Néanmoins, dans sa plaidoirie, Google assurait que les suggestions étaient automatisées et le reflet des recherches les plus couramment tapées. Manque de chance, le plaignant a réussi à prouver que, lorsqu’elle le jugeait utile, la firme pouvait supprimer manuellement certaines suggestions de recherche, notamment en matière de pornographie. Ce que Google a confirmé plus tard en s’engageant dans la lutte contre la pornographie et la pédopornographie en ligne.

Sachant que Google n’a jamais été très pressé de répondre aux dernières injonctions des CNIL européennes et que l’ultime sanction prévue par la loi française prévoit qu’« en cas de manquement réitéré dans les cinq années à compter de la date à laquelle la sanction pécuniaire précédemment prononcée est devenue définitive, il ne peut excéder 300 000 euros ou, s’agissant d’une entreprise, 5 % du chiffre d’affaires hors taxes du dernier exercice clos dans la limite de 300 000 euros », Goliath a encore de beaux jours devant lui…