Le 21 janvier 2019, la CNIL infligeait une amende record de 50 millions d’euros à Google. C’était à l’époque l’amende la plus importante jamais réclamée par la CNIL depuis l’arrivée du RGPD. Entre temps Google a souhaité faire annuler cette sanction en consultant le Conseil d’État, mais la plus haute juridiction administrative française a rejeté le recours du géant américain.

Le Conseil d’État confirme la compétence de la CNIL

Google devra donc bien passer à la caisse et régler cette fameuse amende de 50 millions d’euros, qui devra donc bien passer à la caisse. À l’époque, la Commission nationale de l’informatique et des libertés expliquait que :

« Les manquements constatés privent les utilisateurs de garanties fondamentales concernant des traitements pouvant révéler des pans entiers de leur vie privée, car reposant sur un volume considérable de données, une grande variété de services et des possibilités de combinaison de données quasi-illimitées ». 

Google n’aurait donc pas respecté plusieurs articles du Règlement général sur la protection des données (RGPD). Le Conseil d’État ne sauvera pas la firme de Moutain View. Le 19 juin, la juridiction française a estimé que Google était bien coupable des faits révélés par la CNIL. Dans sa décision, le Conseil d’État explique que :

« Google n’a pas délivré une information suffisamment claire et transparente aux utilisateurs du système d’exploitation mobile Android, qui n’ont jamais pu livrer leur consentement libre et éclairé au traitement de leurs données personnelles nécessaires à la personnalisation des annonces publicitaires, comme le prévoit expressément le RGPD ».

Une amende symbolique

Concrètement, le consentement de l’utilisateur est biaisé au moment de la création d’un compte Google pour l’utilisation du système Android est biaisé. Google n’a pas fait le choses comme le RGPD le réclame. Le processus d’inscription invite l’utilisateur à accepter que ses informations soient traitées conformément à un paramétrage par défaut. Les détails sur le ciblage publicitaire ne sont visibles que si vous cliquez sur « plus d’options ». Pour le Conseil d’État, l’internaute est noyé dans toutes ces informations et ne peut pas y voir clair.

Cette confirmation de la part de la France montre aux autres géants de la tech que ce genre de sanctions peut également leur tomber dessus. Pour vous donner un ordre d’idée, le montant de l’amende (50 millions d’euros) correspond au chiffre d’affaires que la société réalise en 3h20. C’est donc très peu pour l’entreprise, mais la symbolique est importante. C’est la première amende que Google se voit infliger par un pays de l’Union européenne. Sept autres accusent la société d’avoir contourné le RGPD dont la Pologne ou encore la Suède.