Google sanctionné à hauteur de 403 millions d’euros en Irlande pour d’anciennes pratiques liées aux données de localisation

La Data Protection Commission irlandaise a annoncé le 21 septembre une amende de 403 millions d’euros contre Google pour d’anciennes pratiques liées aux données de localisation, et a ordonné à l’entreprise de mettre ses traitements en conformité dans un délai de six mois. La décision concerne des données collectées entre 2018 et 2020 via les réglages Activité sur le Web et les applications, Historique des positions et précision de la localisation.

Ce que couvre la décision irlandaise

Le constat du régulateur est une décision réglementaire, et non un benchmark technique indépendant. Il identifie des manquements portant sur la licéité, l’équité, la transparence et la conservation au regard des règles de protection de la vie privée appliquées aux données de localisation. Concrètement, l’affaire porte sur la question de savoir si la manière dont Google traitait les informations de localisation respectait les exigences requises pour expliquer, justifier et limiter ce traitement pendant la période examinée.

Le périmètre est important, car la décision n’est pas présentée comme un constat portant sur chaque produit actuel de Google ni sur toutes les formes d’utilisation de la localisation. Elle est rattachée à des réglages précis et à une fenêtre historique définie. Activité sur le Web et les applications, Historique des positions et précision de la localisation sont des contrôles distincts, mais ils peuvent tous concerner la manière dont un service enregistre ou utilise des signaux indiquant où une personne se trouve ou s’est trouvée.

La préoccupation du régulateur repose aussi sur la sensibilité de la localisation précise. Celle-ci peut révéler des informations privées, y compris des schémas susceptibles d’indiquer des centres d’intérêt, des habitudes ou des lieux sensibles. Elle peut également servir à déduire des intérêts ou à influencer la publicité. Cela ne signifie pas que chaque signal de localisation présente le même niveau de sensibilité, mais cela explique pourquoi la conservation, la transparence et la base juridique sont des questions centrales dans ce dossier.

Ce que Google dit avoir changé

Google affirme que la décision concerne des pratiques historiques qui ont changé depuis 2019. L’entreprise met en avant des options de suppression automatique, le stockage sur l’appareil de la Timeline de Maps et un recours accru à des zones approximatives. Il s’agit de déclarations de l’entreprise sur des changements de produits et de politiques, qu’il faut distinguer du constat du régulateur sur la période antérieure.

Les options de suppression automatique, telles que décrites par Google, traitent la question de la conservation en permettant que les informations liées à la localisation soient supprimées après une période définie plutôt que conservées indéfiniment. Le lien avec la décision irlandaise est clair : la conservation fait partie des domaines dans lesquels le régulateur a relevé des manquements. Toutefois, l’existence d’une option de suppression automatique ne prouve pas en soi que le traitement antérieur était licite, équitable ou transparent.

Le stockage sur l’appareil de la Timeline de Maps modifie l’endroit où certaines informations d’historique des positions sont conservées. Garder les données de Timeline sur un appareil peut réduire la quantité d’historique de localisation stockée dans des systèmes centraux, selon la manière dont un service est configuré. La décision du régulateur porte toutefois sur les pratiques entre 2018 et 2020, et non sur un audit indépendant du fonctionnement de chaque mise en œuvre actuelle.

Google mentionne aussi un recours accru à des zones approximatives. La distinction entre localisation précise et localisation approximative est importante, car la localisation précise peut permettre des déductions plus spécifiques sur la vie d’une personne. Les zones approximatives peuvent réduire la granularité, mais l’effet concret sur la vie privée dépend du contexte, de la finalité et de la conservation. La décision ne devient donc pas un tableau de notation technique comparant anciens et nouveaux systèmes.

Ce que montrent les chiffres, et ce qu’ils ne montrent pas

Le montant de 403 millions d’euros indique l’ampleur de la sanction administrative imposée par la Data Protection Commission irlandaise. Il est présenté comme la quatrième plus importante amende infligée par le régulateur irlandais. Ce classement mesure la sévérité de l’application des règles dans l’historique du régulateur ; il ne mesure pas le nombre d’utilisateurs concernés, la quantité de données collectées ni la rentabilité éventuelle d’un traitement.

L’ordre de mise en conformité sous six mois est distinct de la sanction financière. Il donne à Google une échéance pour aligner les traitements concernés sur les exigences du régulateur. Cet ordre a une portée opérationnelle, car il fait passer l’affaire au-delà d’une sanction pécuniaire vers des changements requis ou des confirmations de conformité.

La comparaison avec les États-Unis apporte du contexte, mais pas une équivalence. En 2022, Google a conclu un accord de 391,5 millions de dollars avec quarante États américains au sujet du suivi de localisation. Cet accord et l’amende irlandaise concernent tous deux des pratiques liées à la localisation, mais ils relèvent de systèmes juridiques et de procédures différents. L’un ne doit pas être traité comme un benchmark direct pour l’autre.

Les montants ne prouvent pas non plus l’état actuel des systèmes de Google. La décision irlandaise évalue des pratiques historiques de 2018 à 2020, tandis que Google affirme avoir modifié ses pratiques depuis 2019. L’amende montre que le régulateur a jugé les manquements passés suffisamment sérieux pour justifier une sanction importante et un ordre de mise en conformité. À elle seule, elle n’établit pas une mesure technique indépendante des contrôles de localisation actuels.

Implications pratiques

Pour Google, l’implication immédiate est réglementaire : l’entreprise fait face à une amende de 403 millions d’euros et à une exigence de conformité dans un délai de six mois. La tâche pratique consiste à aligner les traitements de données de localisation concernés sur les attentes en matière de licéité, d’équité, de transparence et de conservation. Comme la décision vise plusieurs réglages, la conformité ne se résume pas à un seul libellé ni à un seul interrupteur.

Pour les utilisateurs, l’affaire souligne pourquoi les réglages de localisation peuvent être difficiles à évaluer. Activité sur le Web et les applications, Historique des positions et précision de la localisation peuvent sembler séparés, mais chacun peut contribuer à dresser une image de déplacements, de lieux ou de proximité. La décision rappelle que les explications claires et les limites de conservation ne sont pas des détails secondaires : elles sont centrales pour comprendre ce qui advient des données.

Pour les annonceurs et les services fondés sur les données, la décision rappelle encore que les intérêts déduits à partir de la localisation attirent l’attention des régulateurs. La question n’est pas seulement de savoir si la localisation peut améliorer la pertinence. Elle est de savoir si la collecte, l’utilisation et le stockage respectent les exigences du droit de la vie privée, en particulier lorsque la localisation précise peut révéler des informations privées. Plus largement, le dossier montre que la conception historique des produits reste exposée à des mesures d’application ultérieures : Google soutient que les pratiques concernées ont changé, tandis que le régulateur sanctionne la période antérieure et fixe une échéance tournée vers l’avenir.