Google prend 403 millions d’euros d’amende : six ans pour découvrir que votre localisation, c’est votre vie
Google vient de recevoir une petite notification qui risque de faire moins plaisir qu’un rappel pour mettre à jour Chrome : 403 millions d’euros d’amende. La sanction a été prononcée par la Data Protection Commission irlandaise, qui reproche à Google d’avoir mal géré les données de localisation de ses utilisateurs européens.
Et comme toujours avec les grandes histoires technologiques, il y a un petit détail croustillant : l’enquête a commencé en 2020 et concerne principalement des pratiques datant de 2018 à février 2020. Six ans pour arriver à la conclusion que votre téléphone savait peut-être un peu trop bien où vous étiez.
Google savait où vous étiez. Pas vraiment où était le problème
L’affaire concerne trois mécanismes de Google : Web & App Activity, Location History et Location Accuracy. Le premier peut notamment intégrer des données de localisation à l’historique d’activité du compte Google, le deuxième permet de conserver une carte des déplacements de l’utilisateur et le troisième améliore la précision de localisation des appareils Android.
Le problème identifié par le régulateur irlandais n’est donc pas simplement que Google connaissait votre position. Ce n’est évidemment pas un scoop : si vous utilisez Google Maps pour savoir où se trouve votre boulangerie préférée, il serait assez inquiétant que Google pense que vous êtes actuellement au milieu de l’océan Atlantique.
Le problème porte plutôt sur la manière dont ces données étaient traitées, expliquées et conservées. La DPC estime notamment que Google n’a pas suffisamment respecté les exigences de licéité, d’équité et de transparence pour certaines utilisations de ces données, et qu’il n’a pas suffisamment démontré sa conformité pour Location Accuracy. Le régulateur a également pointé la durée de conservation de certaines données de localisation.
Votre téléphone est donc un excellent témoin
Une donnée de localisation paraît anodine jusqu’à ce qu’on commence à les empiler. Prenons un exemple…
Une position à 8h12, une autre à 8h47, une troisième à 12h03 et une quatrième à 18h26 permettent progressivement de comprendre où vous travaillez, où vous habitez, quels endroits vous fréquentez et quels déplacements vous effectuez régulièrement. La DPC rappelle elle-même que les données de localisation peuvent révéler une quantité considérable d’informations privées sur une personne.
Et c’est là que la vieille phrase “ce n’est qu’une localisation” prend soudainement un petit coup de vieux.
Une localisation n’est pas seulement une latitude et une longitude. C’est potentiellement le journal intime de vos déplacements, mais écrit automatiquement par votre smartphone.
Six ans pour rendre le verdict
Oui, six ans ! L’enquête de la DPC a été ouverte en février 2020 après des plaintes déposées par plusieurs organisations européennes de défense des consommateurs, dont le BEUC. Elle portait sur la période allant du 25 mai 2018, date d’application du RGPD, au 4 février 2020.
La décision finale tombe donc hier, le 21 septembre 2026.
Autrement dit, le dossier a eu le temps de passer de “Google collecte vos données de localisation” à “Google collecte vos données de localisation, mais avec une décision administrative qui arrive suffisamment tard pour que plusieurs générations d’Android aient eu le temps de sortir”.
Google assure que tout cela appartient au passé
Google conteste évidemment l’idée que ses pratiques actuelles soient représentées par cette décision. L’entreprise affirme que le dossier concerne des politiques historiques et souligne avoir depuis modifié ses pratiques, notamment avec davantage de contrôles pour les utilisateurs, des options de suppression automatique et une réduction de la précision de certaines données de localisation conservées.
Le régulateur n’a toutefois pas simplement envoyé la facture et fermé le dossier. Google doit également mettre son traitement des données en conformité dans un délai de six mois.
403 millions : une grosse amende ou un ticket de parking pour Google ?
403 millions d’euros, cela paraît astronomique pour monsieur Tout-le-Monde. Pour Google, qui évolue à une échelle financière où les milliards commencent à ressembler à des unités de mesure plutôt qu’à des fortunes, la question de l’effet réel d’une telle sanction est évidemment différente.
Mais l’intérêt de cette décision n’est pas seulement le montant.
Elle rappelle surtout que derrière les jolies cartes, les itinéraires, les recherches personnalisées et les publicités miraculeusement pertinentes, il existe une gigantesque machinerie capable de transformer vos déplacements en données exploitables.
Google pourra donc continuer à vous aider à retrouver votre voiture lorsque vous avez oublié où vous l’avez garée.
Mais désormais, l’Europe tient aussi à rappeler que savoir où vous êtes n’autorise pas automatiquement à décider tranquillement quoi faire de cette information.
Et après six ans d’enquête, Google vient peut-être de retrouver quelque chose qu’il avait perdu depuis longtemps : le chemin vers la conformité RGPD.
Sources
- Data Protection Commission – Google fined €403 million over location data processing
- Reuters – Irish privacy regulator fines Google €403 million over location data processing
- AP News – Google fined $463 million for breaching EU rule on location data
- The Hacker News – Google Fined €403 Million Over GDPR Violations Tied to Location Data
