Google vient de recevoir une petite notification qui risque de faire moins plaisir qu’un rappel pour mettre à jour Chrome : 403 millions d’euros d’amende. La sanction a été prononcée par la Data Protection Commission irlandaise, qui reproche à Google d’avoir mal géré les données de localisation de ses utilisateurs européens.
Et comme toujours avec les grandes histoires technologiques, il y a un petit détail croustillant : l’enquête a commencé en 2020 et concerne principalement des pratiques datant de 2018 à février 2020. Six ans pour arriver à la conclusion que votre téléphone savait peut-être un peu trop bien où vous étiez.
L’affaire concerne trois mécanismes de Google : Web & App Activity, Location History et Location Accuracy. Le premier peut notamment intégrer des données de localisation à l’historique d’activité du compte Google, le deuxième permet de conserver une carte des déplacements de l’utilisateur et le troisième améliore la précision de localisation des appareils Android.
Le problème identifié par le régulateur irlandais n’est donc pas simplement que Google connaissait votre position. Ce n’est évidemment pas un scoop : si vous utilisez Google Maps pour savoir où se trouve votre boulangerie préférée, il serait assez inquiétant que Google pense que vous êtes actuellement au milieu de l’océan Atlantique.
Le problème porte plutôt sur la manière dont ces données étaient traitées, expliquées et conservées. La DPC estime notamment que Google n’a pas suffisamment respecté les exigences de licéité, d’équité et de transparence pour certaines utilisations de ces données, et qu’il n’a pas suffisamment démontré sa conformité pour Location Accuracy. Le régulateur a également pointé la durée de conservation de certaines données de localisation.
Une donnée de localisation paraît anodine jusqu’à ce qu’on commence à les empiler. Prenons un exemple…
Une position à 8h12, une autre à 8h47, une troisième à 12h03 et une quatrième à 18h26 permettent progressivement de comprendre où vous travaillez, où vous habitez, quels endroits vous fréquentez et quels déplacements vous effectuez régulièrement. La DPC rappelle elle-même que les données de localisation peuvent révéler une quantité considérable d’informations privées sur une personne.
Et c’est là que la vieille phrase “ce n’est qu’une localisation” prend soudainement un petit coup de vieux.
Une localisation n’est pas seulement une latitude et une longitude. C’est potentiellement le journal intime de vos déplacements, mais écrit automatiquement par votre smartphone.
Oui, six ans ! L’enquête de la DPC a été ouverte en février 2020 après des plaintes déposées par plusieurs organisations européennes de défense des consommateurs, dont le BEUC. Elle portait sur la période allant du 25 mai 2018, date d’application du RGPD, au 4 février 2020.
La décision finale tombe donc hier, le 21 septembre 2026.
Autrement dit, le dossier a eu le temps de passer de “Google collecte vos données de localisation” à “Google collecte vos données de localisation, mais avec une décision administrative qui arrive suffisamment tard pour que plusieurs générations d’Android aient eu le temps de sortir”.
Google conteste évidemment l’idée que ses pratiques actuelles soient représentées par cette décision. L’entreprise affirme que le dossier concerne des politiques historiques et souligne avoir depuis modifié ses pratiques, notamment avec davantage de contrôles pour les utilisateurs, des options de suppression automatique et une réduction de la précision de certaines données de localisation conservées.
Le régulateur n’a toutefois pas simplement envoyé la facture et fermé le dossier. Google doit également mettre son traitement des données en conformité dans un délai de six mois.
403 millions d’euros, cela paraît astronomique pour monsieur Tout-le-Monde. Pour Google, qui évolue à une échelle financière où les milliards commencent à ressembler à des unités de mesure plutôt qu’à des fortunes, la question de l’effet réel d’une telle sanction est évidemment différente.
Mais l’intérêt de cette décision n’est pas seulement le montant.
Elle rappelle surtout que derrière les jolies cartes, les itinéraires, les recherches personnalisées et les publicités miraculeusement pertinentes, il existe une gigantesque machinerie capable de transformer vos déplacements en données exploitables.
Google pourra donc continuer à vous aider à retrouver votre voiture lorsque vous avez oublié où vous l’avez garée.
Mais désormais, l’Europe tient aussi à rappeler que savoir où vous êtes n’autorise pas automatiquement à décider tranquillement quoi faire de cette information.
Et après six ans d’enquête, Google vient peut-être de retrouver quelque chose qu’il avait perdu depuis longtemps : le chemin vers la conformité RGPD.
Il y a trois ans, j’ai pris une décision que je considère encore aujourd’hui comme…
La Suisse a passé des décennies à expliquer au monde entier que ses affaires privées…
Il y a une chose qui m'a frappé dès les premières heures de mon séjour…
Donald Trump vient de trouver une solution assez originale à un problème qui semble l’agacer…
Il fut une époque merveilleusement simple où une caméra de surveillance se contentait de filmer…
Il y a des ventes d’entreprises qui ressemblent à une transaction parfaitement classique : quelqu’un…
