Google devra payer 403 millions d’euros pour sa manière de traiter les données de localisation de ses utilisateurs en Europe. L’autorité irlandaise de protection des données reproche au groupe un manque de transparence, mais aussi une conservation trop longue de certaines informations. L’enquête portait sur trois fonctions différentes, dont l’une pouvait continuer à exploiter la localisation sans passer par l’historique dédié.
Trois réglages, une même localisation
L’enquête de la Data Protection Commission irlandaise remonte à 2020. Elle avait été ouverte après plusieurs plaintes d’associations européennes de consommateurs. Les faits examinés couvrent la période allant du 25 mai 2018 au 4 février 2020. Trois fonctions de Google étaient dans le viseur : Web & App Activity, Location History et Location Accuracy. Chacune d’entre elles avait son propre fonctionnement. Location History permettait de conserver les déplacements d’un utilisateur et de les afficher ensuite dans une chronologie privée. Web & App Activity enregistrait de son côté l’activité réalisée dans les services Google et pouvait également inclure des informations de localisation. Location Accuracy, intégrée à Android, aidait enfin les appareils à déterminer leur position avec davantage de précision.
Pour le régulateur, cette superposition compliquait sérieusement la compréhension de ce qui était réellement collecté. Un utilisateur pouvait ainsi penser avoir désactivé son historique de localisation sans nécessairement comprendre que d’autres réglages continuaient à traiter certaines données permettant de déduire où il se trouvait.
Google n’a pas seulement été sanctionné pour un défaut d’information
La DPC reproche au groupe plusieurs manquements au RGPD. Elle considère que Google n’a pas traité certaines données de manière suffisamment loyale et licite dans Web & App Activity et Location History. Elle relève aussi un défaut de transparence pour les trois fonctions examinées. Le régulateur estime surtout que les utilisateurs pouvaient ne pas mesurer jusqu’où leurs données de localisation étaient utilisées, notamment pour déduire leurs centres d’intérêt ou influencer les publicités qui leur étaient présentées.
À cela s’ajoute la durée de conservation. La DPC considère que certaines données issues de Web & App Activity et de Location History ont été gardées plus longtemps que nécessaire. L’addition atteint 403 millions d’euros. Google dispose également de six mois pour mettre ses traitements en conformité.
Google répond que les réglages ont déjà changé
Google conteste la portée actuelle de la décision. Le groupe explique à Reuters que l’enquête repose sur des pratiques anciennes et rappelle avoir depuis modifié ses outils : contrôles supplémentaires, suppression automatique de certaines données et réduction de la précision des informations conservées.
Cela ne change pas le fond de la décision rendue cette semaine. Pour la DPC, le problème ne tenait pas uniquement à l’existence d’un bouton permettant d’activer ou de désactiver un historique. Il fallait encore que l’utilisateur puisse comprendre ce que faisaient les autres réglages autour de lui. Et c’est précisément ce que le régulateur estime que Google n’a pas suffisamment permis pendant la période examinée.
