Dans sa décision du 19 juin 2020, le Conseil d’Etat a confirmé l’amende de 50 millions d’euros prononcée par la Commission Nationale de l’Informatique et des Libertés (ci-après « Cnil ») contre la société Google LLC pour manque de transparence, information insatisfaisante et absence de consentement valable pour la personnalisation de la publicité.
En mai 2018, des plaintes contre Google pour manquement au RGPD ont été déposées devant la Cnil par les associations La Quadrature du Net et None of your business.
Partant, la Cnil a procédé à des investigations relatives au traitement des données personnelles effectuées par la société Google LLC. Elle a notamment analysé le parcours d’un utilisateur type lors de la création d’un compte Google à partir d’un téléphone fonctionnant avec le système d’exploitation Android.
Sur la base de ces investigations, la Cnil a retenu deux manquements au RGPD :
- Tout d’abord, la Cnil a considéré que les informations fournies à l’utilisateur au moment de la création d’un compte n’étaient pas toujours claires et facilement accessibles. En particulier, elle a relevé que des informations essentielles (sur les finalités, les durées de conservation ou les catégories de données pour la personnalisation de la publicité) étaient éparpillées sur plusieurs pages et que l’utilisateur devait parfois accomplir jusqu’à six actions pour y accéder. Elle a, en outre, relevé que les informations mises à disposition par Google étaient rédigées de façon trop vague, ce qui ne permettait pas aux utilisateurs de comprendre l’ampleur du traitement effectué par Google. La Cnil a en effet souligné que les données des utilisateurs étaient collectées à partir de nombreux services tels que Gmail, Google Maps ou YouTube, ce qui avait pour effet de rendre le traitement massif et intrusif.
- Ensuite, la Cnil a estimé que le consentement des utilisateurs n’était pas valablement recueilli pour le traitement relatif à la personnalisation de la publicité. Elle a en effet relevé que le recueil du consentement se faisait au moyen d’une case pré cochée par défaut, ce qui n’était pas conforme aux exigences du RGPD.
Elle a par conséquent prononcé une sanction, considérée comme record, de 50 millions d’euros à l’encontre de la société Google LLC.
Immédiatement, la société Google LLC a décidé de faire appel de cette décision et a saisi le Conseil d’Etat d’une requête pour l’invalider.
Or, le Conseil d’Etat a validé la décision de la Cnil et a confirmé, par la même, une juste application des principes clés du RGPD :
- D’une part, il atteste qu’à l’époque des faits, la Cnil était bien compétente pour prendre une sanction à l’encontre de Google, les décisions en cause n’étant pas prises par son établissement irlandais mais par la société Google LLC implantée aux Etats-Unis. Le système du guichet unique prévu par le RGPD n’était donc pas applicable et la Cnil avait compétence pour sanctionner la société.
- D’autre part, il confirme que la Cnil a fait une juste application des principes clés du RGPD relatifs à la transparence, à l’information des utilisateurs et à la nécessité d’un consentement valable pour la publicité personnalisée.
In fine, le Conseil d’Etat estime que les manquements de Google relevés par la Cnil sont bien constitués.
Par Marie-Alix André pour ATurquoise
Source : Cnil
Comments are closed.