La formation restreinte de la Cnil a prononcé une sanction de 50 millions d’euros à l’encontre de la société Google en application du RGPD pour manque de transparence, information insatisfaisante et absence de consentement valable pour personnalisation de la publicité. C’est la première fois que la Cnil fait application des nouveaux plafonds de sanctions prévus par le RGPD.
Le montant retenu, ainsi que la publicité de l’amende, se justifient, selon la Cnil, d’abord par la gravité des manquements constatés qui concernent des principes essentiels du RGPD : la transparence, l’information et le consentement.
En outre, les manquements retenus perdurent à ce jour et sont des violations continues du Règlement. Il ne s’agit pas d’un manquement ponctuel, délimité dans le temps.
La Commission nationale de l’informatique et des libertés (Cnil) a reçu des plaintes collectives de l’association None Of Your Business («NOYB») et de l’association La Quadrature du Net («LQDN»). LQDN était mandatée par près de 10 000 personnes pour saisir la Cnil. Dans ces deux plaintes, les associations reprochaient à Google de ne pas disposer d’une base juridique valable pour traiter les données personnelles des utilisateurs de ses services, notamment à des fins de personnalisation de la publicité.
Sur la base des investigations menées, la formation restreinte – chargée de prononcer les sanctions – a constaté deux séries de manquements au RGPD :
Premièrement, un manquement aux obligations de transparence et d’information : la formation restreinte relève que les informations fournies par Google ne sont pas aisément accessibles pour les utilisateurs.
Des informations essentielles, telles que les finalités pour lesquelles les données sont traitées, la durée de conservation des données ou les catégories de données utilisées pour la personnalisation de la publicité, sont excessivement disséminées dans plusieurs documents, qui comportent des boutons et liens qu’il est nécessaire d’activer pour prendre connaissance d’informations complémentaires. L’information pertinente n’est accessible qu’après plusieurs étapes, impliquant parfois jusqu’à cinq ou six actions. C’est par exemple le cas si un utilisateur veut disposer d’informations complètes sur la collecte de ses informations pour la personnalisation des publicités, ou pour sa géolocalisation.
De même, la Cnil constate que les informations délivrées ne sont pas toujours claires et compréhensibles.
Les utilisateurs ne sont pas en mesure de comprendre l’ampleur des traitements mis en place par Google. Or ces traitements sont particulièrement massifs et intrusifs, en raison du nombre de services proposés (une vingtaine), de la quantité et de la nature des données traitées et combinées. La formation restreinte relève en outre que la durée de conservation de certaines données n’est pas indiquée.
Deuxièmement, un manquement à l’obligation de disposer d’une base légale pour les traitements de personnalisation de la publicité. Le consentement à la publicité n’est pas valablement recueilli pour deux raisons mises en avant par la Cnil : le consentement des utilisateurs n’est pas suffisamment éclairé, le consentement recueilli n’est pas «spécifique» et «univoque».
