50 millions d’euros d’amende pour Google !

Les 25 et 28 mai 2018, les associations None Of Your Business et La Quadrature Du Net ont déposé des plaintes collectives devant la CNIL contre la multinationale.

3 manquements ont été identifié par la CNIL :

• manque de transparence. ;
• information insuffisante des utilisateurs sur les traitements effectués et les données traitées ;
• et absence de consentement éclairé pour la personnalisation de la publicité entraînant un défaut de base légale.

Pour la CNIL ces manquements portent sur des principes essentiels du RGPD.

Le 21 janvier 2019, la formation restreinte de la CNIL condamne Google à une sanction de 50 millions d’euros.

Cette sanction est contestée par l’entreprise américaine dans le cadre d’un recours devant le Conseil d’Etat.

La riposte de Google

Compétence territoriale de la CNIL

Pour Google, l’autorité compétente en matière de traitement transfrontalier de données personnelles, dite « chef de file », est celle du lieu de l’établissement principal du responsable de traitement sur le territoire de l’Union.

Considérant que le siège social de ses opérations est à Dublin, c’est l’autorité irlandaise (la Data Protection Commission) qui aurait dû se charger de l’affaire.

Sollicité par la CNIL, le Comité européen de protection des données (CEPD) a souligné l’impossibilité de désigner une administration centrale de Google dans l’Union, ce qui ne permet pas de désigner une autorité chef de file.

Le Conseil d’Etat va dans ce sens : les moyens et finalités des traitements de données étant déterminés hors de l’UE, l’établissement irlandais n’a pas de pouvoir décisionnel vis-à-vis des autres filiales européennes.

La procédure menée par la CNIL est donc tout à fait régulière.

Méconnaissance des droits de la défense

Google reprochait également à la CNIL de ne pas avoir bénéficié d’un délai suffisant pour préparer sa défense au cours des deux mois et demi de procédure.

En effet, aucune extension de délai ne lui a été accordé en raison de sa domiciliation en dehors de la France métropolitaine.

Les délais accordés dans ce contexte sont très brefs, permettant à la CNIL de sanctionner rapidement les manquements.

Ce qui implique que les acteurs organisent leur défense très rapidement.

Le Conseil d’État a cependant jugé la société « à même de préparer et de présenter utilement sa défense », rejetant ainsi les prétentions de Google.

Le Conseil d’État confirme les manquements et la sanction

• Défaut de transparence et d’accessibilité des mentions d’information (article 13 du RGPD).
• Consentement de qualité insuffisante entraînant un défaut de base légale des traitements de contextualisation de la publicité (article 6 du RGPD).

Le Conseil d’État a notamment insisté sur : « la gravité particulière des manquements commis », leur « caractère continu » et « la durée de la période durant laquelle ils ont perduré ».

Le Conseil d’État considère que l’appréciation de la CNIL est juste et que le montant de l’amende est proportionné.

Pour ces raisons, la sanction pécuniaire est considérée comme justifiée.

Cette amende records montre l’étendue des moyens de sanction qu’offre le RGPD.