50 millions d’euros : la sanction de la CNIL contre Google est confirmée
Les 25 et 28 mai 2018, les associations None Of Your Business et La Quadrature Du Net ont déposé des plaintes collectives devant la CNIL contre la multinationale
3 manquements ont été identifié par la CNIL :
- Manque de transparence
- Information insuffisante des utilisateurs sur les traitements effectués et les données traitées
- Absence de consentement éclairé pour la personnalisation de la publicité entraînant un défaut de base légale
Pour la CNIL ces manquements portent sur des principes essentiels du RGPD
Le 21 janvier 2019, la formation restreinte de la CNIL condamne Google à une sanction de 50 millions d’euros
Cette sanction est contestée par l’entreprise américaine dans le cadre d’un recours devant le Conseil d’Etat
La riposte de Google
Compétence territoriale de la CNIL
Pour Google, l’autorité compétente en matière de traitement transfrontalier de données personnelles, dite « chef de file », est celle du lieu de l’établissement principal du responsable de traitement sur le territoire de l’Union
Considérant que le siège social de ses opérations est à Dublin, c’est l’autorité irlandaise (la Data Protection Commission) qui aurait dû se charger de l’affaire
Sollicité par la CNIL, le Comité européen de protection des données (CEPD) a souligné l’impossibilité de désigner une administration centrale de Google dans l’Union, ce qui ne permet pas de désigner une autorité chef de file
Le Conseil d’Etat va dans ce sens : les moyens et finalités des traitements de données étant déterminés hors de l’UE, l’établissement irlandais n’a pas de pouvoir décisionnel vis-à-vis des autres filiales européennes
La procédure menée par la CNIL est donc tout à fait régulière
Méconnaissance des droits de la défense
Google reprochait également à la CNIL de ne pas avoir bénéficié d’un délai suffisant pour préparer sa défense au cours des deux mois et demi de procédure
En effet, aucune extension de délai ne lui a été accordé en raison de sa domiciliation en dehors de la France métropolitaine
Les délais accordés dans ce contexte sont très brefs, permettant à la CNIL de sanctionner rapidement les manquements
Ce qui implique que les acteurs organisent leur défense très rapidement
Le Conseil d’État a cependant jugé la société « à même de préparer et de présenter utilement sa défense », rejetant ainsi les prétentions de Google
Le Conseil d’État confirme les manquements et la sanction
- Défaut de transparence et d’accessibilité des mentions d’information (article 13 du RGPD)
- Consentement de qualité insuffisante entraînant un défaut de base légale des traitements de contextualisation de la publicité (article 6 du RGPD)
Le Conseil d’État a notamment insisté sur : « la gravité particulière des manquements commis », leur « caractère continu » et « la durée de la période durant laquelle ils ont perduré »
Le Conseil d’État considère que l’appréciation de la CNIL est juste et que le montant de l’amende est proportionné
Pour ces raisons, la sanction pécuniaire est considérée comme justifiée
Cette amende records montre l’étendue des moyens de sanction qu’offre le RGPD