La Cnil met Google à l’amende en attendant la « taxe GAFA »

Manque de transparence, information insatisfaisante et absence de consentement valable pour la personnalisation de la publicité : trois motifs qui valent à Google une amende de 50 millions d’euros.

La Cnil a infligé cette sanction au groupe américain après un peu plus de six mois d’une procédure faisant suite à des plaintes de deux associations : None of Your Business et La Quadrature du Net.

Le montant de l’amende prend en compte le fait que les manquements dénoncés « perdurent à ce jour ». Ils concernent les traitements de données mis en œuvre dans le cadre du système d’exploitation Android* et des services associés.

Au-delà du jugement sur le fond, la commission a dû justifier de sa compétence à prendre des décisions dans cette affaire. Le RGPD institue en effet un mécanisme de « guichet unique » par lequel un organisme établi dans l’UE doit avoir pour seule interlocutrice l’autorité du pays où est situé son « établissement principal ».

Dans le cas de Google, le siège européen se trouve en Irlande. La Cnil a néanmoins déterminé, en concertation avec ses homologues, qu’il ne s’agissait pas, au démarrage de l’instruction des plaintes, d’un « établissement principal ». Il ne disposait pas, en l’occurrence, de pouvoir de décision sur les traitements dénoncés.

Sur la question du manquement aux obligations de transparence et d’information, la commission estime que des informations essentielles sont trop difficiles d’accès. On parle là des finalités pour lesquelles les données sont traitées ou encore de leur durée de conservation. Le tout « excessivement [disséminé] dans plusieurs documents qui comportent des boutons et liens qu’il est nécessaire d’activer pour prendre connaissance d’informations complémentaires ».

Les informations délivrées ne sont pas ailleurs pas toujours, estime la Cnil, claires et compréhensibles. Les finalités sont décrites « de façon trop générique et vague, tout comme les données traitées pour ces différentes finalités ».

L’amende avant la taxe ?

Concernant le consentement dont Google se prévaut comme base légale pour les traitements de données destinés à personnaliser la publicité, il n’est, selon la Cnil, ni « spécifique », ni « univoque », ni suffisamment éclairé.

Pas spécifique, car pour pouvoir créer son compte, l’utilisateur doit consentir en bloc à toutes les finalités poursuivies par Google.

Pas univoque, parce que la case validant la personnalisation publicitaire est cochée par défaut et qu’il faut, pour y accéder, faire la démarche de cliquer sur un bouton « plus d’options » avant de créer un compte.

Pas suffisamment éclairé, du fait que l’information sur les traitements est « diluée dans plusieurs documents ».

Cette décision intervient en parallèle de la réflexion que le gouvernement mène sur une « taxe GAFA ». À défaut d’un accord au niveau européen, la France entend prendre les devants.

On pressentait que la taxe en question prendrait la forme d’un amendement au projet de loi Pacte, en cours d’examen par le Sénat. À en croire Bruno Le Maire, elle fera finalement l’objet d’un projet de loi spécifique, attendu en Conseil des ministres fin janvier.

Les « grandes entreprises du web » seraient imposées sur trois activités : la publicité, les places de marché en ligne et la revente de données personnelles. Elle auraient à payer au maximum 5 % de leur C.A. réalisé dans l’Hexagone… si celui-ci dépasse 25 millions d’euros par an (et 750 millions à l’échelle mondiale). La taxe serait rétroactive au 1^er janvier 2019.

* En 2016, Android comptait 27 millions d’utilisateurs en France, d’après la Cnil.