Par une délibération en date du 21 janvier 2019, la commission restreinte de la CNIL (commission nationale de l’informatique et des libertés) a prononcé une sanction de 50 millions d’euros à l’encontre de la société Google LLC en application du RGPD.
La CNIL a reçu des plaintes collectives de l’association None Of Your Business (NOYB) et de l’association La Quadrature du Net (LQDN) les 25 et 28 mai 2018 qui reprochaient à Google de ne pas disposer d’une base juridique valable pour traiter les données personnelles des utilisateurs de ses services notamment à des fins de personnalisation de la publicité.
La CNIL a analysé le parcours d’un utilisateur et les documents auxquels il peut avoir accès en créant un compte Google lors de la configuration de son équipement mobile sous Android et en a conclu que Google devait être sanctionné pour manquement aux obligations de transparence, d’information et absence de consentement valable pour la personnalisation de publicité.
- Sur le manquement aux obligations de transparence et d’information
Application du critère d’accessibilité de l’utilisateur aux données
Sur la base de ses investigations, la CNIL constate que l’ergonomie choisie par le responsable de traitement ne permet pas de satisfaire au critère d’accessibilité de l’utilisateur aux données.
A ce titre, la CNIL relève que ces informations sont excessivement disséminées dans plusieurs documents comportant des boutons et des liens qu’il est nécessaire d’activer pour prendre connaissance d’informations complémentaires de sorte que l’information pertinente n’est accessible qu’après de multiples étapes.
L’exigence du caractère clair et compréhensible des informations délivrées
La CNIL précise que le caractère clair et compréhensible des informations délivrées doit s’apprécier “en tenant compte de la nature de chaque traitement en cause et son impact concret sur les personnes concernées.”
Partant, la CNIL considère que les traitements de données mis en œuvre par le responsable de traitement sont particulièrement massifs et intrusifs et les utilisateurs ne sont pas en mesure de comprendre l’ampleur des traitements ni même leurs conséquences. De surcroît, la formation restreinte relève que les finalités sont décrites de façon trop vague et générique tout comme les données traitées.
- Sur l’absence de consentement valable
L’exigence du caractère éclairé du consentement
La CNIL considère que le consentement des utilisateurs pour les traitements de personnalisation de la publicité n’est pas éclairé dans la mesure où les informations sont excessivement disséminées dans des documents distincts ce qui ne leur permet pas de prendre conscience de l’ampleur du traitement.
L’exigence du caractère spécifique et univoque du consentement
La CNIL affirme d’une part, que le consentement recueilli n’est pas univoque car l’utilisateur doit faire la démarche de cliquer sur “plus d’options” pour modifier les paramètres de son compte et l’affichage des annonces personnalisées est pré-coché par défaut or le caractère univoque du consentement suppose un acte positif et d’autre part, la CNIL considère que le consentement n’est pas spécifique puisque afin de créer son compte l’utilisateur doit consentir en bloc aux finalités poursuivies par la CNIL. Or, le consentement n’est spécifique que s’il est donné de manière distincte pour chaque finalité.
Partant, la CNIL a sanctionné Google au paiement d’une amende de 50 millions d’euros rendue publique pour manquement aux principes essentiels du RGPD que sont la transparence, l’information et le consentement.
- En pratique
Il est conseillé aux responsables de traitement de :
- Fournir une information claire et non disséminée ;
- Obtenir un consentement des utilisateurs pour chaque traitement effectué sous forme d’un acte positif.
