Contexte réglementaire et enquête
Le 21 septembre 2026, la Data Protection Commission (DPC) d’Irlande a rendu sa décision finale après une enquête initiée en février 2020. Cette enquête, déclenchée suite à des plaintes de plusieurs organisations européennes de défense des consommateurs, portait sur le traitement des données de localisation par Google Ireland Limited entre le 25 mai 2018 (entrée en vigueur du GDPR) et le 4 février 2020. La DPC, en tant qu’autorité de contrôle principale, a conclu que Google avait enfreint plusieurs articles du GDPR, notamment les principes de licéité, d’équité, de transparence et de limitation de conservation.
Fonctionnalités concernées et mécanismes de collecte
Trois services ont été ciblés : Web & App Activity, Location History et Location Accuracy. Web & App Activity agrège les historiques de navigation, de recherche et les coordonnées GPS lorsqu’un utilisateur est connecté à son compte Google. Location History, activable uniquement après consentement explicite, enregistre chaque point de localisation d’un appareil compatible et génère une « Timeline » affichée sur Google Maps. Enfin, Location Accuracy, intégré au système Android, combine GPS, Wi‑Fi, réseaux cellulaires et capteurs du téléphone pour affiner la précision de la position, même pour les utilisateurs ne possédant pas de compte Google.
Analyse des manquements au GDPR
Le DPC a relevé quatre violations principales : premièrement, l’absence de base légale claire pour le traitement de la localisation dans Web & App Activity et Location History, ce qui contrevient à l’exigence de licéité. Deuxièmement, Google n’a pas pu démontrer sa conformité aux obligations de responsabilité, notamment l’obligation de documenter les traitements et de prouver leur conformité. Troisièmement, les informations fournies aux utilisateurs sur la collecte et l’usage des données étaient jugées insuffisantes, violant le principe de transparence. Enfin, la rétention des données au‑delà de la durée nécessaire, notamment dans Web & App Activity et Location History, a été jugée disproportionnée, contrevenant à la limitation de conservation.
Ces constats reposent sur des éléments factuels : la période d’observation (mai 2018‑février 2020), les trois services ciblés, et le montant total de l’amende de 403 millions d’euros, qui représente la sanction administrative la plus élevée infligée par la DPC à ce jour.
Conséquences et exigences de mise en conformité
Google doit désormais aligner ses pratiques sur le GDPR dans un délai de six mois. Concrètement, cela implique : la mise en place d’une base légale explicite pour chaque traitement de localisation, la révision des politiques de confidentialité afin d’inclure des informations détaillées sur les finalités, les catégories de données et les durées de conservation, ainsi que la mise en œuvre de mécanismes de suppression automatique des données dépassant les délais légitimes. Le non‑respect de ces obligations exposera l’entreprise à des sanctions supplémentaires et à un risque accru de recours collectifs de la part des utilisateurs européens.
