Contexte et faits
Le 21 septembre 2026, la Commission de protection des données irlandaise (DPC) a infligé à Google une amende de 403 millions d’euros, la quatrième plus élevée jamais prononcée par cet organisme. La sanction porte sur trois fonctionnalités – Web & App Activity, Location History et Location Accuracy – qui ont traité des données de localisation entre mai 2018 et février 2020 sans respecter les exigences de licéité, de transparence et de limitation de conservation du RGPD. La DPC a également ordonné à Google de se conformer aux exigences légales dans un délai de six mois, décision qui restera confidentielle tant que le tribunal irlandais ne l’aura pas validée.
Mécanismes de collecte et de conservation
Web & App Activity est un paramètre de compte qui, lorsqu’il est activé, agrège les interactions de l’utilisateur sur les services Google, incluant les coordonnées GPS ou les points d’accès Wi‑Fi. Location History, fonction opt‑in, consigne chaque déplacement d’un appareil mobile connecté, même en l’absence d’interaction avec un service Google. Enfin, Location Accuracy, intégré à Android, combine GPS, réseaux cellulaires, points d’accès Wi‑Fi et capteurs inertiels pour affiner la position au-delà du GPS seul, et fonctionne indépendamment de l’existence d’un compte Google. Dans les trois cas, la DPC a constaté que les données étaient conservées au‑delà des durées nécessaires, sans mécanisme de suppression automatique clairement communiqué aux utilisateurs.
Analyse de la conformité GDPR
Le RGPD impose que le traitement des données personnelles repose sur une base légale (consentement explicite ou intérêt légitime), soit transparent et limité dans le temps. La DPC a relevé que Google n’a pas pu démontrer que le traitement de la localisation était licite ni que les utilisateurs étaient informés de manière adéquate, violant ainsi les articles 5, 6 et 7 du règlement. De plus, l’absence de paramètres de suppression automatique avant mai 2019 contrevenait au principe de limitation de la conservation. Les contrôles d’auto‑effacement introduits en 2019 (3 ou 18 mois) et les réglages par défaut modifiés en 2020 et 2023 n’ont pas été pris en compte dans l’évaluation, car ils sont survenus après la période d’examen.
Implications et réponses de Google
Google a indiqué que les pratiques concernées relevaient de politiques historiques désormais révisées et que les nouvelles options d’auto‑effacement avaient été déployées. Toutefois, la DPC n’a pas encore confirmé si ces mesures suffisent à lever l’infraction. L’entreprise dispose de 28 jours pour interjeter appel auprès de la Haute Cour irlandaise, ce qui pourrait retarder le paiement de l’amende. Sur le plan technique, Google devra implémenter des journaux d’audit détaillés, renforcer les interfaces de consentement et garantir que les durées de rétention soient automatiquement appliquées dès la collecte, afin d’éviter de futures sanctions similaires.
