La Cnil prononce contre Google la sanction la plus lourde à sa portée, une amende de 150000 €, en raison de son refus à conformer sa politique de confidentialité des données sur Internet au droit français. Et exige que Google publie sous 8 jours et pendant 48 h un communiqué relatif à cette décision sur la page d’accueil de Google.fr.
C'est par un communiqué sur son site que la Commission Nationale de l'Informatique et des Libertés a finalement publié la sanction d'une affaire qui dure depuis des mois. La CNIL inflige à Google une sanction de 150 000 €, estimant que les règles de confidentialité mises en œuvre par celle-ci depuis le 1er mars 2012 ne sont pas conformes à la loi «informatique et libertés».
Le 1er mars 2012, Google a décidé de fusionner en une seule politique les différentes règles de confidentialité applicables à une soixantaine de ses services, dont Google Search, YouTube, Gmail, Picasa, Google Drive, Google Docs, Google Maps, etc. "Du fait du nombre des services en cause, quasiment tous les internautes français sont concernés par cette décision", souligne la CNIL. L a commission française n'est d'ailleurs pas seule dans son combat, 5 autres autorités européennes ont engagé à l'encontre de Google des procédures répressives, chacune en ce qui la concerne.
Dans sa décision, la formation restreinte considère que "Les données relatives aux utilisateurs des services de Google en France et traitées par cette société, sont bien des données à caractère personnel. Elle retient également que, contrairement à ce que soutient la société Google Inc., la loi française s'applique aux traitements, par celle-ci, des données personnelles des internautes résidant en France".
Sur le fond, la CNIL ne conteste pas la légitimité de l'objectif de simplification poursuivi par la société en fusionnant ses politiques de confidentialité. Elle considère cependant que les conditions de mise en œuvre de cette politique unique sont contraires aux exigences de la loi et les détaille :
- La société n'informe pas suffisamment ses utilisateurs des conditions et finalités de traitement de leurs données personnelles. De ce fait, ils ne peuvent comprendre, ni les finalités de la collecte, celles-ci n'étant pas déterminées comme l'exige la loi, ni l'ampleur des données collectées à travers les différents services. Par conséquent, ils ne sont pas mis en mesure d'exercer leurs droits, notamment d'accès, d'opposition ou d'effacement.
- La société ne respecte pas les obligations qui lui incombent d'obtenir le consentement des utilisateurs préalablement au dépôt de cookies sur leurs terminaux.
- Elle ne fixe pas de durées de conservation pour l'ensemble des données qu'elle traite.
- Elle s'autorise enfin, sans base légale, à procéder à la combinaison de l'intégralité des données qu'elle collecte sur les utilisateurs à travers l'ensemble de ses services.
La CNIL souligne que "Ces conclusions sont similaires à celles précédemment retenues par les autorités néerlandaise et espagnole de protection des données en novembre et décembre 2013, au regard de leur droit national respectif".
Ci dessous le PDF de la délibération de la formation restreinte n°2013-420 prononçant une sanction pécuniaire à l'encontre de la société Google Inc.
Le 1er mars 2012, Google a décidé de fusionner en une seule politique les différentes règles de confidentialité applicables à une soixantaine de ses services, dont Google Search, YouTube, Gmail, Picasa, Google Drive, Google Docs, Google Maps, etc. "Du fait du nombre des services en cause, quasiment tous les internautes français sont concernés par cette décision", souligne la CNIL. L a commission française n'est d'ailleurs pas seule dans son combat, 5 autres autorités européennes ont engagé à l'encontre de Google des procédures répressives, chacune en ce qui la concerne.
Dans sa décision, la formation restreinte considère que "Les données relatives aux utilisateurs des services de Google en France et traitées par cette société, sont bien des données à caractère personnel. Elle retient également que, contrairement à ce que soutient la société Google Inc., la loi française s'applique aux traitements, par celle-ci, des données personnelles des internautes résidant en France".
Sur le fond, la CNIL ne conteste pas la légitimité de l'objectif de simplification poursuivi par la société en fusionnant ses politiques de confidentialité. Elle considère cependant que les conditions de mise en œuvre de cette politique unique sont contraires aux exigences de la loi et les détaille :
- La société n'informe pas suffisamment ses utilisateurs des conditions et finalités de traitement de leurs données personnelles. De ce fait, ils ne peuvent comprendre, ni les finalités de la collecte, celles-ci n'étant pas déterminées comme l'exige la loi, ni l'ampleur des données collectées à travers les différents services. Par conséquent, ils ne sont pas mis en mesure d'exercer leurs droits, notamment d'accès, d'opposition ou d'effacement.
- La société ne respecte pas les obligations qui lui incombent d'obtenir le consentement des utilisateurs préalablement au dépôt de cookies sur leurs terminaux.
- Elle ne fixe pas de durées de conservation pour l'ensemble des données qu'elle traite.
- Elle s'autorise enfin, sans base légale, à procéder à la combinaison de l'intégralité des données qu'elle collecte sur les utilisateurs à travers l'ensemble de ses services.
La CNIL souligne que "Ces conclusions sont similaires à celles précédemment retenues par les autorités néerlandaise et espagnole de protection des données en novembre et décembre 2013, au regard de leur droit national respectif".
Ci dessous le PDF de la délibération de la formation restreinte n°2013-420 prononçant une sanction pécuniaire à l'encontre de la société Google Inc.
