Google pourrait payer très cher son manque de coopération sur la vie privée

Malgré les mises en garde répétées des CNIL européennes, Google n'a pas fait évoluer la dernière version de ses nouvelles règles de confidentialité. La firme de Mountain View n'est en effet guère effrayée par les capacités de rétorsion des organismes de régulation. Cependant, les CNIL du Vieux Continent envisagent une autre stratégie qui pourrait coûter énormément d'argent à Google…et le contraindre à plus de coopération.

Dans quelques jours, l'ultimatum de la commission nationale de l'informatique et des libertés (CNIL) expirera. L'autorité administrative indépendante a laissé trois mois à Google pour se mettre en conformité avec la législation française sur la protection des données personnelles. Or, sauf coup de théâtre, il est aujourd'hui très peu probable que l'entreprise américaine opère un volte-face sur ce sujet.

La CNIL doit donc passer en revue ses options de riposte. Et frapper au portefeuille est une solution de choix. Selon l'article 47 de la loi relative à l'informatique, aux fichiers et aux libertés, "le montant de la sanction pécuniaire […] est proportionné à la gravité des manquements commis et aux avantages tirés de ce manquement. Lors du premier manquement, il ne peut excéder 150 000 euros".

150 000 euros, cela ne représente évidemment pas grand chose lorsque l'on s'appelle Google. Mais tout dépend de la mise en application de l'article 47. Or, la CNIL envisage une autre approche : il ne s'agirait plus de sanctionner globalement la faute de Google, mais de produire une amende par infraction constatée… c'est-à-dire par utilisateur. Le montant de la sanction finale serait alors beaucoup, beaucoup plus élevé.

"Même si l’on ne retient au final que quelques milliers d’euros par infraction et que l’on ne comptabilise qu’une partie des utilisateurs, ce serait là un vrai moyen de pression face à Google", selon une source consultée par Les Échos. Et puisque ceux qui utilisent Google en France sont environ 40 millions, selon Nielsen NetRatings, l'amende pourrait être très sévère.

Bien sûr, les condamnations de la CNIL sont susceptibles de recours devant la juridiction administrative, donc la procédure peut encore prendre des années. Mais la démarche de la CNIL est tout à fait intéressante. En outre, elle n'est pas seule dans ce combat : cinq autres organismes européens (Allemagne, Espagne, Pays-Bas, Italie et Royaume-Uni) sont engagés dans une action répressive du même acabit.

Si la décision d'engager une action répressive est discutée entre les six autorités administratives, chacune d'entre elles garde la maîtrise de son agenda et de la nature de l'action à entreprendre, selon ses propres procédures définies par son droit national. Mais elles-ci sont toutefois amenées à coopérer, afin de donner le maximum de poids à leur intervention.

Au cours de l'année 2012, les autorités européennes en charge de la protection des données personnes avaient mené une analyse des nouvelles règles de confidentialité de Google, rédigées sous la direction d'Alma Whitten, l'ancien directrice des politiques de vie privée de Google. En conclusion, les organismes ont estimé que Google ne respecte pas le droit européen en la matière.

Fruit d'une fusion de quelques 70 politiques de vie privée éparses, le nouveau règlement imposé en 2012 par Google a donné lieu à une série de griefs par la CNIL :

manque d'information des utilisateurs sur les traitements réalisés à partir de leurs données personnelles ;
traçage d'internautes non inscrits sur les services de Google grâce aux scripts tels que les boutons Google+ ou les publicités AdSense ;
croisement disproportionné de données personnelles entre tous les services de Google ;
difficulté pratique de mise en œuvre du droit d'opposition ;
absence d'engagement sur la durée de conservation des données…

La suite des évènements dépendra de l'attitude de Google avant la fin de l'ultimatum. S'il ne bouge pas jusqu'à l'échéance, le G29 – organe rassemblant les CNIL de l'Union européen – se réunira la semaine suivante pour définir la prochaine étape. Deux choix s'offriront aux régulateurs : fixer un nouveau délai à Google, qui s'ajouterait alors aux autres déjà accordés, ou exécuter la sentence.