Chronique Internet

Pichenette

d'Lëtzebuerger Land du 25.01.2019

Le gendarme français de la protection des données a infligé cette semaine une amende de cinquante millions d’euros à Google pour ses manquements dans la gestion des données personnelles en France. Cette amende, qui représente un record pour la Cnil (Commission nationale de l’informatique et des libertés), a été prononcée suite aux plaintes signées par quelque 10 000 internautes et déposées par les associations None of Your Business et La Quadrature du Net après l’entrée en vigueur en mai dernier du règlement européen pour la protection des données (RGPD). Ces associations ont mis en cause la façon dont Google obtient le consentement de ses utilisateurs pour la gestion de leurs données. En pratique, ont argumenté les associations auxquelles la Cnil a donné droit, ceux-ci sont ne sont « pas en mesure de comprendre l’ampleur des traitements mis en place par Google », décrits comme étant « massifs et intrusifs ».

En d’autres termes, la Cnil a rappelé au géant californien que demander aux utilisateurs qu’ils consentent à l’enregistrement et au traitement de leurs données est indispensable pour satisfaire aux dispositions du RGPD, mais est loin d’être suffisant. La Cnil a mis en cause en particulier l’imbrication des multiples services proposés par Google, de la recherche à YouTube en passant par Google Maps, Google Photos ou encore Play Store, la boutique d’applications Android gérée par

Google : en pratique, a fait valoir l’instance française, l’utilisateur est bien incapable de comprendre comment ses données vont circuler entre ces différentes plateformes et de quels moyens il dispose pour limiter cette circulation. La Cnil reproche spécifiquement à Google de pas avoir mis en place la possibilité de procéder à des consentements spécifiques pour chacune de ses plateformes, ou en tout cas de ne pas l’avoir fait de façon suffisamment claire pour qu’un utilisateur normalement constitué y parvienne.

Google a fait savoir qu’il étudiait la décision de la Cnil « afin de déterminer les prochaines étapes » – en clair, s’il va contester cette amende devant le Conseil d’État, ce qu’il peut faire endéans les quatre mois.

Si la somme de cinquante millions d’euros est un record pour la Cnil, dont le montant des amendes était encore limité il y a peu à trois millions d’euros, elle est loin de vraiment faire mal à Google, dont le chiffre d’affaires mondial (ou plus précisément celui d’Alphabet, sa maison mère) est de l’ordre de 110 milliards de dollars. Le gardien français des données personnelles est en effet désormais habilité à imposer des pénalités allant jusqu’à quatre pour cent du chiffre d’affaires mondial de la société pénalisée. Les géants du Net, que l’on se plaît à désigner par l’abréviation Gafa (Google, Amazon, Facebook, Apple, ou Gafam si on y ajoute Microsoft), ont eu plusieurs années pour se préparer à l’entrée en vigueur du RGPD, et il est logique d’assumer qu’en amont de son introduction l’an dernier, ils ont opéré des arbitrages sur les restrictions qu’ils allaient s’imposer pour s’y soumettre. Les données utilisateurs sont de fait au cœur de leurs modèles d’affaires, un pan non négligeable de leurs activités étant celui de courtiers en données personnelles.

Les agences nationales de protection des données des pays de l’UE ont-elles les moyens d’enquêter efficacement sur les pratiques des Gafa en la matière et de les contraindre à se plier aux exigences du RGPD ? Le sort de cette amende constituera un premier élément de réponse. Au sein de l’UE, la France est aussi en pointe pour les obliger à payer davantage d’impôts. Si, en matière de fiscalité, l’opinion est en général plutôt favorable à ce que les Gafa contribuent plus équitablement aux budgets nationaux, la voie est plus étroite sur la question des données, parce que les géants américains jouent avec habileté d’une certaine exaspération devant les contraintes qu’impose le RGPD aux entreprises européennes, parfois perçues comme des chicaneries. Il appartient donc aux citoyens de faire entendre leur voix et de signifier urbi et orbi qu’ils sont davantage que des vecteurs de données aspirables et emmagasinables à merci.

Jean Lasar
© 2019 d’Lëtzebuerger Land