Cas réel – Google sanctionné par la CNIL : 50 millions d'euros
BTS SIO SISR 1re année – CEJM et CEJMA – S13
Note
Comment travailler. Lis le cas réel et ses sources, réponds par écrit aux questions, puis ouvre « Voir la réponse attendue ». Les faits viennent des sources citées en fin de page ; en cas de doute, retourne à la source. Ce cas complète l'étude de cas fictive de la séance.
Le dossier
La décision. Le 21 janvier 2019, la formation restreinte de la CNIL prononce une amende de 50 millions d'euros contre Google LLC (délibération SAN-2019-001). C'est, selon la source, la première sanction de cette ampleur de la CNIL, et la première application des nouveaux plafonds d'amende du RGPD.
L'origine. Deux plaintes collectives déposées les 25 et 28 mai 2018, regroupant les réclamations de 9 974 personnes. Un contrôle en ligne a été mené le 21 septembre 2018, sur le système Android et la création d'un compte Google.
Les manquements retenus.
| Manquement | Article du RGPD | Ce que reproche la CNIL |
|---|---|---|
| Transparence et information | 12 et 13 | Informations difficiles à trouver (personnalisation de la publicité, géolocalisation, durées de conservation) et insuffisantes pour comprendre les conséquences concrètes |
| Base légale : consentement | 6 | Le consentement à la personnalisation de la publicité n'est pas suffisamment éclairé |
La CNIL note que ces manquements sont des violations continues et qu'elle a sanctionné sans mise en demeure préalable. Elle reconnaît aussi des progrès de Google sur l'information des utilisateurs.
Pourquoi ce cas est utile
Il applique des notions de la séance : transparence, bases légales, consentement libre, spécifique, éclairé et univoque. Il montre qu'une information présente mais dispersée ou trop vague peut suffire à rendre un consentement invalide.
Questions
1. Quels principes de l'article 5 du RGPD sont en jeu dans ce cas ?
Voir la réponse attendue
Surtout licéité, loyauté et transparence (information claire, base légale valable). Le consentement doit être éclairé : s'il ne l'est pas, la base légale n'est pas valable. On peut aussi relier le cas à la responsabilité (accountability) : l'organisation doit pouvoir démontrer que son information et son consentement sont conformes.
2. Pourquoi un consentement donné au prix de la création d'un compte peut-il être contesté ?
Voir la réponse attendue
Parce qu'un consentement doit être libre, spécifique, éclairé et univoque. Si l'accès au service dépend de l'acceptation globale d'une politique de confidentialité, la personne ne choisit pas séparément la personnalisation publicitaire : le consentement n'est pas spécifique, et son caractère éclairé est contesté. (La première plainte reprochait cette acceptation globale.)
3. Ton entreprise collecte des données via un formulaire d'inscription. Cite quatre éléments à vérifier pour éviter ce type de reproche.
Voir la réponse attendue
(1) Information claire et accessible au moment de la collecte (identité, finalités, base légale, durée, droits) ; (2) un consentement par finalité (case non précochée) quand le consentement est la base légale ; (3) possibilité de refuser sans perdre l'accès aux fonctions qui n'en dépendent pas ; (4) preuve du consentement conservée et retrait aussi simple que le don.
Sources
- Legisocial – RGPD : la CNIL prononce une sanction de 50 millions d'euros à l'encontre de Google : date, référence, plaintes, manquements.
- Suites : Lefebvre Dalloz – sanction confirmée par le Conseil d'État (titre relevé dans une recherche, article non lu).
Note
À valider : faits issus d'un article de presse juridique ; la délibération SAN-2019-001 est publiée sur le site de la CNIL (Légifrance). Le caractère « confirmé par le Conseil d'État » est à vérifier avant usage.