Le Conseil d’État confirme, par une décision du 19 juin 2020, la sanction de 50 millions d’euros infligée à la société Google par une décision de la CNIL du 21 janvier 2019. La hautre juridiction confirme que:
- la CNIL et non l’autorité irlandaise était compétente ;
- la société n’a pas fourni une information suffisamment claire et transparente aux utilisateurs d’Android (le système d’exploitation de Google) ;
- la société ne les a pas mis à même de donner un consentement libre et éclairé au traitement de leurs données personnelles aux fins de personnalisation des annonces publicitaires ; et
- la sanction de 50 millions d’euros n’est pas disproportionnée.
La CNIL est compétente pour sanctionner Google sur les traitements des données des utilisateurs français d’Android
Google estimait que l’autorité de protection des données irlandaise était seule compétente pour contrôler ses activités dans l’Union européenne, selon un principe de « guichet unique » institué par le RGPD.
Le Conseil d’État considère toutefois que la société Google LLC implantée aux Etats-Unis détenait seule le pouvoir décisionnel à la date de la sanction et que la filiale irlandaise ne disposait pas d’un tel pouvoir décisionnel ni d’un pouvoir de contrôle sur les autres filiales européennes.
Ainsi, le système du guichet unique n’avait pas vocation à s’appliquer et la CNIL était compétente pour sanctionner les manquements de Google relatifs au traitement des données des utilisateurs français d’Android.
Google n’a pas répondu à ses obligations d’information et de transparence
Le Conseil d’État confirme l’appréciation de la CNIL sur l’information des utilisateurs d’Android concernant le traitement de leurs données.
Ainsi, il relève que l’information est lacunaire (ex : durée de conservations et finalités des traitements) et son organisation en arborescence ne répond pas aux exigences de clarté et d’accessibilité.
L’utilisateur n’est pas mis en mesure de donner un consentement libre et éclairé au traitement de ses données aux fins de personnalisation de la publicité
Le Conseil d’État confirme que l’information relative au ciblage publicitaire n’est pas présentée de manière suffisamment claire et distincte pour que le consentement global de premier niveau de l’utilisateur soit valablement recueilli.
En effet, il relève que lors de la création d’un compte Google pour utiliser le système Android :
- l’utilisateur doit accepter que ses informations soient traitées conformément à un paramétrage par défaut, incluant des fonctions de personnalisation de la publicité. Cette dernière information est, à ce stade, générale et diluée au milieu d’informations relatives à d’autres finalités ;
- le recueil du consentement est, à ce premier niveau, effectué de manière globale pour l’ensemble des finalités poursuivies par le traitement des données,
La haute juridiction considère également que l’information complémentaire sur le ciblage publicitaire pouvant être obtenue en cliquant sur un lien « plus d’options » n’est pas non plus suffisante et le consentement spécifique recueilli au moyen d’une case pré-cochée ne répond pas aux exigences du RGPD conformément à la jurisprudence de la CJUE (C-673/17 Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV contre Planet49 GmbH du 1er octobre 2019).
A ce sujet, dans une autre décision du même jour le Conseil d’Etat n’a pas censuré l’approche de la CNIL concernant le consentement au dépôt de cookies, ce dernier pouvant être recueilli pour l’ensemble des finalités dans la mesure où la personne concernée a également la possibilité d’accepter ou refuser chacune des finalités de traitement de manière distincte (voir ici).
La sanction de 50 millions d’euros n’est pas disproportionnée
Compte tenu de la gravité particulière des manquements commis, de leur caractère continu et de leur durée, des plafonds prévus par le RGPD ainsi que de la situation financière de la société Google LLC, le Conseil d’État juge que la sanction de 50 millions d’euros prononcée par la CNIL n’est pas disproportionnée.
Pour une lécture de la décision (voir ici)
Cette publication est également disponible en en_GB.
