Dans la foulée de l'entrée en vigueur le 25 mai 2018 du Règlement général sur la protection des données, l'association NOYB (none of your business) et La Quadrature du Net avaient saisi la Commission nationale de l'informatique et des libertés via des plaintes collectives.

Aujourd'hui, la Cnil annonce qu'elle inflige une amende de 50 millions d'euros (un record) à Google pour " manque de transparence, information insatisfaisante et absence de consentement valable pour la personnalisation de la publicité. "

Dans sa plainte, l'association NOYB a notamment indiqué que " les utilisateurs de terminaux Android sont tenus d'accepter la politique de confidentialité et les conditions générales d'utilisation des services de Google et qu'à défaut d'une telle acceptation, ils ne pourraient utiliser leur terminal. "

Pour la Quadrature du Net, elle a estimé " qu'indépendamment du terminal utilisé, Google ne dispose pas de bases juridiques valables pour mettre en œuvre les traitements de données à caractère personnel à des fins d'analyse comportementale et de ciblage publicitaire. "

Dans le cadre de son enquête, la Cnil a analysé le parcours d'un utilisateur et les documents auxquels il peut avoir accès en créant un compte Google lors de la configuration de son appareil mobile sur Android.

Elle a retenu que les informations fournies par Google ne sont pas aisément accessibles pour les utilisateurs avec parfois jusqu'à cinq ou six actions nécessaires, et ne sont par ailleurs pas toujours claires et compréhensibles.

" Des informations essentielles, telles que les finalités pour lesquelles les données sont traitées, la durée de conservation des données ou les catégories de données utilisées pour la personnalisation de la publicité, sont excessivement disséminées dans plusieurs documents, qui comportent des boutons et liens qu'il est nécessaire d'activer pour prendre connaissance d'informations complémentaires ", écrit la Cnil.

Elle a également retenu que pour le traitement des données à des fins de personnalisation de la publicité, le consentement des utilisateurs n'est pas suffisamment éclairé. " Par exemple, dans la rubrique dédiée à la personnalisation des annonces, il n'est pas possible de prendre connaissance de la pluralité des services, sites, applications impliqués dans ces traitements (Google Search, YouTube, Google Home, Google Maps, Play Store, Google Photos…) et donc du volume de données traitées et combinées. "

La Cnil ajoute que le consentement recueilli n'est pas spécifique et univoque. " L'affichage d'annonces personnalisées est pré-coché par défaut. […] Avant de créer son compte, l'utilisateur est invité à cocher les cases ' J'accepte les conditions d'utilisation de Google ' et ' J'accepte que mes informations soient utilisées telles que décrit ci-dessus et détaillées dans les règles de confidentialité ' pour pouvoir créer son compte. "

Avec cette amende contre Google, la Cnil vient d'ouvrir le bal des sanctions pour non-respect du RGPD par de grands acteurs du numérique, sachant que NOYB et La Quadrature du Net avaient aussi des plaintes collectives à l'encontre de Facebook, Apple (iOS), Amazon et Microsoft (LinkedIn).

Si Google veut faire appel de la décision, il lui faudra saisir le Conseil d'État.