Le 28 mai dernier, La Quadrature du Net déposait devant la CNIL, au nom de 12 000 personnes, cinq plaintes contre Google, Apple, Facebook, Amazon et Microsoft. Depuis, la CNIL a décidé de traiter elle-même la plainte contre Google, alors que les autres sont parties devant les autorités irlandaise et luxembourgeoise (lire notre explication). À cela s’ajoutait une autre plainte déposée elle aussi devant la CNIL par nos amis de l’association autrichienne NOYB contre Android.
Aujourd’hui, la CNIL vient de sanctionner Google à hauteur de 50 millions d’euros, considérant que le ciblage publicitaire qu’il réalise sur son système d’exploitation Android n’est pas conforme au règlement général pour la protection des données (RGPD), la nouvelle loi européenne entrée en application le 25 mai 2018. Cependant, cette sanction n’est qu’une toute première partie de la réponse à notre plainte contre Google, qui dénonçait surtout le ciblage publicitaire imposé sur Youtube, Gmail et Google Search en violation de notre consentement.
Ainsi, la CNIL explique notamment le montant de sa sanction, très faible en comparaison du chiffre d’affaire annuel de près de 110 milliards de dollars de Google, du fait que le périmètre de son contrôle s’est limité aux « traitements couverts par la politique de confidentialité présentée à l’utilisateur lors de la création de son compte à l’occasion de la configuration de son téléphone mobile sous Android » (par. 78). Nous attendons donc de la CNIL qu’elle réponde rapidement au reste de notre plainte, au sujet de Youtube, Gmail et Google Search, en imposant cette fois-ci une sanction d’un montant proportionné à cette entreprise ainsi qu’à l’ampleur et à la durée de la violation de nos droits (le montant maximal possible, que nous espérons, est de plus de 4 milliards d’euros, 4% du chiffre d’affaire mondial).
Par ailleurs, sur le fond, la CNIL a aujourd’hui sanctionné Android sur des arguments dont l’enjeu est assez faible : elle considère, à juste titre, que les informations que nous donne Google au moment de créer un compte ne sont pas clairement accessibles et que notre consentement n’est pas recueilli de façon explicite (par un acte positif de notre part) mais notamment au moyen de cases pré-cochées, ce que le RGPD interdit explicitement.
Certes, ce dernier argument était bien un de ceux que nous avions soulevés dans nos plaintes, mais nos plaintes visaient avant tout à trancher un autre débat, bien plus fondamental : que la CNIL reconnaisse que notre consentement n’est valide que s’il est librement donné. Que la CNIL explique clairement que Google ne peut pas nous obliger à accepter son ciblage publicitaire afin de pouvoir utiliser ses services.
Contrairement aux décisions rendues récemment par la CNIL au sujet d’entreprises françaises, la CNIL est aujourd’hui parfaitement muette à ce sujet, et nous le déplorons. Nous attendons donc d’elle qu’elle aborde frontalement ce sujet dans les décisions qu’elle doit rendre prochainement au sujet de Youtube, Gmail et Google Search.
Au passage, toutefois, notons que Google, au cours de la procédure, a prétendu qu’il exigeait systématiquement notre consentement pour nous cibler à des fins publicitaires, et ne se reposait pas sur une autre base légale (tel que « l’intérêt légitime » – voir notre plainte, p.10). Ces prétentions sont intéressantes, premièrement parce qu’elles contredisent le contenu même de la politique de confidentialité de Google (qui prétend pouvoir nous cibler sans notre consentement), mais aussi parce qu’elles laissent envisager un repli stratégique de la part de Google qui, dos au mur, pourrait enfin cesser de feindre d’ignorer entièrement le droit européen.
Un risque majeur demeure toutefois : pour échapper à des sanctions, Google a récemment modifié ses conditions d’utilisation. Celles-ci prétendent, à partir du 22 janvier, établir l’entreprise comme étant située en Irlande dans l’espoir d’empêcher la CNIL française de rendre des décisions telle que celle d’aujourd’hui (l’autorité irlandaise étant en sous-effectif et débordée de plaintes, Google peut espérer y faire traîner sa procédure pendant des années). Nous attendons de la CNIL qu’elle ignore cette pirouette éhontée et décide de rester compétente pour prononcer les autres sanctions contre Youtube, Gmail et Google Search, notre plainte ayant été déposée bien avant ce changement unilatéral des conditions d’utilisation imposées par l’entreprise.
En conclusion, même si nous nous réjouissons d’une première sanction sur le fondement de nos plaintes collectives, notamment car la décision d’aujourd’hui vient couper court à la tentative de fuite en Irlande de Google, nous attendons surtout de la CNIL qu’elle prononce très prochainement la suite des décisions auxquelles notre plainte appelle. Ces décisions devront aborder frontalement la question du « consentement libre » et prévoir une sanction d’un montant proportionné à la situation, bien au delà de 50 millions d’euros.
Surtout, un grand merci au 12 000 personnes avec qui nous avons engagé ces plaintes contre les GAFAM et leur monde <3