Pourquoi la société GOOGLE s’est-elle faite condamner à amende de 50 millions d’euros par la CNIL ?

Alors que le fameux Règlement Général sur le Protection des Données (RGPD) commençait (presque) à se faire oublier, celui-ci vient de se rappeler au bon souvenir des acteurs économiques.

En effet la CNIL, saisie sur le fondement de l’article 80 du RGPD par les associations NYOB (None Of Your Business) et LQDN (La Quadrature du Net), ainsi que par 9.974 plaignants, vient d’infliger, selon décision en date du 21 janvier 2019, une amende record à hauteur de 50 millions d’euros à la société GOOGLE LLC, en estimant :

• D’une part, que la société avait manqué aux obligations de transparence et d’information telles que prévues par les articles 12 et 13 du Règlement ;
• D’autre part, que consentement sur lequel se fonde la société pour les traitements de personnalisation de la publicité n’est pas valablement recueilli ;

A l’appui de cette décision – à l’encontre de laquelle la société Google a déclaré faire appel – la CNIL continue à dessiner les contours des obligations qui pèsent sur le responsable de traitement au titre du RGPD.

Ainsi, s’agissant du devoir de transparence et d’information qui pèse sur le responsable de traitement au regard des dispositions de l’article 12 et 13 du RGPD, la CNIL se livre à une analyse in concreto de l’architecture du site, et considère qu’il y a eu « défaut global d’accessibilité » aux informations après avoir rappelé que jusqu’à « 5 actions » étaient parfois nécessaires à l’utilisateur pour accéder auxdites information.

La CNIL rajoute qu’au regard des traitements qu’elle considère comme « particulièrement massifs et intrusifs », et qu’elle prend donc en considération dans son appréciation, les informations communiquées n’apparaissent pas suffisamment claires et compréhensibles pour l’utilisateur qui, selon elle, n’est pas à même de comprendre les conséquences particulières des traitements leur égard.

Au titre des modalités du recueil du consentement de l’utilisateur, la CNIL considère - là en se livrant à une analyse concrète du processus d’inscription – que le consentement de l’utilisateur n’est pas valablement recueilli « par le biais d’un acte positif par lequel la personne consent spécifiquement et distinctement au traitement de ses données à des fins de personnalisation de la publicité par rapport aux autres finalités de traitement »

Si cette décision a eu fort retentissement médiatique, celle-ci ne fait, en réalité, que s’inscrire dans le prolongement des décisions déjà rendues les 30 et 8 octobre 2018 (CNIL, déc. n° MED-2018-042, 30 oct. 2018 et CNIL, déc. n° MED-2018-043, 8 oct. 2018) aux termes desquelles la CNIL avait déjà rappelé la nécessité d'un recueil effectif et éclairé du consentement et souligné les critères nécessaires pour que ce dernier soit informé, spécifique et exprimé par une action positive de l'utilisateur.

• Délibération n°SAN-2019-001 du 21 janvier 2019