ACTUALITES

La Cnil inflige 100 000 euros d'amende à Google

La Cnil inflige 100 000 euros d'amende à Google

Mercredi 23 mars 2011

Si initialement les réserves de la Cnil à l'égard du service Street View portaient essentiellement sur le floutage des visages et des plaques d'immatriculation, de nouveaux griefs ont par la suite été soulevés. Après de multiples échanges, mises en demeure et contrôles entre 2009 et 2010, la Cnil a décidé au terme de ses délibérations de sanctionner Google d'une amende de 100.000 euros - assortie de la publication sur Internet de cette décision. Dans une synthèse de ses délibérations, la Cnil reproche à Google divers manquements et le défaut de la firme à répondre à ses demandes dans les délais impartis. Tout d'abord, le service Google Latitude n'a pas fait l'objet d'une déclaration préalable avant sa mise en oeuvre, « malgré deux demandes en ce sens. » Un manquement auquel Google répond en expliquant que les traitements de données ne sont pas effectués en France, écartant dès lors une obligation de déclaration auprès de l'autorité française. Une réponse jugée non satisfaisante par la Cnil. Celle-ci estime en effet que la base de données utilisée par les services de géolocalisation de Google a été principalement constituée « par des moyens de traitement situés en France » (GPS, signaux radio, Google cars circulant en France).

Il est également reproché à Google, dans le cadre du service Street View, la collecte de données de connexion (SSID et adresses Mac des routeurs). Or, cette collecte n'avait pas été déclarée initialement par Google. Google Latitude collecte les données désormais ignorées par les "Google cars". Même si ces informations ne sont désormais plus enregistrées par la firme, celles déjà collectées ont été conservées et intégrées à une base de données. Ces informations ont permis « à la société de développer une base de données de géolocalisation extrêmement performante, et d'acquérir ainsi une position dominante dans le secteur des services de géolocalisation » juge la Cnil.

Pour le rapporteur de la Cnil, « les données SSID et MAC, combinées aux données de localisation collectées [Ndlr : coordonnées GPS] par les véhicules "Google Cars", sont des données à caractère personnel. » Une interprétation contestée par Google. Or si la collecte de ces données ne s'effectue plus par l'intermédiaire des "Google Cars", celle-ci se poursuit néanmoins remarque la Cnil. Elle s'opère ainsi « directement par le biais des terminaux mobiles des utilisateurs se connectant au service de géolocalisation Latitude (smartphones, etc.), et ce à leur insu. » « La CNIL considère que ce défaut d'information constitue une collecte déloyale au sens de la loi, qui était déjà à l'oeuvre avec les "Google cars" » tranche-t-elle dans ses délibérations.

Google a par ailleurs révélé en 2010 (après l'avoir nié dans un premier temps) avoir, par erreur, enregistré des données de contenu. Il s'agit notamment, selon la Cnil, d'historiques de navigation, de mots de passe de messagerie, d'adresses de courrier électronique, d'échanges de courriels contenant parfois des informations sensibles sur l'orientation sexuelle ou la santé des personnes. L'autorité française avait demandé à Google que lui soit communiqué le code source du logiciel ayant permis la collecte de ces données. Une requête à laquelle Google aurait apporté une réponse insuffisante. « Tant l'ancien que le nouveau codes sources du logiciel de collecte n'ont pas communiqués à la Cnil, puisque seuls les éléments partiels du code source initial, et aucun élément du nouveau code source ne lui ont été fournis » constate la Cnil.