{"id":4689,"date":"2020-06-23T15:37:33","date_gmt":"2020-06-23T14:37:33","guid":{"rendered":"http:\/\/mouillere.com\/universconvergents\/?p=4689"},"modified":"2020-06-23T15:41:19","modified_gmt":"2020-06-23T14:41:19","slug":"sanction-cnil-de-50-millions-e-contre-google-confirmee-par-le-conseil-detat","status":"publish","type":"post","link":"https:\/\/mouillere.com\/universconvergents\/2020\/06\/23\/sanction-cnil-de-50-millions-e-contre-google-confirmee-par-le-conseil-detat\/","title":{"rendered":"Sanction CNIL de 50 millions \u20ac contre Google confirm\u00e9e par le Conseil d\u2019Etat"},"content":{"rendered":"

\u00c0 la suite de plaintes d\u00e9pos\u00e9es par les associations La Quadrature du Net et None of your business en mai 2018 sur le parcours d\u2019un utilisateur lors de la cr\u00e9ation d\u2019un compte Google \u00e0 partir d\u2019un t\u00e9l\u00e9phone fonctionnant avec le syst\u00e8me d\u2019exploitation Android, la CNIL avait prononc\u00e9 le 21 janvier 2019 une sanction de 50 million \u20ac. Saisi d\u2019un recours dirig\u00e9 contre cette sanction, le Conseil d\u2019\u00c9tat vient de confirmer que Google n\u2019a pas d\u00e9livr\u00e9 une information claire et transparente aux utilisateurs du syst\u00e8me d\u2019exploitation Android leur permettant de donner un consentement libre et \u00e9clair\u00e9 au traitement de leurs donn\u00e9es personnelles aux fins de personnalisation des annonces publicitaires.<\/p>\n

<\/p>\n

 <\/p>\n

Obligations d\u2019information et de transparence<\/h1>\n

 <\/p>\n

“L\u2019arborescence choisie par Google appara\u00eet de nature, par l\u2019\u00e9parpillement de l\u2019information qu\u2019elle organise, \u00e0 nuire \u00e0 l\u2019accessibilit\u00e9 et \u00e0 la clart\u00e9 de celle-ci pour les utilisateurs, alors m\u00eame que les traitements en cause sont particuli\u00e8rement intrusifs eu \u00e9gard au nombre et \u00e0 la nature des donn\u00e9es collect\u00e9es. Il s\u2019ensuit que c\u2019est \u00e0 bon droit que la formation restreinte de la CNIL, qui n\u2019a pas, contrairement \u00e0 ce qui est soutenu, exig\u00e9 qu\u2019une information exhaustive soit livr\u00e9e d\u00e8s le premier niveau d\u2019information, a caract\u00e9ris\u00e9 une violation des obligations d\u2019information et de transparence d\u00e9finies par les articles 12 et 13 du RGPD”<\/em><\/p><\/blockquote>\n

Les responsables de traitement sont tenus de fournir des informations de mani\u00e8re concise, transparente, compr\u00e9hensible et ais\u00e9ment accessible, en des termes clairs et simples, pour permettre \u00e0 l\u2019utilisateur de donner un consentement libre et \u00e9clair\u00e9 au traitement de ses donn\u00e9es.<\/p>\n

 <\/p>\n

Le Conseil d\u2019\u00c9tat confirme l\u2019appr\u00e9ciation port\u00e9e par la CNIL qui avait consid\u00e9r\u00e9 que:<\/p>\n

    \n
  1. l’organisation en arborescence ne r\u00e9pond pas aux exigences de clart\u00e9 et d\u2019accessibilit\u00e9 alors m\u00eame que les traitements en cause sont massifs et particuli\u00e8rement intrusifs par leur nombre et la nature des donn\u00e9es collect\u00e9es \u00e0 partir de nombreux services (Gmail, Google Maps, YouTube). Les informations sur les finalit\u00e9s, les dur\u00e9es de conservation ou les cat\u00e9gories de donn\u00e9es sont \u00e9parpill\u00e9es sur plusieurs pages, l\u2019utilisateur devant accomplir multiples actions pour y acc\u00e9der;<\/li>\n
  2. les informations sont r\u00e9dig\u00e9es de fa\u00e7on impr\u00e9cises ne permettant pas aux utilisateurs de comprendre l\u2019ampleur du traitement effectu\u00e9 par Google.<\/li>\n<\/ol>\n

    <\/h1>\n

    Sanction proportionn\u00e9e<\/h1>\n

     <\/p>\n

    “Eu \u00e9gard \u00e0 la gravit\u00e9 particuli\u00e8re des manquements commis, qui tient \u00e0 la nature des exigences m\u00e9connues et \u00e0 leurs effets sur les utilisateurs, au caract\u00e8re continu de ces manquements et \u00e0 la dur\u00e9e de la p\u00e9riode durant laquelle ils ont perdur\u00e9, aux plafonds pr\u00e9vus par\u00a0 l\u2019article 83 du RGPD, et \u00e0 la situation financi\u00e8re de la soci\u00e9t\u00e9, la sanction p\u00e9cuniaire de 50 000 000 d\u2019euros prononc\u00e9e \u00e0 l\u2019encontre de la soci\u00e9t\u00e9 Google ne rev\u00eat pas un caract\u00e8re disproportionn\u00e9”<\/em><\/p>\n

    “Les violations des dispositions suivantes font (…) d’amendes administratives pouvant s’\u00e9lever jusqu’\u00e0 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’\u00e0 4 % du chiffre d’affaires annuel mondial total de l’exercice pr\u00e9c\u00e9dent :<\/em><\/p>\n

    a) les principes de base d’un traitement, y compris les conditions applicables au consentement en vertu des articles 5, 6, 7 et 9;<\/em><\/strong><\/p>\n

    b) les droits dont b\u00e9n\u00e9ficient les personnes concern\u00e9es en vertu des articles 12 \u00e0 22<\/em><\/p>\n

    c) les transferts de donn\u00e9es \u00e0 caract\u00e8re personnel \u00e0 un destinataire situ\u00e9 dans un pays tiers ou \u00e0 une organisation internationale en vertu des articles 44 \u00e0 49;<\/em><\/p>\n

    d) toutes les obligations d\u00e9coulant du droit des \u00c9tats membres adopt\u00e9es en vertu du chapitre IX;<\/em><\/p>\n

    e) le non-respect d’une injonction, d’une limitation temporaire ou d\u00e9finitive du traitement ou de la suspension des flux de donn\u00e9es ordonn\u00e9e par l’autorit\u00e9 de contr\u00f4le en vertu de l’article 58, paragraphe 2, ou le fait de ne pas accorder l’acc\u00e8s pr\u00e9vu, en violation de l’article 58, paragraphe 1 (art.83 RGPD)”<\/em><\/p><\/blockquote>\n

     <\/p>\n

    Compte tenu de la gravit\u00e9 des manquements commis, de leur caract\u00e8re continu et de leur dur\u00e9e, des plafonds pr\u00e9vus par le RGPD ainsi que de la situation financi\u00e8re de Google, le Conseil d\u2019\u00c9tat juge que la sanction de 50 millions d\u2019euros prononc\u00e9e par la CNIL n\u2019est pas disproportionn\u00e9e.<\/p>\n

     <\/p>\n

    On se demande bien comment Google a pu contester le caract\u00e8re proportionn\u00e9 du montant de l’amende prononc\u00e9e par la CNIL qui est loin de repr\u00e9senter 4% de son CA mondial estim\u00e9 en 2018 \u00e0 136,22 milliards de dollars am\u00e9ricains. Google aurait pu en th\u00e9orie \u00eatre condamn\u00e9 \u00e0 5 milliards \u20ac, soit 100 fois plus que l’amende prononc\u00e9e par la CNIL qui ne repr\u00e9sente en r\u00e9alit\u00e9 que 0,04% de son CA mondial.<\/p>\n

     <\/p>\n

    \"Statistique:<\/a><\/p>\n

     <\/p>\n

    On rappellera par ailleurs que l’\u00e9tude r\u00e9alis\u00e9e par l’ex-secr\u00e9taire d\u2019Etat en charge du num\u00e9rique Mounir Mahjoubi avait estim\u00e9 \u00e0 2,7 milliards \u20ac le CA France de Google qui ne d\u00e9clare au fisc que 411 millions d’euros. Google n’a donc \u00e9t\u00e9 condamn\u00e9 par la CNIL qu’\u00e0 2% de son CA en France.<\/p>\n

     <\/p>\n

    La question n’est donc pas de savoir si le montant de l’amende administrative est proportionn\u00e9e mais de savoir si elle est dissuasive.<\/p>\n

     <\/p>\n

    Reste aux utilisateurs d’agir par le biais de class action dont les montants cumul\u00e9s pourraient enfin dissuader certains GAFAM d’agir en violation de leurs droits …<\/p>\n

     <\/p>\n

     <\/p>\n

    \"\"<\/p>\n

     <\/p>\n