Espagne: amende à l'encontre de Google en ce qui concerne sa politique de confidentialité

Le 19 décembre 2013, l'Agence espagnole de protection des données (AEPD) a rendu ses conclusions dans le cadre de la procédure de sanction ouverte en juin dernier (communiqué [en anglais] et billet) contre Google pour violation des principes énoncés dans la Ley Organica de Proteccion de Datos (LOPD - en espagnol / en anglais) quant à la politique de confidentialité de l'entreprise entrée en vigueur le 1er mars 2012. 

Ainsi, l'AEPD dans sa Resolución R/02892/2013 [en espagnol] condamne Google à une amende totalisant 900 000 euros pour violation: 

- de l'article 6.1 de la LOPD selon lequel le traitement des données personnelles exige le consentement de la personne concernée. Or, 

"AEPD’s inspection has demonstrated that Google collects personal information through nearly a hundred of services and products offered in Spain, in many cases not providing adequate information about what data is collected, what data is used for what purposes and without obtaining a valid consent of the data subjects. For example, Google does not inform clearly to users of Gmail that the content of mails and attached files is filtered with the aim to insert tailored advertising. Where Google does inform it uses vague terminology, with generic and unclear expressions that prevent users from knowing what they really mean [...] The result of that approach is an indeterminate and unclear Privacy Policy. The lack of adequate information, particularly about the specific purposes justifying the processing of data, renders meaningless a consent that in order to be valid should be specific and informed." 

(Source: AEPD, Press Release - 19 December 2013) 

- de l'article 4.5 de la LOPD relatif à la suppression des données personnelles lorsque celles-ci ne sont plus nécessaires ou utiles aux finalités pour lesquelles elles ont été collectées. Or, selon l'AEPD

"Contrary to the provisions of Spanish law, Google stores and maintains data for periods of time indeterminate or unjustified, thereby contravening the legal mandate to cancel data when it ceases to be necessary for the purpose which determined its collection. The conservation of the data indefinitely, beyond the requirements arising from the purposes alleged at the time of collection, constitutes unlawful data processing." 

(Source: AEPD, Press Release - 19 December 2013) 

- et des articles 15 et 16 de la LOPD relatifs aux droits d'accès et de rectification des personnes concernées étant entendu que: 

"[...] Google hinders - and in some cases prevents - the exercise of the rights of access, rectification, cancellation and opposition. The procedure that citizens have to follow to exercise their rights or to manage their own personal information requires them to access to an undetermined number of web pages, scattered in several links, that are not available for all types of users and, occasionally, with denominations that do not always refer to its real object. The Company itself recognizes that users must run at least seven different processes, and reserves the right to not respond to requests involving "a disproportionate effort"."  

(Source: AEPD, Press Release - 19 December 2013) 

Partant, en vertu de l'article 44.3 de la LOPD, 

- traiter des données sans le consentement des personnes concernées (par. b));
- conserver des renseignements personnels qui ne sont plus nécessaires ou utiles (par. c)); ou encore 
- entraver ou d'empêcher l'exercice du droit d'accès et de rectification aux personnes concernées (par. e)) 

constituent des infractions graves punissables d'une amende pouvant aller de 40001 à 300 000 euros conformément à l'article 45.2 de la LOPD. Dès lors, compte tenu des critères de l'article 45.4 ou encore du manque de collaboration de la part de Google avec les autorités de protection des données personnelles, l'AEPD a décidé d'imposer une amende de 300 000 euros pour chacune des infractions constatées. 

"Por otra parte, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, en concreto, el carácter continuado de las infracciones; el volumen masivo de datos personales que recaba y somete a tratamiento; la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que es una empresa que tiene como actividad la prestación de servicios a través de Internet y tiene un constante tratamiento de datos de carácter personal; su volumen de negocio o actividad; que la información personal relativa a los usuarios representa un factor importante en el desarrollo de la actividad empresarial de Google y en la obtención de beneficios, considerando el modelo económico de Google; que las infracciones son el resultado del sistema de recogida y tratamientos de datos diseñado intencionadamente por Google, cuya irregularidad ha sido puesta de manifiesto a la entidad durante toda la fase de investigación, y de la implantación de una política de privacidad deficiente, ineficaz y no ajustada a la normativa, en lo que Google ha mostrado una actitud contumaz desconociendo todos los requerimientos efectuados por las autoridades europeas que han participado en las actuaciones para que dicha política de privacidad no fuese aplicada; así como el perjuicio que dicho sistema causa a la privacidad de los usuarios; procede la imposición de las sanciones establecidas en el artículo 45.2 de la LOPD en su cuantía máxima, es decir, por importe de 300.000 euros (trescientos mil euros) por cada una de las infracciones."

(Source: AEPD, Resolución R/02892/2013, p. 137)

Et, l'AEPD exige que Google adopte, sans délai, des mesures pour se mettre en conformité avec la LOPD et qu'elle en soit avisée (Source: AEPD, Resolución R/02892/2013, p. 139). 

À suivre donc ...

Pour aller plus loin, voir notamment: 

• AGENCIA ESPANOLA DE PROTECCION DE DATOS: 
• Resolución R/02892/2013, 19 de diciembre de 2013.
• "La AEPD sanciona a Google por vulnerar gravemente los derechos de los ciudadanos", Nota informativa,
  19 de diciembre de 2013.
• "The AEPD sanctions Google for serious violation of the rights of the citizens", Press release, 19 december 2013.

CNIL: mise en demeure de Google (politique de confidentialité)

En avril 2013, la Commission nationale de l'informatique et des libertés (CNIL), à l'instar des autorités de protection de l'Allemagne, de l'Espagne, de l'Italie, des Pays-Bas et du Royaume-Uni, a informé Google de sa décision d'ouvrir une procédure de contrôle quant aux règles de confidentialité mises en ligne par l'entreprise en mars 2012 (billet).

L'analyse a été réalisée au regard de la Loi "Informatique et Libertés" et, plus particulièrement en ce qui concerne les finalités de traitement, l'information des personnes concernées, la durée de conservation des données, la combinaison de données, la collecte et le traitement loyal des données ou encore le consentement de la personne concernée. 

Au terme de cette analyse, la CNIL a constaté plusieurs manquements. Par conséquent, par décision 2013-025 du 10 juin 2013, elle met en demeure Google de: 

"- définir les finalités déterminées et explicites afin de permettre aux utilisateurs, quel que soit leur statut, d'appréhender concrètement les traitements portant sur leurs données à caractère personnels;
- procéder à l’information des utilisateurs, quel que soit leur statut, en application des dispositions de l’article 32 [de la Loi "Informatique et Libertés"], en particulier s’agissant des finalités poursuivies par le responsable des traitements mis en œuvre; 
- définir une durée de conservation des données à caractère personnel traitées qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées; 
- ne pas procéder, sans base légale, à la combinaison potentiellement illimitée des données des utilisateurs ;
- procéder à une collecte et à un traitement loyal des données des utilisateurs passifs, en particulier s’agissant des données collectées via les cookies "Doubleclick", "Analytics", les boutons "+1" ou tout autre service Google présents sur la page visitée; 
- informer les utilisateurs, quel que soit leur statut, puis obtenir leur accord préalable avant d’inscrire des informations dans leur équipement terminal de communications électroniques ou d'accéder à celles-ci par voie de transmission électronique."

(Source: CNIL, Décision 2013-025 du 10 juin 2013, p. 14-15)

Google a trois mois pour se conformer à la mise en demeure de la CNIL ... à suivre donc. 

Pour plus de détails, voir notamment: 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, 
• Décision 2013-025 du 10 juin 2013 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure la société GOOGLE INC.
• Délibération du bureau de la Commission nationale de l'informatique et des libertés n°2013-174 du 13 juin 2013 décidant de rendre publique la mise en demeure n°2013-025 du 10 juin 2013 prise à l'encontre de la société GOOGLE INC. 

Par ailleurs, il est à noter que les autres autorités poursuivent leurs investigations. Ainsi,

"- Le Directeur de l’autorité de protection des données espagnole a notifié à Google sa décision d’ouvrir une procédure de sanction [en espagnol] pour violation des principes fondamentaux de la législation espagnole en matière de protection des données personnelles.
- L’autorité de protection des données d’Hambourg (Allemagne) a ouvert une procédure formelle contre Google. Celle-ci commence par une audition formelle, telle que prévue par le droit public allemand, qui pourra donner lieu au prononcé d’un acte administratif enjoignant Google de mettre en œuvre des mesures afin de se conformer à la législation nationale allemande en matière de protection des données personnelles. Dans le cadre de son enquête, l’autorité de protection des données néerlandaise va délivrer, dans un premier temps, un rapport confidentiel sur les conclusions préliminaires et dans un second temps, demander à Google de fournir des observations sur ce rapport.
- L’autorité de protection des données néerlandaise tiendra compte de ces observations dans son rapport final sur les conclusions, et pourra par la suite décider de prononcer une sanction.
- Après avoir ouvert une procédure formelle d’enquête fin mai, l’autorité de protection des données italienne est dans l’attente de clarifications [en italien] de la part de Google Inc.. L’autorité italienne évaluera sous peu les éléments pertinents afin de déterminer les mesures d’exécution envisageables, y compris de possibles sanctions, conformément à la législation italienne en matière de protection des données personnelles.
- L’autorité de protection des données britannique est en train d’examiner la nouvelle politique de confidentialité de Google afin de déterminer si elle est conforme à la loi de protection des données personnelles britannique de 1998. L’autorité britannique écrira prochainement à Google pour lui faire part de ses conclusions préliminaires."

(Source: CNIL, "La CNIL met en demeure Google de se 

conformer, dans un délai de trois mois, à la loi informatique et libertés", Article, 20 juin 2013) 

Pour aller plus loin sur certaines de ces actions, voir: 

• AGENCIA ESPANOLA DE PROTECCION DE DATOS, "La AEPD abre un procedimiento sancionador a Google por su política de privacidad", Nota informativa, 20 de junio de 2013. 
• GARANTE PER LA PROTEZIONE DEI DATI PERSONALI, "Google: supplemento di istruttoria del Garante privacy nei confronti del colosso americano", Avanzata, 20 giugno 2013.