La Cnil condamne Google pour atteinte à la vie privée

La condamnation de Google à une amende de 100 000 euros pour atteinte à la vie privée est la plus forte sanction pécuniaire jamais ordonnée par la Cnil.

Instituée par la loi relative à la protection des données personnelles, la CNIL ne cesse depuis sa création d'exercer son rôle de gendarme du respect de la vie privée des citoyens et de la protection du traitement des données personnelles institué par la loi informatique et libertés du 6 janvier 1978. La récente condamnation de Google illustre parfaitement la politique de la formation contentieuse de la Cnil.

En effet, la société Google Inc. procède depuis plusieurs années à une collecte massive de données techniques sur les réseaux wifi, dans le but d'offrir des services de géolocalisation, connus sous les appellations Google Maps, Street View et Latitude. Depuis 2007, des véhicules enregistrant des vues panoramiques des lieux parcourus (Les Google Cars) ont fait l'objet de plusieurs contrôles, qui ont permis a la CNIL de constater l'enregistrement non seulement des photographies, mais également la position des bornes wi-fi des particuliers, entrainant alors une « aspiration » des données personnelles : courriels, mots de passe, adresses de sites sur lesquels naviguaient les internautes concernés.

Cette captation de données, dites de contenu, faite à l'insu des personnes concernées, a conduit la Cnil , courant mai 2010, à mettre en demeure la société Google de régulariser cette situation. Aux vues de la décision de la formation contentieuse de la Cnil prononcée à l'encontre de la société, il semblerait que Google n'ait pas su répondre aux exigences de l'autorité administrative.

L'analyse de cette décision fait état de divergences d'appréciation entre Google et la Cnil..

Un des points de difficultés réside dans la nature même des données collectées (notamment les données SSID et MAC, combinées à des données de localisation) et par conséquent dans la délimitation du champ d'application de la notion de données personnelles. La Cnil reconnaît que si le champs d'application des règles de protection des données ne doit pas être étendu de manière excessive, il est en revanche admis, notamment au vu des travaux préparatoires de la Directive européenne 95/46, que l'identification d'une personne ne passe pas nécessairement par la connaissance d'éléments d'identité avérés (nom, prénom, etc.) mais peut ressortir d'un faisceau d'autres éléments (métier, nationalité, âge, numéro de téléphone, conditions de travail, etc.) et que, dès lors, les identifiants SSID et les adresses MAC combinés avec des données de localisation doivent être considérés comme des données à caractère personnel, soumises, à ce titre, à la protection de la loi informatique et libertés.

En ce qui concerne le manquement au respect de la vie privée, la Cnil estime que l'engagement pris par Google par voix de communiqué n'exclut pas la nécessité de s'assurer par voie contraignante du respect de la loi, action d'autant plus justifiée eu égard à la gravité des faits reprochés. La formation contentieuse considère par conséquent que la collecte litigieuse a été opérée en contradiction avec l'article 1er  de la loi du 6 janvier 1978 modifiée, et que des atteintes à la vie privée, au secret des correspondances et à la liberté d'expression ont été commises.

Par ailleurs, la collecte des données litigieuse ayant été opérée à l'insu des utilisateurs concernés, la Cnil considère qu'il y a lieu de caractériser le manquement à l'obligation d'effectuer une collecte loyale et licite ; en effet, même si Google s'est engagé à ne plus procéder de la sorte, aucune garantie n'a été apporté concernant l'utilisation desdites données.

La condamnation de Google à une amende de 100 000 euros pour atteinte à la vie privée est la plus forte sanction pécuniaire jamais ordonnée par la Cnil, décision justifiée notamment par les avantages économiques dont bénéficient la société Google, tenant tant au développement d'une base de données de géolocalisation performante que d'une position dominante dans le secteur des services de géolocalisation. Google dispose désormais d'un délai de deux mois pour exercer un recours devant le Conseil d'Etat.