L'Irlande inflige 403 millions d'euros à Google pour suivi illégal de la localisation

La Commission irlandaise de protection des données (DPC) a infligé à Google Ireland une amende de 403 millions d'euros pour la manière dont l'entreprise collectait, expliquait et conservait les données de localisation de ses utilisateurs. La décision, annoncée le 21 septembre, clôt une enquête ouverte en février 2020 et vise trois réglages : « Activité sur le Web et les applications », « Historique des positions » et « Précision de la localisation ». Google a six mois pour mettre ces traitements en conformité avec le RGPD. Le groupe qualifie l'affaire d'« historique » et, selon RTE, compte faire appel.

Trois interrupteurs, une amende

Les trois fonctions ne marchent pas de la même façon, et la DPC reproche à chacune autre chose. « Activité sur le Web et les applications » est un réglage du compte qui enregistre ce que vous faites dans les services Google et, si une case supplémentaire est cochée, dans les applications et sites tiers qui utilisent des services Google, position comprise. « Historique des positions », rebaptisé « Vos trajets », tient une carte des lieux où sont passés vos appareils connectés, même quand aucune application Google n'est ouverte. « Précision de la localisation » est un réglage d'Android qui affine la position du téléphone en scannant les réseaux Wi-Fi et les antennes mobiles ; il fonctionne avec ou sans compte Google.

Le commissaire adjoint Graham Doyle a résumé le préjudice en une phrase : à cause de ces manquements, « les personnes pouvaient ignorer que leur position servait, par exemple, à les influencer par la publicité ou à déduire leurs centres d'intérêt, et pouvaient perdre le contrôle de leurs données personnelles. La conservation des données de localisation plus longtemps que nécessaire a aggravé cette perte de contrôle ». Les trois commissaires signataires, Des Hogan, Dale Sunderland et Niamh Sweeney, ont ordonné la mise en conformité sous six mois. Le texte intégral sera publié plus tard ; la répartition des 403 millions entre les quatre infractions n'est donc pas encore connue.

Huit ans de la plainte à la décision

L'affaire a commencé par un rapport, pas par une fuite. En novembre 2018, le Conseil norvégien des consommateurs a publié « Every Step You Take », une analyse pas à pas de la façon dont un téléphone Android pousse un nouvel utilisateur vers le suivi de ses déplacements : la configuration incitait à activer « Historique des positions » ; « Activité sur le Web et les applications » était activé par défaut et caché derrière des clics supplémentaires ; le fait que la position alimente la publicité était enfoui ; ceux qui refusaient étaient relancés dans Maps, l'Assistant et d'autres applications ; et des fonctions comme l'Assistant ou le tri des photos par lieu étaient liées au suivi. Le même mois, des associations de consommateurs de huit pays, coordonnées par le BEUC, ont déposé des plaintes RGPD auprès de leurs autorités nationales. Le siège européen de Google étant à Dublin, le dossier a atterri à la DPC.

1. 27 novembre 2018Le Conseil norvégien des consommateurs publie « Every Step You Take » ; des associations de Norvège, des Pays-Bas, de Grèce, de Tchéquie, de Slovénie, de Pologne, de Suède et du Danemark déposent plainte.
2. 4 février 2020Fin de la période examinée par la DPC. Le même mois, le régulateur ouvre de sa propre initiative une enquête en tant qu'autorité chef de file pour Google.
3. Juin 2022Dix associations de consommateurs déposent une deuxième série de plaintes, sur la création de compte : un clic active tous les réglages de collecte, le parcours respectueux de la vie privée demande cinq étapes et neuf clics.
4. 21 septembre 2026La DPC annonce sa décision : quatre infractions, 403 millions d'euros, six mois pour se conformer.
5. D'ici mars 2027Échéance de mise en conformité. Google devrait faire appel sur des questions de droit, selon RTE.

Le BEUC a salué le résultat et critiqué le calendrier. Son directeur général Agustín Reyna a déclaré que la décision « confirme l'illégalité de la façon dont le géant de la tech a obtenu le consentement à l'utilisation des données de localisation », mais que « le temps nécessaire pour parvenir à cette conclusion est disproportionné par rapport à la gravité de l'infraction » et qu'« une application tardive peut être aussi nocive qu'une absence d'application ». Le comportement sanctionné a pris fin en février 2020, et Google a passé les années suivantes à reconstruire précisément les réglages en cause.

Sa place dans le classement irlandais

La DPC est l'autorité chef de file pour la plupart des plateformes américaines dans l'UE ; ses amendes servent donc aussi de tableau d'affichage européen. Les 403 millions de Google se placent juste sous les 405 millions infligés à Instagram en 2022 pour les comptes d'enfants, et au-dessus des 390 millions payés par Meta en 2023 pour avoir fondé sa publicité sur le contrat plutôt que sur le consentement.

Google : des « politiques historiques »

Publiquement, Google ne conteste pas les constats. « Cette affaire porte sur des politiques historiques qui ont depuis été mises à jour, a déclaré un porte-parole. Depuis 2019, nous avons considérablement fait évoluer nos pratiques et lancé des outils solides qui rendent la gestion des données de localisation simple. » Ces outils existent bel et bien : la suppression automatique des données d'activité est arrivée en 2019 ; en décembre 2023, Google a annoncé que « Vos trajets » quitterait ses serveurs pour le téléphone, avec une sauvegarde chiffrée dans le cloud et une suppression automatique par défaut à trois mois au lieu de 18 ; aujourd'hui, l'aide de Google indique que la position approximative et l'adresse IP associées à « Activité sur le Web et les applications » sont supprimées au bout de 30 jours. Depuis mai 2026, ce réglage lui-même est scindé en « Historique des services de recherche » et « Recommandations personnalisées ».

Deux régulateurs hors UE sont parvenus plus tôt aux mêmes conclusions et ont été payés plus tôt. En novembre 2022, Google a conclu un accord de 391,5 millions de dollars avec 40 États américains pour la même construction : entre 2014 et 2020, les utilisateurs qui désactivaient « Historique des positions » restaient suivis via « Activité sur le Web et les applications ». En août 2022, la Cour fédérale d'Australie l'a condamné à 60 millions de dollars australiens, sur action de l'ACCC, parce que les écrans Android présentaient « Historique des positions » comme le seul réglage qui comptait, alors qu'« Activité sur le Web et les applications », activé par défaut, enregistrait aussi la position. L'enquête irlandaise couvre les mêmes mois et les deux mêmes interrupteurs ; il lui a fallu quatre ans de plus.

Vérifiez votre propre compte

Chaque réglage visé par la décision existe encore, certains sous un nouveau nom, et les valeurs par défaut se sont améliorées sans disparaître. Désactiver « Vos trajets » n'empêche pas l'enregistrement de la position ailleurs : la page d'aide de Google précise que si « Historique des services de recherche » ou « Activité sur le Web et les applications » est activé, le compte « peut continuer à enregistrer des données de localisation ». L'ordre compte, passez donc les points un par un.

• Compte Google, « Données et confidentialité », « Paramètres de l'historique » : ouvrez « Activité sur le Web et les applications » (ou « Historique des services de recherche », le nom que Google déploie depuis mai 2026) et décidez si vous le gardez. Si oui, réglez la suppression automatique sur 3 mois.
• Dans le même réglage, décochez « Inclure l'historique Chrome et l'activité sur les sites, applications et appareils qui utilisent les services Google ». C'est cette case qui fait remonter l'activité et la position des autres applications.
• « Paramètres de l'historique », « Vos trajets » (ou Google Maps, photo de profil, « Vos trajets ») : désactivé, ou activé avec la suppression automatique à 3 mois et la sauvegarde chiffrée que vous avez choisie vous-même.
• Sur Android : « Paramètres », « Localisation », « Services de localisation », « Précision de la localisation Google ». Désactivé signifie GPS et capteurs uniquement. « Recherche Wi-Fi » et « Recherche Bluetooth », dans le même menu, alimentent aussi la géolocalisation, même localisation coupée.
• Mon centre de publicité (myadcenter.google.com) : désactivez les annonces personnalisées. C'est là qu'aboutissent les « centres d'intérêt déduits » de la décision de la DPC.
• myactivity.google.com : supprimez l'activité passée par période ; dans Maps, supprimez « Vos trajets » en entier ou jour par jour.

Le VPN relève d'une autre liste. Il remplace l'adresse IP que voient les sites, et Google, c'est-à-dire la « zone approximative » inscrite dans « Activité sur le Web et les applications » côté réseau. Il n'a aucun effet sur le GPS, le Wi-Fi ou la triangulation mobile, ni sur un compte connecté sur le téléphone : avec les interrupteurs ci-dessus activés, les serveurs de Google reçoivent les mêmes données à travers le tunnel VPN que sans lui. Sur Android, le tunnel lui-même n'est pas étanche, comme l'a montré ce mois-ci le refus de Google de corriger une fuite d'IP hors du VPN. Utilisez le VPN pour ce qu'il sait faire, cacher votre position réseau aux sites et aux réseaux, et les réglages du compte pour ce qui a valu l'amende à Google.

Il y a une seconde raison de surveiller où se trouvent ces données. C'est « Historique des positions » que la police demande quand elle veut savoir qui se trouvait près d'une scène de crime ; en juin, la Cour suprême des États-Unis a jugé dans l'affaire Chatrie que ces demandes exigent un mandat. Des données stockées uniquement sur votre téléphone, avec une expiration à trois mois, ne peuvent être extraites d'aucun serveur.