La frontière entre optimisation technique du ciblage et perte de contrôle utilisateur demeure ténue. La Data Protection Commission Ireland (DPC) vient illustrer ce risque opérationnel et juridique.
🔍 Le contexte de l’enquête
La DPC a ouvert une enquête en février 2020 après plusieurs plaintes d’associations de consommateurs européennes. Les investigations ont porté sur les traitements effectués par Google entre le 25 mai 2018 et le 4 février 2020, ciblant trois fonctionnalités clés de son écosystème :
1/ Activité Web & App : agréger l’activité des utilisateurs, incluant historique de recherche, navigation et géolocalisation
2/ Historique des positions : fonctionnalité opt-in enregistrant les déplacements en continu pour reconstituer des trajets via Maps, même hors utilisation active
3/ Précision de la localisation : mécanisme Android affinant le positionnement au-delà des capacités du GPS, accessible même sans compte Google
🚨 Les manquements retenus par le régulateur :
❌ Licéité et loyauté du traitement : défaut de base légale valide et traitement déloyal des données de position au sein de l’activité et de la position
❌ Déficit majeur de transparence : information floue et fragmentée sur l’ensemble des trois fonctionnalités. Les utilisateurs n’étaient pas en mesure de savoir que leurs données servaient à déduire leurs centres d’intérêt ou à alimenter le ciblage publicitaire
❌ Violation de la limitation de conservation : conservation excessive des coordonnées géographiques, amplifiant la perte de maîtrise des personnes sur leurs données
❌ Défaut de responsabilité : incapacité de prouver la conformité des flux associés à la fonctionnalité de précision de localisation
💡 Au-delà du montant (4me amende la plus lourde infligée par la DPC), cette sanction livre des enseignements opérationnels concrets pour nos missions :
📍 La géolocalisation reste une donnée à très haute sensibilité : même indirecte ou inférée, elle permet de déduire des habitudes de vie intimes (santé, opinions politiques, croyances).
🧩 L’illusion du paramétrage morcelé : juxtaposer plusieurs niveaux de consentement dans différents sous-menus ne constitue pas une transparence loyale aux yeux des régulateurs.
⏱️ L’impératif de purges strictes : conserver des données de télémétrie ou de localisation « au cas où » sans justification technique documentée constitue une non-conformité majeure sanctionnée lourdement.
⚙️ Injonction de mise en conformité sous 6 mois : la DPC n’a pas seulement sanctionné le passé, elle impose une refonte opérationnelle des traitements actifs.
Comment gérez-vous la granularité entre localisation précise et anonymisation par défaut ? Partageons nos retours en commentaire !
🔗 Source : https://www.dataprotection.ie/en/news-media/latest-news/data-protection-commission-fines-google-eu403-million-following-inquiry-googles-processing-location
