Une décision majeure contre Google en Irlande
La Commission irlandaise de protection des données, la DPC, a infligé à Google Ireland Limited une amende de 403 millions d’euros après avoir conclu que l’entreprise avait enfreint le Règlement général sur la protection des données dans le traitement des données de localisation des utilisateurs . La décision vise trois fonctionnalités de l’écosystème Google: Web & App Activity, Location History et Location Accuracy .
La décision finale date du 21 septembre 2026, et le Comité européen de la protection des données en a publié un résumé le 23 septembre . Au-delà de l’amende, la DPC a ordonné à Google de mettre les traitements concernés en conformité dans un délai de six mois . Ce point est essentiel: l’affaire ne se limite pas à une sanction financière pour des pratiques passées. Elle impose aussi à Google de démontrer que ses pratiques actuelles respectent les exigences du RGPD.
Le dossier est important parce qu’il touche à une catégorie de données particulièrement sensible. Une donnée de localisation peut sembler anodine lorsqu’elle est isolée, mais une série de points de localisation peut révéler où une personne dort, travaille, consulte un médecin, se rend à des offices religieux, rencontre d’autres personnes ou suit une routine quotidienne. C’est précisément ce pouvoir d’inférence qui rend la géolocalisation si délicate sur le plan juridique et éthique.
Ce que le régulateur reproche à Google
L’enquête portait sur la période allant du 25 mai 2018, date d’entrée en application du RGPD, au 4 février 2020 . Elle examinait le traitement des données de localisation dans trois fonctionnalités distinctes. Web & App Activity peut conserver l’activité de recherche, de navigation et d’utilisation d’applications liée à un compte Google. Location History permet d’enregistrer les lieux où un appareil s’est rendu. Location Accuracy, sur Android, améliore la précision de la localisation en utilisant d’autres signaux que le GPS , .
La DPC a identifié plusieurs types de manquements. Pour Web & App Activity et Location History, elle a conclu à des infractions liées à la licéité et à l’équité du traitement . Pour Location Accuracy, elle a retenu un manquement à l’obligation de responsabilité, au motif que Google n’était pas en mesure de démontrer sa conformité au principe de licéité, d’équité et de transparence . Le régulateur a également constaté des manquements à la transparence pour les trois fonctionnalités, ainsi que des problèmes de conservation des données pour Web & App Activity et Location History .
Cette combinaison de griefs est centrale. Le dossier ne porte pas seulement sur une mention d’information insuffisamment claire ou sur un bouton mal nommé. Il relie plusieurs obligations fondamentales du RGPD: disposer d’une base légale, traiter les données loyalement, informer clairement les personnes, pouvoir prouver la conformité et ne pas conserver les données plus longtemps que nécessaire .
Le délai de six mois, un enjeu opérationnel
L’amende attire l’attention, mais l’injonction de mise en conformité pourrait être encore plus importante à long terme. Google dispose de six mois pour corriger les traitements concernés . Cette obligation transforme une décision portant sur une période historique en test opérationnel actuel: l’entreprise doit convaincre le régulateur que les pratiques désormais en place répondent aux exigences européennes.
Google affirme que l’affaire concerne des politiques de la période examinée et que ses pratiques ont fortement évolué depuis 2019 . L’entreprise met en avant des outils de gestion plus simples, des mécanismes de suppression automatique, davantage d’informations sur l’utilisation de la localisation et des changements concernant la conservation des données Timeline , . Malwarebytes rappelle notamment que Google a annoncé en décembre 2023 un changement destiné à stocker les données Timeline sur les appareils des utilisateurs, ainsi qu’un délai de suppression automatique plus court pour les nouveaux utilisateurs de Location History .
Reste une question ouverte: ces évolutions suffiront-elles à satisfaire pleinement l’ordre de la DPC? Le texte intégral de la décision n’a pas encore été publié , . Or ce document précisera le raisonnement juridique, le périmètre exact de l’injonction et les obligations techniques ou organisationnelles attendues de Google. Pour l’instant, le dossier public confirme le montant de l’amende, les catégories de manquements, les fonctionnalités concernées et le délai de six mois, mais pas tous les détails du remède exigé .
Pourquoi la localisation est une donnée à part
La localisation est une donnée personnelle d’une intensité particulière. Elle peut révéler des habitudes, des vulnérabilités et des caractéristiques intimes sans qu’une personne les déclare explicitement. C’est pourquoi le régulateur irlandais souligne que ces données peuvent améliorer des services en ligne, mais aussi exposer des informations profondément privées .
Dans ce dossier, le problème ne se limitait pas à la collecte. Les comptes rendus publiés après la décision insistent sur un point: les utilisateurs pouvaient ne pas comprendre que leur localisation servait à déduire leurs centres d’intérêt ou à influencer la publicité qu’ils voyaient , . Betanews rapporte que le commissaire adjoint Graham Doyle a indiqué que les personnes utilisant ces fonctionnalités pouvaient ignorer que leur localisation intervenait dans le ciblage publicitaire ou l’inférence d’intérêts, ce qui pouvait leur faire perdre le contrôle de leurs données personnelles .
Cette notion de contrôle est au cœur du RGPD. Le droit européen n’interdit pas tout traitement de données de localisation. La navigation, les services de recherche locale, certaines fonctions de sécurité ou des mécanismes antifraude peuvent nécessiter de telles données. Mais les entreprises doivent expliquer ce qu’elles collectent, pourquoi elles le collectent, combien de temps elles le conservent et quels choix réels sont offerts aux utilisateurs. La DPC a estimé que, pendant la période examinée, Google n’avait pas respecté ces exigences sur plusieurs plans .
Le rôle clé de Web & App Activity
L’un des points les plus concrets de l’affaire concerne la différence entre Location History et Web & App Activity. De nombreux utilisateurs associent naturellement Location History au contrôle principal de la géolocalisation. Pourtant, Web & App Activity est un réglage distinct du compte Google, susceptible de conserver des informations sur l’activité menée dans les services et applications Google, y compris certaines données de localisation .
Cette distinction peut créer une forte confusion. Malwarebytes rappelle que désactiver Location History ne suffisait pas nécessairement à empêcher l’enregistrement de certaines informations de localisation, car Web & App Activity fonctionnait séparément . Softonic souligne également que cette différence entre la désactivation de Location History et la poursuite possible de certains enregistrements via Web & App Activity faisait partie des enjeux pratiques du dossier .
Pour un régulateur, une telle complexité peut devenir un problème de transparence et de loyauté. Si un utilisateur ordinaire croit qu’un réglage visible de localisation met fin au suivi, alors qu’un autre réglage de compte continue à collecter des signaux liés à la localisation, il faut se demander si le consentement, l’information et le contrôle sont réellement effectifs. Les conclusions de la DPC indiquent que, pour la période 2018-2020, ce n’était pas le cas .
Une enquête longue et un signal pour tout le secteur
La DPC a ouvert son enquête en février 2020, après des plaintes d’organisations européennes de défense des consommateurs, dont BEUC, au sujet des traitements de données de localisation de Google . The European Post rapporte que l’affaire s’inscrit dans le prolongement de plaintes coordonnées déposées fin 2018 par des organisations de consommateurs dans plusieurs pays européens, avec BEUC au centre de la démarche .
Ce calendrier montre aussi la lenteur des grandes affaires transfrontalières du RGPD. Entre les premières plaintes et la sanction, plusieurs années se sont écoulées. Les défenseurs de la vie privée verront probablement dans ce délai un nouvel argument dans le débat sur l’efficacité du mécanisme de guichet unique, qui confie souvent à l’autorité du pays du siège européen d’un groupe technologique le rôle principal dans les enquêtes.
La sanction s’inscrit également dans une série plus large de contentieux liés aux données de localisation de Google. Malwarebytes rappelle que des questions comparables ont conduit à des règlements et paiements dans plusieurs juridictions américaines, notamment en Arizona, dans un accord avec 40 États, dans l’État de Washington et au Texas . Ces affaires américaines sont juridiquement distinctes de la décision irlandaise, mais elles illustrent le fait que les réglages de localisation constituent depuis plusieurs années une zone de risque juridique pour Google .
En Europe, la décision irlandaise est d’autant plus importante que la DPC agit comme autorité cheffe de file pour de nombreux grands groupes technologiques américains établis à Dublin. Betanews indique que l’amende de 403 millions d’euros est la quatrième plus importante sanction prononcée par la DPC contre une grande entreprise technologique et qu’elle s’inscrit dans un total de plus de 4 milliards d’euros de sanctions imposées par l’autorité depuis qu’elle joue ce rôle central dans l’application du RGPD .
Ce que les utilisateurs doivent retenir
Pour les utilisateurs, la leçon immédiate n’est pas que toutes les fonctions de localisation de Google seraient aujourd’hui illégales. La décision porte sur une période définie, et Google soutient que ses règles et outils ont changé depuis . En revanche, l’affaire rappelle que les réglages de confidentialité peuvent être dispersés entre plusieurs menus, et que désactiver une fonctionnalité ne signifie pas forcément arrêter toute forme de traitement lié à la localisation .
Les utilisateurs soucieux de limiter la collecte devraient donc examiner ensemble Web & App Activity, Location History, Timeline et les paramètres publicitaires utilisant la localisation. Malwarebytes recommande notamment de vérifier Web & App Activity et les réglages associés, ainsi que de supprimer l’activité déjà enregistrée lorsque cela correspond au choix de l’utilisateur . Le point essentiel est de considérer les contrôles de confidentialité comme un système complet plutôt que comme une série d’interrupteurs isolés.
Le message aux entreprises
Pour les entreprises, cette décision est un avertissement sur la preuve. Il ne suffit pas de publier une politique de confidentialité, d’afficher un écran de consentement ou de conserver un tableau de durées de conservation si l’organisation ne peut pas démontrer que le produit, les flux de données et les mécanismes de suppression fonctionnent réellement comme annoncé. La synthèse de la DPC vise la licéité, l’équité, la transparence, la responsabilité et la conservation, c’est-à-dire toute la chaîne du traitement .
Toute organisation qui collecte des données de localisation précises ou inférées devrait pouvoir répondre à cinq questions: quels signaux sont collectés, quelle base légale est invoquée, comment les utilisateurs sont informés, comment leurs choix sont techniquement appliqués, et quand les données sont supprimées. Si ces réponses sont dispersées entre des documents juridiques, produits et techniques impossibles à rapprocher, l’entreprise court un risque de responsabilité comparable à celui mis en évidence dans l’affaire Google .
La suite
Les prochaines étapes sont claires. Google doit respecter l’injonction de mise en conformité dans le délai de six mois, et la DPC devrait publier ultérieurement le texte intégral de sa décision . Ce document permettra d’analyser plus précisément le raisonnement juridique et les mesures attendues.
En attendant, le signal envoyé est déjà fort. Le régulateur irlandais traite la localisation comme une donnée à forte sensibilité, exigeant une information claire, une base légale solide, une preuve de conformité et une conservation limitée. L’amende de 403 millions d’euros infligée à Google n’est donc pas seulement un chiffre spectaculaire. Elle pose une question plus large: les grandes plateformes peuvent-elles rendre leurs systèmes complexes de géolocalisation réellement compréhensibles et maîtrisables pour les personnes qu’elles suivent?