Législation : Les Cnil peuvent-elles contraindre Google à modifier ses règles de confidentialité avec des peines si indolores ? Sans doute pas, c’est pourquoi elle plancheraient sur de nouvelles sanctions, dont l’interdiction de collecte de données personnelles par Google. Google et les Cnil européennes, regroupées au sein de l’Article 29, s’affrontent depuis plus d’un an sur la question de la politique de confidentialité du géant américain. Selon elles, cette dernière viole la règlementation européenne. Mais voilà, malgré les demandes réitérées, Google refuse toute concession. Plusieurs autorités de protection des données personnelles ont engagé des procédures de sanction au niveau national. Toutefois, les amendes encourues s’avèrent peu dissuasives pour Google et ses milliards de profits.
Inverser le rapport de force
C’est pourquoi selon Les Echos, le G29 réfléchirait à une solution afin d’alourdir les sanctions à appliquer à Google si ce dernier persévérait dans son refus de modifier ses règles de confidentialité en Europe. Outre des sanctions plus lourdes, les Cnil examineraient une piste imposant à Google de cesser toute collecte et exploitation de données faute d’accord sur la confidentialité. Une solution qui semble toutefois difficile à mettre en œuvre. D’après Les Echos, une réunion de l’Article 29 serait prévue dans les prochaines semaines pour examiner plus en détails les pistes possibles, avec une décision formelle rendue publique début octobre.
Inverser le rapport de force
C’est pourquoi selon Les Echos, le G29 réfléchirait à une solution afin d’alourdir les sanctions à appliquer à Google si ce dernier persévérait dans son refus de modifier ses règles de confidentialité en Europe. Outre des sanctions plus lourdes, les Cnil examineraient une piste imposant à Google de cesser toute collecte et exploitation de données faute d’accord sur la confidentialité. Une solution qui semble toutefois difficile à mettre en œuvre. D’après Les Echos, une réunion de l’Article 29 serait prévue dans les prochaines semaines pour examiner plus en détails les pistes possibles, avec une décision formelle rendue publique début octobre.
Ce que Google doit faire pour satisfaire les Cnil européennes
Législation : Les autorités européennes de protection des données personnelles ont adressé une série de recommandations à Google, parmi lesquelles une simplification et une centralisation de l’opt-out, le recueil d’un consentement explicite ou encore une meilleure information des internautes. Et si Google n'obtempère pas ?Au terme d’un travail d’enquête de sept mois, les 27 Cnil européennes ont dressé un bilan très critique à l’égard des règles de confidentialité de Google. L’audit ne se réduit toutefois pas à une énumération de reproches. Celui-ci s’accompagne en effet d’une série de recommandations que les régulateurs espèrent donc voir mise en œuvre par la firme américaine. Pas question a priori de se satisfaire de la réponse officielle faite par Google dans la presse et qui exclut tout tort.Les recommandations portent sur les trois domaines défaillants identifiés par l’audit : l’information des utilisateurs, les croisements de données et la durée de conservation des données. « Ce que nous demandons d’abord à Google, c’est un engagement fort […] Nous pensons légitime que cet acteur dominant du marché se responsabilise par rapport aux règles informatique et liberté, et le dise publiquement » résume la présidente de la Cnil, Isabelle Falque-Pierrotin. Et si cet engagement de Google est nécessaire, c’est d’abord parce qu'il « est un acteur majeur du marché », mais aussi parce qu'il entretient, notamment via ses cookies et services, des liens avec un très vaste écosystème. « Sur les 500 premiers sites français, 90% ont une liaison avec Google » évalue ainsi la Cnil. Plus concrètement, concernant le manque d’information, le G29 demande que Google complète les informations données aux internautes. Cela passe par une distinction entre les catégories de données collectées et par une meilleure ergonomie afin de « fournir une information simple et complète sur tous les traitements. » Cette ergonomie pourrait s’articuler autour de trois niveaux d’information : des notes de confidentialité rattachées aux produits, les règles de confidentialité actuelles et une information « à la demande, plus précise, plus détaillée pour ceux qui veulent en savoir plus ». Mais Google a-t-il un intérêt à avancer dans le sens d’une meilleure lisibilité de ses pratiques en matière de données personnelles ?
« Redonner à l’utilisateur une maîtrise qu’il n’a pas aujourd’hui »
Sur la question de la combinaison des données, le G29 demande à « Google de redonner à l’utilisateur une maîtrise qu’il n’a pas aujourd’hui. » Pour la firme, cela suppose ainsi, pour les quatre finalités identifiées par l’audit comme ne reposant pas sur des bases légales, « de renforcer le consentement des utilisateurs. » « Ces finalités ne sont légitimes au regard de la Directive de 1995 que si le consentement des utilisateurs est explicite. Nous demandons donc à Google, notamment sur la publicité, de renforcer ce consentement » justifie Isabelle Falque-Pierrotin. Et l’expression de ce consentement passe notamment par la mise à disposition d’une fonction « d’opt-out ». Si cette possibilité est généralement proposée par Google, bien que parfois « cachée », cela doit être fait de « manière lisible » et « accessible » pour les utilisateurs. Ce qui n’est actuellement pas le cas, par exemple, pour la publicité ciblée. « Lorsque vous voulez vous opposer à de la publicité ciblée, il faut que vous fassiez six actions » illustre ainsi la présidente de la Cnil. « Si vous êtes un utilisateur authentifié de Google+, il y a six opt-out différents à faire rien que pour la publicité […] Lorsque vous êtes un utilisateur non authentifié, il y a quatre procédures d’opt-out à faire uniquement pour la publicité comportementale […] Si vous voulez effectivement exercer votre opt-out aujourd’hui c’est très long, c’est très compliqué et on ignore où se trouve l’information » ajoute le chef du service expertise informatique de la CNIL, Gwendal Le Grand.
Mise en place d'un « dispositif d’opt-out (qui) soit simplifié et centralisé »
En conséquence, le G29 recommande à Google la mise en place d’un « dispositif d’opt-out (qui) soit simplifié et centralisé. ». Il est également demandé au géant américain de revoir « ses outils techniques » exploités pour collecter et combiner les données des utilisateurs. Google tend ainsi à multiplier les applications faites de ses cookies. Les régulateurs préconisent, dans le meilleur des cas, l’utilisation d’un cookie par finalité. En ce qui concerne enfin la conservation des données, l’Article 29 souhaite que Google s’engage de manière stricte et précise sur la durée de conservation des données, mais également que ces durées soient « adaptées à la finalité ». Mais Google estimant que ses politiques de confidentialité respectent le droit européen, pourquoi procéderait-il désormais à des ajustements ? Et faute de réaction de la part de la firme, les autorités européennes disposent-elles des armes juridiques pour l’y contraindre ?Si pour l’heure le G29 insiste sur sa volonté de dialogue avec Google, il n’exclut pas néanmoins de s’engager dans une phase contentieuse. Mais avant cela, Google dispose de « trois à quatre mois » pour entreprendre des actions. « Si Google ne se met pas en conformité dans le temps imparti, alors nous passerons à une autre phase, qui sera nécessairement une phase contentieuse. Il est encore un peu tôt pour l’évoquer. Mais il est clair que c’est bien cela l’enjeu » prévient Isabelle Falque-Pierrotin. Et avec une unanimité parmi les 27 Cnil, et donc en principe une unanimité sur la nécessité de prononcer des sanctions en cas de refus d’agir, le G29 espère convaincre Google de ne pas se soustraire à ses obligations.
Aucun commentaire:
Enregistrer un commentaire