Le 21 janvier, la formation restreinte de la Cnil (formation contentieuse, chargée de prononcer des sanctions non pénales) a ainsi décidé de condamner Google LLC.
Dans son communiqué de presse, la Cnil, explique que cette condamnation vise Google LLC – c’est-à-dire la maison mère, située à Mountain View – « pour traiter les données personnelles des utilisateurs de ses services, notamment à des fins de personnalisation de la publicité » sans fondement juridique.
Les premières plaintes sous l’empire du RGPD
Dès les 25 et 28 mai dernier, la Commission avait « reçu des plaintes collectives de l’association None Of Your Business (« NOYB ») et de l’association La Quadrature du Net (« LQDN ») », cette dernière était mandatée par près de 10 000 personnes pour saisir la CNIL.
Relevons les manquements constatés par la formation restreinte :
- Un manquement aux obligations de transparence et d’information ;
- Un manquement à l’obligation de disposer d’une base légale pour les traitements de personnalisation de la publicité.
La Cnil a donc condamné Google LLC à une sanction pécuniaire de 50 millions d’euros. Et elle a décidé de rendre publique la décision immédiatement.
Une première sanction sur la base de l’article 83 du RGPD
La grande nouveauté de cette décision est que, pour la première fois, on sort des sanctions pécuniaires maximum qui avaient été récemment mises en place dans la loi du 6 janvier 1978 et déjà utilisées par la Cnil (notamment 150 000 €, déjà à l’encontre de Google) pour passer à des montants qui sont un des motifs de célébrité du RGPD : un maximum de 10, voire 20 millions d’euros selon les cas, ou 2, voire 4% du chiffre d’affaires mondial d’une entreprise (article 83).
C’est cette notion de « chiffre d’affaires mondial » qui a étonné les médias, qui se sont posés la question de savoir si 50 millions d’euros pour Google, n’était pas un goutte d’eau au regard, précisément, de son chiffre mondial. Sur ce point, Mathias Moulin, directeur de la protection des droits et des sanctions à la Commission, a donné quelques précisions dans un entretien sur France-Info le 22 janvier :
Il faut savoir que l’assiette de cette sanction, ce sont les utilisateurs français. Ensuite, pour calculer cette amende, on utilise des critères qui sont prévus par la loi et le règlement qui sont le nombre de personnes concernées, la durée de ce manquement, la nature des manquements. Ce sont des manquements essentiels qui justifient le montant. » (…)
« C’est une première brique. À partir d’aujourd’hui, l’autorité irlandaise est la seule compétence en Europe pour instruire le cas Google. Elle pourra prendre une sanction si jamais elle le fait à l’échelle européenne et pour tous les utilisateurs européens. On change d’échelle.
Photo : Envato
