Protection des données : la Cnil peut-elle faire plier Google ?

"Ne soyez pas malveillants." La devise informelle de Google ("don't be evil", en anglais) suscite de plus en plus d'interrogations. Le scandale de la NSA, l'agence américaine de sécurité qui a collecté des données auprès notamment d'entreprises du web, a mis sur le devant de la scène les pratiques du groupe en matière de protection de ces informations. Pratiques jugées opaques ou abusives par certains pays.

En France, la Commission nationale de l'informatique et des libertés (Cnil) a mis en demeure Google, jeudi 20 juin. Elle donne trois mois au géant de Mountain View pour se plier au droit français, sous peine de sanctions financières. Que reproche-t-elle exactement à Google ? Cette procédure a-t-elle des chances d'aboutir ? Explications.

Une mise en demeure solennelle

Depuis mars 2012, Google applique une nouvelle politique de confidentialité qui fusionne une soixantaine de règles d'utilisation en une seule, regroupant les informations de plusieurs services autrefois séparés. Quinze mois plus tard, "Google n'est toujours pas en conformité au regard du droit national", selon Isabelle Falque-Pierrotin, présidente de la Cnil. Cette dernière identifie "une série de manquements" qui font que l'internaute "n'est pas en mesure de connaître l'utilisation qui peut être faite de ses données et les maîtriser".

Face à ces accusations, le groupe américain s'est borné à répéter, jeudi, au mot près, le même commentaire qu'il fournit depuis le début du contentieux. "Notre politique de confidentialité respecte la loi européenne et nous permet d'offrir des services plus simples et plus efficaces. Nous nous sommes pleinement impliqués, tout au long des échanges, avec les autorités de protection des données, et nous continuerons à le faire." Il paraît peu probable que Google change de politique en trois mois.

Des alliés à l'international

Mais la France n'est pas seule dans ce combat juridique. Le 19 mars, des représentants de Google ont été reçus par un groupe de travail piloté par la Cnil, réunissant les autorités de protection des données d'Allemagne, d'Espagne, d'Italie, des Pays-Bas et du Royaume-Uni. "Aucun changement n'ayant été mis en œuvre", selon la Cnil, diverses "enquêtes et actions de contrôls" ont été lancées par ces pays, début avril. Jeudi, l'Espagne a annoncé l'ouverture d'une procédure de sanctions, indiquant avoir relevé "des indices de six infractions, dont cinq graves" en matière de protection des données.

Aux Etats-Unis aussi, Google est sous surveillance. La Federal Trade Commission (FTC), agence fédérale qui étudie notamment les pratiques anticoncurrentielles, a ainsi fait condamner Google à payer 22,5 millions de dollars (17 millions d'euros) l'an dernier pour avoir violé la confidentialité du moteur de recherche d'Apple, Safari, rappelle ZDNet.

Dans la presse spécialisée, la commercialisation prochaine des Google Glass, et le service Google Drive sont particulièrement montrés du doigt : les premières, qualifiées d'"orwelliennes" par l'intellectuel Noam Chomsky, permettent par exemple de prendre des photos en un clin d'œil, rappelle Business Insider (article en anglais) ; le second donne accès aux informations partagées par les utilisateurs, dont Google peut se servir à sa guise, analyse The Verge (article en anglais). Les concurrents de Google l'ont bien compris : cette méfiance peut servir de levier pour séduire de nouveaux clients. Ainsi, au mois d'avril, Microsoft a diffusé cette publicité avec pour slogan : "Votre vie privée est notre priorité." 

Un arsenal juridique peu contraignant

Dans son communiqué, la Cnil rappelle que chacun des six pays peut agir et infliger des amendes selon les règles en vigueur sur son territoire. Côté français, l'amende peut s'élever au maximum à 150 000 euros. "Pas suffisant pour impressionner Google", nous explique Florence Chafiol-Chaumont, avocate spécialisée dans les nouvelles technologies chez August & Debouzy. Rien qu'en France, Google enregistre en effet un chiffre d'affaires supérieur à un milliard d'euros.

Plus que la sanction financière, c'est le harcèlement juridique et l'impact pour l'image du groupe qui pourraient jouer. "Tous les pays qui ont lancé des enquêtes ont leurs procédures respectives. Ca va être un enfer à gérer", reprend Florence Chafiol-Chaumont. Selon elle, "la mise en demeure peut aboutir", mais l'objectif de la procédure est surtout "pédagogique. Il s'agit de réveiller les citoyens" afin qu'ils s'arment contre d'éventuels abus.

A long terme, les sanctions financières pourraient toutefois se montrer plus dissuasives. L'Union européenne cherche en effet à adopter un règlement applicable à tous les pays de l'UE, afin de réformer le droit relatif à la vie privée en ligne. Les sanctions communautaires pourraient contraindre dès lors les entreprises à payer des amendes correspondant à 2% du chiffre d'affaires mondial de l'entreprise. Un dispositif qui ne devrait pas être mis en place avant 2014, au mieux.

Des victoires sur d'autres terrains

Si Google était amené à payer une amende à la France, ce ne serait pas la première fois. En 2011, la Cnil a demandé au groupe de payer une pénalité de 100 000 euros à cause de son service Google Street View, qui collectait des données de personnes sans leur demander l'autorisation (visage, plaque d'immatriculation, etc). "En France, c'est la plus grosse amende jamais prononcée contre un des 'Gafa' [Google, Amazon, Facebook, Apple]", précise Florence Chafiol-Chaumont.

Outre-Atlantique, une "class action" lancée par des utilisateurs contre Google et son service Google Buzz a contraint le groupe à payer 8,5 millions de dollars (6,5 millions d'euros), en 2010. Pas d'amende, ici, mais une procédure à l'amiable, notait PCINpact.

Ponctuellement, Google a dû reculer à de nombreuses occasions, sous la pression des autorités : par exemple, quand Google Maps se trompait de frontière entre l'Inde et la Chine (à lire sur le Times of India, en anglais) ou qu'il inscrivait le mot péjoratif de "favela" au Brésil (à lire sur le Daily Telegraph, en anglais). Les menaces de la Cnil trouveront-elles un écho aussi favorable ? Réponse dans trois mois.