Instituée par la loi relative à la protection des données personnelles, la Commission nationale de l’informatique et des libertés (CNIL) ne cesse, depuis sa création, d’exercer son rôle de gendarme du respect de la vie privée des citoyens et de la protection du traitement des données personnelles institué par la loi informatique et libertés du 6 janvier 1978. La récente condamnation de Google, le 17 mars 2011, illustre parfaitement la politique de la formation contentieuse de la CNIL. En effet, la société Google Inc. procède depuis plusieurs années à une collecte massive de données techniques sur les réseaux wifi, dans le but d’offrir des services de géolocalisation, connus sous les appellations Google Maps, Street View et Latitude.
Depuis 2007, des véhicules enregistrant des vues panoramiques des lieux parcourus (les Google Cars) ont fait l’objet de plusieurs contrôles, qui ont permis à la CNIL de constater l’enregistrement non seulement des photographies, mais également de la position des bornes wifi des particuliers, entraînant alors une « aspiration » des données personnelles : courriels, mots de passe, adresses de sites sur lesquels naviguaient les internautes concernés. Cette captation de données, dites de contenu, faite à l’insu des personnes concernées, a conduit la CNIL, courant mai 2010, à mettre en demeure la société Google de régulariser cette situation. Aux vues de la décision de la formation contentieuse de la CNIL prononcée à l’encontre de la société, il semblerait que Google n’ait pas su répondre aux exigences de l’autorité administrative.
L’analyse de cette décision fait état de divergences d’appréciation entre Google et la CNIL.
Un des points de difficulté réside dans la nature même des données collectées (notamment les données SSID [Service set identifier] et MAC [Media access control], combinées à des données de localisation) et par conséquent dans la délimitation du champ d’application de la notion de données personnelles. La CNIL reconnaît que, si le champ d’application des règles de protection des données ne doit pas être étendu de manière excessive, il est en revanche admis, notamment au vu des travaux préparatoires de la directive européenne n° 95/46, que l’identification d’une personne ne passe pas nécessairement par la connaissance d’éléments d’identité avérés (nom, prénom, etc.) mais peut ressortir d’un faisceau d’autres éléments (métier, nationalité, âge, numéro de téléphone, conditions de travail, etc.) et que, dès lors, les identifiants SSID et les adresses MAC combinés avec des données de localisation doivent être considérés comme des données à caractère personnel, soumises, à ce titre, à la protection de la loi informatique et libertés.
En ce qui concerne le manquement au respect de la vie privée, la CNIL estime que l’engagement pris par Google par voie de communiqué n’exclut pas la nécessité de s’assurer par voie contraignante du respect de la loi, action d’autant plus justifiée eu égard à la gravité des faits reprochés. La formation contentieuse considère par conséquent que la collecte litigieuse a été opérée en contradiction avec l’article 1er de la loi du 6 janvier 1978 modifiée, et que des atteintes à la vie privée, au secret des correspondances et à la liberté d’expression ont été commises. Par ailleurs, la collecte des données litigieuse ayant été opérée à l’insu des utilisateurs concernés, la CNIL considère qu’il y a lieu de caractériser le manquement à l’obligation d’effectuer une collecte loyale et licite ; en effet, même si Google s’est engagé à ne plus procéder de la sorte, aucune garantie n’a été apportée concernant l’utilisation de ces données.
La condamnation de Google à une amende de 100 000 € pour atteinte à la vie privée est la plus forte sanction pécuniaire jamais ordonnée par la CNIL, décision justifiée notamment par les avantages économiques dont bénéficie la société Google, tenant au développement tant d’une base de données de géolocalisation performante que d’une position dominante dans le secteur des services de géolocalisation. Google dispose désormais d’un délai de deux mois pour exercer un recours devant le Conseil d’État.
Antoine Cheron
ACBM Avocats
0 Réponse à “La CNIL condamne Google pour atteinte à la vie privée”