Le Conseil d’Etat a confirmé la sanction de 50 millions d’euros prononcée par la Cnil contre Google pour manque de transparence, information insatisfaisante et absence de consentement valable pour la personnalisation de la publicité. Dans sa décision du 19 juin 2020, le Conseil d’Etat approuve l’analyse juridique de la Cnil ainsi que le montant de la sanction et conclut que « eu égard à la gravité particulière des manquements commis, qui tient à la nature des exigences méconnues et à leurs effets sur les utilisateurs, au caractère continu de ces manquements et à la durée de la période durant laquelle ils ont perduré, aux plafonds prévus par le 4 de l’article 83 du RGPD, et à la situation financière de la société, la sanction pécuniaire de 50 000 000 d’euros prononcée à l’encontre de la société Google ne revêt pas un caractère disproportionné. ».
En mai 2018, la Cnil avait reçu des plaintes collectives de None Of Your Business (NOYB) et de La Quadrature du Net (LQDN) dans lesquelles ces associations reprochaient à Google de ne pas disposer d’une base juridique valable pour traiter les données personnelles des utilisateurs de ses services, notamment à des fins de personnalisation de la publicité. La formation restreinte de la Cnil leur avait donné gain de cause dans une décision du 21 janvier 2019. Google a intenté un recours en annulation de la délibération devant le Conseil d’Etat. Sur les manquements constatés par la Cnil aux obligations d’information et de transparence, Google défendait l’architecture à plusieurs niveaux qu’elle avait adoptée pour informer les utilisateurs « de façon claire et intelligible ». Or, l’instruction par la Cnil avait fait apparaître une grande complexité pour obtenir l’ensemble des informations pertinentes relatives au traitement personnalisé des annonces. Par exemple, la mention de la durée de conservation des données est accessible à partir d’un lien disponible à la 68ème page du document « règles de confidentialité ». « Dans ces conditions, l’arborescence choisie par Google apparaît de nature, par l’éparpillement de l’information qu’elle organise, à nuire à l’accessibilité et à la clarté de celle-ci pour les utilisateurs, alors même que les traitements en cause sont particulièrement intrusifs eu égard au nombre et à la nature des données collectées. Il s’ensuit que c’est à bon droit que la formation restreinte de la CNIL, qui n’a pas, contrairement à ce qui est soutenu, exigé qu’une information exhaustive soit livrée dès le premier niveau d’information, a caractérisé une violation des obligations d’information et de transparence définies par les articles 12 et 13 du RGPD précités. », juge le Conseil d’Etat.
Sur les manquements aux règles du consentement pour les traitements aux fins de personnalisation de la publicité, la même complexité apparaît. Le RGPD impose un consentement libre, spécifique et éclairé. Certes, indique le Conseil d’Etat, l’utilisateur est invité à accepter le paramétrage par défaut de son compte Androïd, mais l’information sur les finalités est générale et diluée au milieu de finalités ne nécessitant pas de consentement. L’information manque donc de clarté et d’accessibilité, et le consentement ne peut donc pas être regardé comme valide. Par ailleurs, le recueil de ce consentement se fait au moyen d’une case précochée. « Dans ces conditions, c’est à bon droit que la formation restreinte de la CNIL a considéré que les modalités du recueil du consentement ne répondent pas aux exigences du RGPD qui requièrent un acte positif clair, sans qu’ait d’incidence sur ce point la circonstance alléguée que ce règlement n’impose pas de recueillir le consentement de manière distincte pour la finalité de ciblage publicitaire. », conclut le Conseil d’Etat.