La géolocalisation à des fins publicitaires

2. LES ATTEINTES PAR LES NAVIGATEURS ET SITES INTERNET : L'EXEMPLE DE GOOGLE

95. Le navigateur Google - La société Google est le leader mondial sur le marché, son navigateur, le plus utilisé en Europe^43(*), est installé par défaut sur un bon nombre d'appareils mobiles. Plusieurs millions de personnes sont concernées en France par les traitements de données à caractère personnel effectués par la société Google. Elle est la propriétaire de nombreux services comme Google Search, Youtube, Gmail, Picasa, Google Drive, Google Docs, Google Maps... Pour tous ces services la société a mis en place un seul document intitulé « règles de confidentialité » alors même que le G29 lui avait demandé, le 2 février 2012, de suspendre ce projet de fusion des règles de confidentialités dans l'attente de ses conclusions.

96. L'activité de publicité en ligne de Google - L'activité de publicité en ligne constitue la contrepartie nécessaire à la mise à disposition gratuite par la société de ses services aux utilisateurs et génère la majeure partie de ses revenus. C'est grâce à la quantité considérable de données dont elle dispose que la société peut garantir aux annonceurs des prestations de ciblage publicitaire d'une grande précision et notamment du géo-ciblage.

97. Les données recueillies - La société Google a accès, dans le cas des utilisateurs ayant un compte utilisateur (par exemples comptes Gmail, Google +, Google Play ou Google Docs), à l'ensemble des données contenues dans le compte comme le nom, le prénom, le pseudonyme, la date de naissance, le sexe, le pays et éventuellement l'adresse électronique, le numéro de téléphone, la photo de profil, les numéros de carte de crédit... Elle a également accès à la liste des applications installées sur un terminal Androïd, la boite mail et l'ensemble des messages associés, les photos (service Picasa) et les documents (service Google Docs) détenus par l'utilisateur ainsi que les données de localisation du terminal mobile, les paramètres du terminal et du navigateur, les identifiants uniques comme le numéro IMEI, les visites des sites tiers... C'est dire le nombre considérable d'informations que Google peut avoir en sa possession. Lorsque les utilisateurs n'ont pas de compte mais qu'ils ont recours à un service de Google (Google Maps, Youtube, Google Search...), ils sont alors dit non authentifiés, Google collecte les termes de la recherche, l'adresse IP de l'utilisateur, ses préférences, les informations reçues par les cookies, ainsi que les données de localisation dans les services Youtube et Google Maps. Cela lui permet de créer des profils d'utilisateurs en combinant les données de leur première recherche et des suivantes. Il suffira que l'utilisateur laisse apparaître son identité une seule fois pour que celle-ci soit définitivement associée aux données collectées. Le système va encore plus loin puisque des données sont recueillies même lorsque l'utilisateur n'utilise aucun service Google, il est alors dit passif. En effet, lorsque les utilisateurs naviguent sur des sites sur lesquels la régie publicitaire de Google est présente, la société va collecter leurs adresses IP, les sites sur lesquels ils se trouvent ainsi que les identifiants uniques présents dans les cookies dénommées « Double Click ». Cette collecte a également lieu lorsqu'un utilisateur adresse un courrier électronique à un utilisateur du service Gmail pour permettre à la société d'afficher de la publicité ciblée voire géo-adaptée aux côtés des messages qu'il recevra du correspondant titulaire d'un compte Gmail. Les développeurs de sites Web peuvent également inclure un bouton +1 sur leurs sites pour permettre aux utilisateurs de recommander certains articles ou publications ce qui permet à la société Google de recueillir des informations sur ces sites par le biais de cookies, même lorsque l'utilisateur n'a pas cliqué sur le bouton +1. Ces données permettant directement ou indirectement à l'identification de l'utilisateur sont des données à caractère personnel en vertu de l'interprétation large consacrée par le législateur européen et français. En effet, le fait de pouvoir identifier un appareil mobile permet de cerner le comportement de l'appareil et donc de son utilisateur.

98. L'information insuffisante des utilisateurs - Lors de la consultation des règles de confidentialité Google^44(*),force est de constater que les finalités n'y sont pas explicitement mentionnées, et qu'elles ne sont pas distinguées en fonction des services fournis par Google. L'utilisateur n'est donc pas mis en mesure de prendre conscience des finalités réelles des traitements. C'est ce que relève la CNIL dans sa délibération condamnant Google à une sanction pécuniaire en considérant que « faute de définir des finalités déterminées et explicites pour l'ensemble des traitements qu'elle met en oeuvre au sens de l'article 6-1°), la société ne respecte pas l'obligation qui lui incombe d'informer ses utilisateurs des finalités des traitements opérés sur leurs données » et que « les informations fournies aux utilisateurs de ces services ne sont donc pas diffusées de manière suffisamment claire pour satisfaire aux exigences de l'article 32-I de la loi »^45(*).

99. Les limites au droit de suppression - Google permet un accès simplifié aux données personnelles de la personne concernée (service Google Dashboard) mais dans ses règles de confidentialité est prévu explicitement qu'en cas d'erreur « nous faisons en sorte que vous puissiez les mettre à jour rapidement ou les supprimer, sauf si nous devons les conserver à des fins commerciales légitimes ou si la loi nous l'impose » Cette notion d'exception dans le cas où les données doivent être conservées « à des fins commerciales légitimes » est vague et non encadrée spécifiquement ce qui porte atteinte au droit de modification et de suppression de l'utilisateur.

100. Limites à la durée de conservation - Sur le support de Google^46(*) est stipulé la chose suivante concernant la durée de conservation des données « nous pensons que vous devez rester maître de vos données. Google conserve plusieurs copies de sauvegarde du contenu des comptes utilisateur afin de pouvoir récupérer des données et restaurer des comptes en cas d'erreur ou de défaillance du système. Lorsque vous nous demandez de supprimer des messages et du contenu, nous nous efforçons d'effacer ces informations de nos systèmes dans un délai commercialement raisonnable ». En l'absence de toute autre information il semble légitime de penser que les données sont conservées tant que l'utilisateur n'a pas fait de demande de suppression. Cela contrevient à l'article 6 de la loi n°78-17 qui dispose que les données doivent être conservées pendant une durée qui n'excède par la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées. Aucune durée précise n'étant prévue cela peut porter atteinte à la vie privée. Il en est de même dans les politiques de confidentialité des applications mobiles qui pour la plupart ne disposent d'aucune durée de conservation des données à caractère personnel.

101. Le non-respect des finalités - Les données collectées ne peuvent l'être qu'à des fins spécifiques et légitimes. La question pourrait se poser de savoir si Google ne recueillent que des données qui lui sont nécessaires pour le fonctionnement de ses fonctionnalités, au vue du nombre colossal d'informations recueillies il est légitime de penser que ce n'est pas forcément le cas. Par exemple, il ne semble pas pertinent que la fonctionnalité Youtube puisse recueillir des données de géolocalisation. Tel n'est pas le cas non plus, dans la plupart des applications mobiles qui collectent d'abondantes données sans aucune relation avec les fonctionnalités de l'application^47(*). En plus de cela, les données collectées sont distribuées très largement à des tierces personnes à des fins telles que la « recherche de marché ».

* ⁴³ Etude menée par At Internet en 2013

* ⁴⁴ Politique relative à la protection de la vie privée de Google, applicable en mars 2014

* ⁴⁵ Délibération n°2013-420 de la formation restreinte prononçant une sanction pécuniaire à l'encontre de la société Google Inc. du 3 janvier 2014

* ⁴⁶ Voir support d'aide Google sujet « votre sécurité et votre vie privée », applicable en juin 2014

* ⁴⁷ Article du Wall Street Journal, « Your apps are watching you », 17 décembre 2010