Article du 18/02/2013. Depuis l'an passé, les CNIL européennes s'intéressent de très près aux nouvelles règles de confidentialité unifiées de Google. En octobre dernier, les autorités administratives européennes souhaitaient d'ailleurs que Google modifie sa politique de vie privée, lui donnant quatre mois pour se conformer à leurs directives. Or Google n'a pas bougé le moindre petit doigt ces quatre derniers mois. Une inaction qui pourrait mener à une « action répressive » de la part des CNIL européennes d'ici l'été prochain.

Des règles simplifiées pour Google, compliquées pour les CNIL

En janvier 2012, Google a fait couler beaucoup d'encre en annonçant la simplification de ses règles de confidentialité. Les avantages étaient nombreux. Tout d'abord, ces règles étaient plus courtes et rédigées d'une manière plus claire. En somme, plus simple à lire et donc plus rapide. Mais surtout, les règles de tous ses services ont été unifiées. Un moyen pour Google de relier tous les utilisateurs de ses services, de Gmail à Google+, en passant par YouTube. De quoi mieux cibler ses visiteurs et ainsi accroître ses revenus.

Mais pour la Commission nationale de l'informatique et des libertés (CNIL) et ses équivalents européens (le G29), ces règles sont problématiques. Fin février 2012, le G29 ne cachait pas ses inquiétudes : « cette évolution ne doit pas se faire au prix d’une information moins transparente et moins complète. (...) La fusion des règles de confidentialité des services de Google rend impossible la compréhension des données personnelles collectées, des finalités, des destinataires et des droits d’accès pertinents pour chaque service. »

Pour le G29, les nouvelles règles de confidentialité unifiées de Google ne respectaient donc pas les exigences de la Directive européenne sur la protection des données (95/46/CE) en matière d’information des personnes concernées. Des critiques rapidement balayées du revers de la main par Google, qui annonça qu'il comptait bien ne rien changer à ses règles : « Nous sommes convaincus que nous avons trouvé un juste équilibre avec les recommandations du groupe Article 29 : “rationaliser et simplifier” nos politiques tout en fournissant “une information complète” aux utilisateurs. Nous avons à cœur d’offrir à nos utilisateurs une expérience optimisée avec les services de Google et de rendre nos engagements en matière de confidentialité faciles à comprendre. »

Des questions, des réponses...

Le mois suivant, en mars 2012 donc, la CNIL adresse pas moins de 69 questions à Google sur ses règles de confidentialité. Des questions qui avaient pour but de « clarifier les implications de ces nouvelles règles pour les utilisateurs des services Google, qu’ils soient titulaires d’un compte Google, utilisateurs non authentifiés ou utilisateurs passifs des services de Google sur d’autres sites (publicité, mesure d’audience, etc.) ».

Suite à ces multiples questions, Google avait répondu le 5 avril à 24 questions, avant de compléter ce questionnaire trois semaines plus tard. Ces réponses n'ont toutefois pas convaincu la CNIL. Nous arrivons ainsi au 16 octobre 2012, mois où la Commission livra ses conclusions communes avec ses consœurs européennes. Pointant un manque flagrant de transparence et estimant que cette nouvelle politique est désormais incompréhensible, les autorités européennes ont ainsi demandé à Google « d'offrir aux utilisateurs un meilleur contrôle de la combinaison de données entre les nombreux services qu'elle propose. Enfin, elles souhaitent que Google modifie les outils utilisés afin d'éviter une collecte excessive de données. »

Quand Google fait le mort

Quatre mois plus tard, Google n'a pas levé un sourcil. « À l'expiration du délai de 4 mois accordé à Google pour se mettre en conformité et s'engager sur la mise en œuvre de ces recommandations, aucune réponse n'a été apportée par la société » explique ainsi la CNIL sur son site internet.

Le G29, faute de réponse de Google, précise qu'il ne compte pas en rester là et que son enquête continuera. Un groupe de travail spécial, piloté par la CNIL, devrait notamment être mis en place afin de coordonner une « action répressive, laquelle devrait intervenir avant l'été ». Une réunion aura lieu mardi prochain afin de valider ou non ce plan d'action.