Google a six mois pour mettre en conformité son traitement des données de localisation en Europe. C’est la partie de la sanction qui peut changer ce que vous voyez dans votre compte. Le montant, lui, s’élève à 403 millions d’euros. La Data Protection Commission (DPC), l’autorité irlandaise de protection des données, l’a annoncé le 21 septembre 2026 contre Google Ireland Limited.
La décision porte sur trois réglages tels qu’ils fonctionnaient entre mai 2018 et février 2020, pas sur ceux d’aujourd’hui. Elle clôt un dossier ouvert par des organisations de consommateurs en novembre 2018, dans sept pays. Ce dossier est arrivé à Dublin par un transfert de responsabilité juridique que Google a lui-même organisé. Le texte intégral de la décision n’est pas encore publié : l’étendue exacte de ce que Google doit corriger reste à lire.
Trois réglages de compte enregistraient la position sans que l’utilisateur le mesure
Couper la localisation n’a jamais été un geste unique chez Google. L’enquête de la DPC vise trois fonctions distinctes, et chacune capte la position par un chemin différent :
- l’Activité sur le Web et les applications (Web & App Activity) enregistre ce que vous faites, recherches et usage des applications, avec la position du moment ;
- l’Historique des positions (Location History), devenu depuis Vos trajets, trace les déplacements du téléphone ;
- la Précision de la localisation (Location Accuracy) est une fonction du système Android : elle améliore la géolocalisation de l’appareil, indépendamment du compte Google.
Désactiver l’une ne coupe pas les autres. C’est le cœur du grief de transparence. Un utilisateur qui éteignait l’Historique des positions pouvait croire avoir tout arrêté, alors que son activité restait enregistrée avec sa position.
Les réglages par défaut creusaient l’écart. Le Conseil norvégien des consommateurs (Forbrukerrådet) les a décrits dans son rapport « Every Step You Take », publié le 27 novembre 2018. L’Activité sur le Web et les applications y apparaît activée par défaut à la création du compte, et sa désactivation cachée derrière des clics supplémentaires. L’Historique des positions était désactivé par défaut, mais l’utilisateur était relancé à plusieurs reprises pour l’activer.
Le même rapport décrivait deux autres leviers. Le paramétrage d’un téléphone Android orientait vers l’activation du suivi. Certaines fonctions, comme Google Assistant, étaient conditionnées à ce suivi. C’est la description des plaignants : la DPC n’a pas publié le détail de ses propres constats, faute de texte intégral.
Sept plaintes nationales en 2018, un seul dossier à Dublin
Les plaintes ont été déposées dans sept pays, mais un seul régulateur a décidé. Le 27 novembre 2018, sept organisations de consommateurs ont saisi leur autorité nationale de protection des données :
- Norvège, Pays-Bas, Grèce, République tchèque ;
- Slovénie, Pologne, Suède.
L’organisation danoise a signalé les pratiques séparément. Le Bureau européen des unions de consommateurs (BEUC) tient depuis la chronologie du dossier.
Entre le dépôt des plaintes et l’enquête, un maillon a déplacé le dossier. Le 12 décembre 2018, Google a annoncé qu’à compter du 22 janvier 2019, Google Ireland Limited deviendrait le responsable de traitement pour les utilisateurs de l’Espace économique européen (EEE) et de la Suisse. Le changement couvre Search, Gmail, Maps ou YouTube. Google le présentait comme destiné à passer par le « guichet unique » du RGPD, sans effet sur le fonctionnement de ses produits.
Le guichet unique est une règle de compétence. Il est fixé par l’article 56, paragraphe 1, du règlement général sur la protection des données (RGPD, règlement (UE) 2016/679). L’autorité du pays où l’entreprise a son établissement principal devient « chef de file » pour les traitements transfrontaliers. Les autorités saisies en 2018 ne disparaissent pas : elles deviennent des autorités « concernées », consultées sur le projet de décision.
Pour un utilisateur européen, la conséquence est directe. Depuis janvier 2019, le responsable de traitement de son compte Google est une société irlandaise. C’est donc l’autorité irlandaise qui instruit et qui signe.
La veille du transfert vers l’Irlande, la CNIL sanctionnait encore seule
Le calendrier explique pourquoi un autre dossier contre Google a pu se juger en France. Le 21 janvier 2019, la veille du transfert, la Commission nationale de l’informatique et des libertés (CNIL) sanctionnait Google LLC de 50 millions d’euros. Saisi d’un recours contre cette sanction, le Conseil d’État a jugé le 19 juin 2020 que la CNIL était compétente (décision n° 430810).
Son motif tient à l’organisation de l’entreprise. À la date de la sanction, la filiale irlandaise n’avait aucun pouvoir de contrôle sur les traitements : Google LLC le détenait seule. Sans établissement principal, pas de chef de file, et le guichet unique ne s’appliquait pas.
Le guichet unique n’est donc pas un choix des autorités. Il découle de la manière dont l’entreprise répartit le pouvoir de décision, et ce déplacement ne vaut que pour l’avenir. Le lieu de la décision se lit dans l’organigramme de Google, pas dans une préférence des régulateurs.
Une enquête d’office qui fige la période au 4 février 2020
La DPC a jugé une photographie de 2018-2020, pas vos réglages actuels. La période examinée court du 25 mai 2018, date d’entrée en application du RGPD, au 4 février 2020. Elle couvre une vingtaine de mois.
Ce terme n’a rien d’arbitraire. La DPC a ouvert son enquête en février 2020, le 4 février selon la chronologie tenue par le BEUC. La période examinée s’arrête donc au jour où l’enquête commence. Les changements ultérieurs de Google ne font pas partie des faits jugés.
Le communiqué qualifie la procédure d’enquête d’office (own-volition inquiry). Les plaintes des organisations de consommateurs, dont le BEUC, ont attiré l’attention de l’autorité. L’ouverture de l’enquête, elle, relève de l’initiative de la DPC.
La conséquence pratique se lit en deux temps. La décision ne dit pas que les réglages actuels de Google sont illégaux. Elle dit que les traitements de 2018-2020 méconnaissaient le RGPD. L’injonction de mise en conformité dira ce qui reste à corriger aujourd’hui. Son contenu exact n’est pas public.
Six ans d’instruction partagés entre autorités européennes
Plus de sept ans séparent les plaintes de la sanction. Plus de six ans séparent l’ouverture de l’enquête de la décision. La procédure du guichet unique donne à cette durée une structure lisible, sans en livrer la cause exacte dans ce dossier.
Une seule autorité instruit pour les 30 pays de l’EEE. Elle ne décide pas seule pour autant. L’article 60 du RGPD l’oblige à soumettre un projet de décision aux autorités concernées. Celles-ci disposent de quatre semaines pour formuler une objection pertinente et motivée. Un désaccord persistant se tranche par le mécanisme de cohérence des articles 63 et 65, devant le Comité européen de la protection des données.
Dans ce dossier, le communiqué de la DPC remercie les autorités homologues pour leur coopération. Il ne mentionne ni objection ni saisine du Comité. La décision a été prise par trois membres de la DPC : Des Hogan, Dale Sunderland et Niamh Sweeney.
Le plaignant juge ce délai trop long. D’après ses propos rapportés par le site spécialisé PPC Land, le BEUC salue la décision mais estime la durée de la procédure disproportionnée au regard de la gravité des faits. Google, lui, met en avant l’ancienneté des règles visées, depuis mises à jour.
Quatre principes du RGPD enfreints, dont la transparence sur les trois réglages
Le reproche central se dit sans vocabulaire juridique. Un utilisateur pouvait ignorer que sa position servait à cibler des publicités ou à déduire ses centres d’intérêt. Chaque manquement retenu par la DPC renvoie à un principe de l’article 5 du RGPD :
- licéité et loyauté, pour l’Activité sur le Web et les applications et l’Historique des positions : le traitement doit reposer sur une base juridique valable, comme le consentement, et rester loyal envers la personne ;
- transparence, pour les trois fonctions : l’utilisateur doit être informé de ce qui est collecté et pourquoi ;
- limitation de la conservation, pour l’Activité sur le Web et les applications et l’Historique des positions : les données ne se gardent pas plus longtemps que nécessaire ;
- responsabilité (accountability), pour la Précision de la localisation : l’entreprise doit pouvoir démontrer que son traitement est licite, loyal et transparent, ce que Google n’a pas su faire selon la DPC.
La répartition dessine la logique du dossier. Les deux réglages du compte cumulent trois manquements, dont la base juridique elle-même. Le réglage Android, qui fonctionne hors compte, n’est pas sanctionné pour défaut de base juridique. Pour ce réglage, la DPC reproche à Google le manque d’information de l’utilisateur. Elle lui reproche aussi de ne pas pouvoir démontrer que ce traitement était licite, loyal et transparent.
| Réglage | Ce qu’il capte | État par défaut selon les plaignants | Manquements retenus |
|---|---|---|---|
| Activité sur le Web et les applications | Recherches et usage des applications, avec la position du moment | Activé à la création du compte | Licéité et loyauté, transparence, conservation |
| Historique des positions (aujourd’hui Vos trajets) | Déplacements du téléphone | Désactivé, avec des relances répétées pour l’activer | Licéité et loyauté, transparence, conservation |
| Précision de la localisation (Android) | Géolocalisation de l’appareil, hors compte Google | Non détaillé dans les sources publiques | Responsabilité (licéité, loyauté et transparence non démontrées), transparence |
La ventilation des 403 millions d’euros par manquement n’est pas publique. Le communiqué annonce des amendes administratives d’un total de 403 millions, sans ventilation. Le texte intégral de la décision, qui pourrait la donner, n’est pas encore paru.
403 millions d’euros, quatrième amende irlandaise et 0,1 % des recettes d’Alphabet
Le montant se lit à deux échelles, et aucune ne suffit seule. Pour l’autorité irlandaise, 403 millions d’euros est la quatrième amende prononcée depuis 2018. L’agence Associated Press la convertit à environ 463 millions de dollars. Trois sanctions de la DPC la dépassent : Meta (1,2 milliard d’euros, en 2023), TikTok (530 millions) et Instagram (405 millions). Ce n’est donc pas un record du RGPD.
Pour Alphabet, maison mère de Google, le montant pèse peu. Alphabet a déclaré 403 milliards de dollars de chiffre d’affaires consolidé en 2025. Les 463 millions de dollars en représentent environ 0,11 %. Cela correspond à une dizaine d’heures de recettes, à raison d’environ 1,1 milliard de dollars par jour.
Le plafond légal donne une troisième mesure. L’article 83, paragraphe 5, du RGPD fixe le maximum à 20 millions d’euros ou à 4 % du chiffre d’affaires annuel mondial, le plus élevé des deux. Appliqués au chiffre d’affaires d’Alphabet, 4 % représenteraient environ 16 milliards de dollars : l’amende en atteint à peu près un trente-cinquième. Ce calcul est un ordre de grandeur, pas la méthode de la DPC, qui n’a pas publié la sienne.
La portée pratique de la décision tient moins au montant qu’à l’injonction qui l’accompagne.
L’injonction de mise en conformité à six mois porte l’effet concret
C’est l’injonction, et non l’amende, qui peut modifier ce que voit un utilisateur européen. Sur le fondement de l’article 58, paragraphe 2, point d), du RGPD, la DPC ordonne à Google de mettre ses traitements en conformité dans un délai de six mois.
Deux inconnues bornent cet effet. Le communiqué ne fixe ni la date de la décision elle-même ni le point de départ du délai : l’échéance ne peut pas être fixée au jour près. Le texte intégral n’est pas publié. La DPC annonce qu’elle le diffusera ultérieurement, sans fixer de date : c’est lui qui dira précisément ce qui est exigé.
Google répond que le dossier porte sur des règles anciennes, depuis mises à jour. Son porte-parole l’a résumé ainsi : « Depuis 2019, nous avons considérablement fait évoluer nos pratiques et lancé des outils robustes qui rendent la gestion des données de localisation simple. » L’entreprise cite la suppression automatique des données, le stockage sur l’appareil de Vos trajets et des outils de gestion de la personnalisation publicitaire.
Un recours de Google est évoqué par la presse irlandaise, sans déclaration de Google à l’appui. Selon RTÉ, Google fera appel sur des points de droit qui dépassent ce dossier ; selon The Irish Times, Google pourrait faire appel de certains éléments de la décision. Aucun recours n’est présenté comme déposé à ce stade. S’il l’est, c’est la justice irlandaise qui en discutera la portée.
La sanction ne répare rien individuellement. Une amende administrative est encaissée par l’État irlandais, pas versée aux utilisateurs. Le communiqué n’annonce aucune indemnisation ; cette absence découle de la nature de la sanction, la DPC ne l’écrit pas elle-même. Les droits individuels du RGPD suivent d’autres voies, comme un recours fondé sur le RGPD ou vos droits en cas de fuite de données.
Le dossier Google n’est pas clos pour autant à Dublin. Selon l’agence Associated Press, seule à le rapporter, trois autres enquêtes de la DPC visant Google sont en cours.
Vos trajets, activité Web, précision Android : trois réglages à relire, dont un hors du compte
Vous pouvez vérifier vous-même ce que votre compte enregistre, sans attendre l’échéance de l’injonction. Les trois réglages visés par la DPC existent toujours, sous des noms parfois nouveaux :
- Vos trajets : son état, l’endroit où ses données sont stockées et leur durée de suppression automatique ;
- l’Activité sur le Web et les applications : elle peut conserver des positions même quand Vos trajets est coupé ;
- la Précision de la localisation, sur un téléphone Android : elle relève du système, pas du compte Google.
Vos trajets est désormais stocké sur le téléphone, l’activité Web peut encore garder des positions
Vos trajets (Timeline) a remplacé l’Historique des positions. Selon l’aide de Google, ses données sont stockées principalement sur l’appareil, avec une sauvegarde chiffrée facultative. Le réglage se trouve à l’adresse myaccount.google.com/activitycontrols/location.
Éteindre Vos trajets ne suffit pas. Si l’Activité sur le Web et les applications reste activée, le compte peut encore enregistrer des données de localisation, même quand Vos trajets est désactivé ou supprimé. La distinction entre les deux réglages, au cœur du dossier de 2018-2020, existe donc toujours. La décision ne dit pas si elle reste aujourd’hui contraire au RGPD.
La durée de conservation se règle elle aussi. L’aide de Google Maps propose de supprimer automatiquement les données de Vos trajets au-delà de 3, 18 ou 36 mois. Ce sont les outils que Google invoque pour dire que ses pratiques ont changé. Tant que la décision complète n’est pas publiée, ces trois réglages restent la seule partie du dossier que vous pouvez contrôler vous-même.
Questions fréquentes
La décision concerne-t-elle les utilisateurs français de Google ?
La décision vise Google Ireland Limited, responsable de traitement pour les utilisateurs de l’Espace économique européen et de la Suisse depuis le 22 janvier 2019. Un compte Google ouvert en France relève de ce responsable. L’amende sanctionne des pratiques de la période 2018-2020 ; l’injonction de mise en conformité porte sur les traitements de Google Ireland Limited.
Les utilisateurs vont-ils être indemnisés ?
Rien dans le communiqué de la DPC n’annonce d’indemnisation. Une amende administrative est encaissée par l’État irlandais, pas versée aux personnes concernées. Cette lecture découle de la nature de la sanction : la DPC ne l’écrit pas elle-même.
Pourquoi l’Irlande décide-t-elle, et pas la CNIL ?
Depuis le 22 janvier 2019, le responsable de traitement des utilisateurs européens de Google est sa filiale irlandaise. L’article 56 du RGPD désigne alors l’autorité irlandaise comme chef de file. La CNIL avait pu sanctionner seule Google LLC le 21 janvier 2019, parce que ce transfert n’était pas encore fait.
Que doit changer Google, et avant quelle date ?
Google doit mettre ses traitements en conformité dans un délai de six mois. Le communiqué ne fixe ni la date de la décision elle-même ni le point de départ du délai, et le texte intégral n’est pas publié. L’échéance exacte et le contenu précis de l’injonction restent donc à lire dans ce texte.
Comment vérifier ce que mon compte Google enregistre de mes déplacements ?
Le réglage Vos trajets se trouve à l’adresse myaccount.google.com/activitycontrols/location, avec une suppression automatique possible au-delà de 3, 18 ou 36 mois. Le désactiver ne suffit pas : si l’Activité sur le Web et les applications reste activée, le compte peut encore enregistrer des positions. Sur Android, la Précision de la localisation se règle dans le système, hors du compte.
