El grupo restringido (formation
restreinte)[1] de
la Comisión Nacional de Informática y Libertades, CNIL aplica una multa de €
150.000 contra GOOGLE Inc[2].
08 de enero 2014
El 3 de enero 2014, el grupo de la CNIL impuso una multa de 150.000 euros
contra GOOGLE Inc., por estimar que las normas de confidencialidad aplicadas
por ella desde el 1ero de marzo 2012 no se ajustan a la ley "Informática y
Libertades". Este
grupo ordenó a Google de proceder a la publicación de una declaración sobre esta
decisión en la página principal Google.fr, en el plazo de ocho días desde la
notificación de la decisión.
El 01 de marzo 2012, Google decidió fusionar en una sola política
individual diferentes normas de confidencialidad aplicables a sesenta
servicios, incluyendo Google Search, YouTube, Gmail, Picasa, Google Drive,
Google Docs, Google Maps, etc. Debido a la cantidad de servicios en cuestión,
casi todos los usuarios de Internet franceses se ven afectados por esta
decisión.
El " G29 " grupo de las Comisiones Nacionales de Informática y
Libertades, europeos, llevó a cabo un análisis de esta política de confidencialidad,
llegando a la conclusión de que ésta no era compatible con el marco jurídico
europeo, e hizo varias recomendaciones. No
habiendo Google Inc. efectivizado éstas,
seis autoridades europeas iniciaron en su contra procedimientos represivos,
cada uno en sus ámbitos respectivos.
En este contexto, el 3 de enero de 2014, el grupo restringido CNIL emitió
contra la compañía GOOGLE Inc. una multa de 150.000 euros, alegando que ésta no
cumplió con varias disposiciones de la ley "Informática y Libertades. "
En su decisión, el grupo restringido considera que los datos sobre los
usuarios de los servicios de Google en Francia y tratados por esta empresa constituyen
datos personales. También
señala que, contrariamente a lo que sostiene Google Inc., la ley francesa se aplica a los tratamientos,
para ella, los datos
personales de los usuarios residentes en Francia.
En cuanto al fondo, el grupo restringido no cuestiona la legitimidad del
objetivo de simplificación perseguido por la Compañía al fusionar sus políticas
de privacidad.
Sin embargo, el grupo considera que las condiciones de aplicación de esta
política única son contrarias a las exigencias de la ley:
• La Compañía no informa suficientemente a sus
usuarios sobre las condiciones y el tratamiento de datos personales. Por
lo tanto, ellos no pueden entender, ni las finalidades de la colecta, no estando
estas determinadas como lo exige la ley, ni la magnitud de los datos colectados
a través los diferentes servicios. En consecuencia, ellos no están en
condiciones de ejercer sus derechos, sobre todo de acceso, oposición o eliminación.
• La Compañía no respeta las obligaciones que le
incumben de obtener el consentimiento de sus usuarios antes de instalar “cookies”, rastreadores, en sus dispositivos.
• Ella no establece la duración de conservación
para el conjunto de los datos procesados.
• Ella se autoriza, finalmente, sin ninguna base
legal, a proceder a la combinación de la integralidad de los datos que ella
colecta sobre los usuarios a través del conjunto de sus servicios.
Estas conclusiones son similares a aquellas anteriormente tomadas por las
autoridades holandesas y españolas de protección de datos en noviembre y
diciembre 2013 en virtud de sus respectivas legislaciones nacionales.
La multa aplicada constituye la
cantidad más alta hasta ahora aplicada por el grupo restringido. Ella
se justifica por el número y la gravedad de las deficiencias detectadas.
Además, el grupo restringido ordenó a Google Inc. de proceder a la publicación de un comunicado en relación a la decisión en el sitio https://www.google.fr durante 48 horas, en el plazo de ocho días desde la notificación de la decisión. Esta medida de publicidad se explica por la amplitud de los datos colectados, así como por la necesidad de informar a las personas que no son capaces de ejercer sus propios derechos.
[2] Articulo traducido del enlace
de la CNIL: http://www.cnil.fr/linstitution/actualite/article/article/la-formation-restreinte-de-la-cnil-prononce-une-sanction-pecuniaire-de-150000-EUR-a-lencontre/
La formation
restreinte de la CNIL prononce une sanction pécuniaire de 150 000 € à
l’encontre de la société GOOGLE Inc.
08 janvier
2014
Le 3 janvier
2014, la formation restreinte de la CNIL a prononcé une sanction pécuniaire de
150 000 euros à l’encontre de la société GOOGLE Inc., estimant que les
règles de confidentialité mises en œuvre par celle-ci depuis le 1er mars 2012
ne sont pas conformes à la loi « informatique et libertés ». Elle
enjoint Google de procéder à la publication d’un communiqué relatif à cette
décision sur la page d’accueil de Google.fr, sous huit jours à compter de la
notification de la décision.
Le 1er mars
2012, Google a décidé de fusionner en une seule politique les différentes
règles de confidentialité applicables à une soixantaine de ses services, dont
Google Search, YouTube, Gmail, Picasa, Google Drive, Google Docs, Google Maps,
etc. Du fait du nombre des services en cause, quasiment tous les internautes
français sont concernés par cette décision.
Le
" G29 ", groupe des CNIL européennes, a alors mené une
analyse de cette politique de confidentialité, concluant que celle-ci n'était
pas conforme au cadre juridique européen, et a émis plusieurs recommandations.
La société Google Inc. n'ayant pas donné de suite effective à celles-ci, six
autorités européennes ont engagé à son encontre des procédures répressives,
chacune en ce qui la concerne.
Dans ce
contexte, le 3 janvier 2014, la formation restreinte de la CNIL a prononcé à
l'encontre de la société GOOGLE Inc. une sanction pécuniaire de 150 000
euros, estimant que celle-ci ne respectait pas plusieurs dispositions de la loi
" informatique et libertés ".
Dans sa
décision, la formation restreinte considère que, les données relatives aux
utilisateurs des services de Google en France et traitées par cette société,
sont bien des données à caractère personnel. Elle retient également que,
contrairement à ce que soutient la société Google Inc., la loi française
s'applique aux traitements, par celle-ci, des données personnelles des
internautes résidant en France.
Sur le fond,
la formation restreinte ne conteste pas la légitimité de l'objectif de
simplification poursuivi par la société en fusionnant ses politiques de
confidentialité.
Elle
considère cependant que les conditions de mise en œuvre de cette politique
unique sont contraires aux exigences de la loi :
- La société n'informe pas suffisamment ses utilisateurs des conditions et finalités de traitement de leurs données personnelles. De ce fait, ils ne peuvent comprendre, ni les finalités de la collecte, celles-ci n'étant pas déterminées comme l'exige la loi, ni l'ampleur des données collectées à travers les différents services. Par conséquent, ils ne sont pas mis en mesure d'exercer leurs droits, notamment d'accès, d'opposition ou d'effacement.
- La société ne respecte pas les obligations qui lui incombent d'obtenir le consentement des utilisateurs préalablement au dépôt de cookies sur leurs terminaux.
- Elle ne fixe pas de durées de conservation pour l'ensemble des données qu'elle traite.
- Elle s'autorise enfin, sans base légale, à procéder à la combinaison de l'intégralité des données qu'elle collecte sur les utilisateurs à travers l'ensemble de ses services.
Ces
conclusions sont similaires à celles précédemment retenues par les autorités
néerlandaise et espagnole de protection des données en novembre et décembre
2013, au regard de leur droit national respectif.
La sanction
pécuniaire décidée constitue le montant le plus élevé prononcé jusqu'à présent
par la formation restreinte. Elle se justifie par le nombre et la gravité des
manquements constatés.
Par
ailleurs, la formation restreinte a enjoint Google Inc. de procéder à la
publication d'un communiqué relatif à cette décision sur le site
https://www.google.fr, pendant 48 heures, sous huit jours à compter de la
notification de la décision. Cette mesure de publicité s'explique par l'ampleur
des données collectées ainsi que par la nécessité d'informer les personnes
concernées, qui ne sont pas en mesure d'exercer leurs droits.
