36 heures. C'est le temps qu'il faut à Alphabet pour dégager en bénéfice net les 403 millions d'euros d'amende infligés par la Commission irlandaise de protection des données (DPC). Le montant impressionne dans les communiqués, mais à l'échelle de Mountain View, cette sanction ressemble surtout à une ligne de frais de fonctionnement déjà budgétée. L'autorité irlandaise, régulièrement critiquée pour sa lenteur envers les multinationales installées à Dublin, aura mis six ans pour trancher l'évidence : Google a délibérément trompé les utilisateurs sur la collecte et l'exploitation de leurs données de déplacement.

Il n'y a pas d'erreur technique ni de ligne ambiguë oubliée dans un contrat d'utilisation. Le dossier montre un contournement délibéré des choix de l'utilisateur, pensé directement dans l'interface d'Android et les applications maison.

Le leurre du double interrupteur : anatomie d'une tromperie ergonomique

Pour comprendre cette amende de 403 millions d'euros, il faut revenir à 2018 et à une enquête de l'agence Associated Press sur les paramètres de compte Google. À l'époque, les utilisateurs d'Android pensaient avoir la main. Dans les réglages, une option sobrement nommée « Historique des positions » permettait de couper l'enregistrement des trajets. L'interface affichait alors un message rassurant : Google n'enregistre plus les lieux visités.

Dans les faits, rien ne s'arrêtait.

Une seconde option, activée par défaut sous le libellé « Activité sur le Web et les applications », continuait de collecter les coordonnées géographiques. Ouvrir Maps pour chercher une adresse, taper une requête météo ou laisser une synchronisation tourner en tâche de fond suffisait à enregistrer la position exacte de l'appareil. Pour bloquer le suivi, il fallait aller chercher ce second interrupteur dans des menus secondaires, alors que son nom n'évoquait jamais la localisation physique. Ce procédé, cas d'école de conception trompeuse (dark pattern), a permis au groupe de collecter des milliards de positions en ignorant le RGPD.

Les coulisses d'une instruction irlandaise longue de six ans

La DPC a retenu plusieurs infractions au règlement européen entré en vigueur en mai 2018 : le manque de loyauté et de transparence (article 5-1-a), l'absence de base légale valide pour traiter ces données (article 6), et le non-respect de la protection des données dès la conception et par défaut (article 25).

Les enquêteurs ont décortiqué le premier démarrage d'un smartphone Android neuf. Durant cette configuration, les écrans présentés par Google incitent à tout valider au nom d'une « expérience personnalisée ». L'entreprise soutenait que la géolocalisation relevait de son intérêt légitime pour améliorer les résultats locaux. La DPC a écarté l'argument : enregistrer les coordonnées GPS en continu n'a rien d'un réglage anodin. Cet historique dit où l'on vit, où l'on travaille, mais aussi quels lieux de culte, cabinets médicaux ou rassemblements politiques on fréquente.

L'instruction a duré six ans, montrant une fois de plus les lenteurs du guichet unique européen. Pendant que Dublin échangeait des mémoires avec les avocats de Google, le groupe continuait d'affiner son ciblage publicitaire sur la base de données recueillies sans accord valide.

Cette vidéo nécessite l'acceptation des cookies réseaux sociaux

Accepter les cookiesGérer mes préférences

What is Google Ads? How Google AdWords Works in 5 Minutes

Fused Location Provider : quand Android quadrille votre environnement

Pour mesurer l'importance de ces données pour Google, il faut dépasser le simple capteur GPS. Sur un smartphone, la puce satellite n'est qu'un élément parmi d'autres au sein du Fused Location Provider (FLP), une brique logicielle des Google Play Services.

Le FLP n'attend pas qu'un signal GPS s'active en extérieur. Il croise en direct plusieurs sources :

• Les adresses MAC des box Wi-Fi environnantes, scannées en continu par les téléphones dans la rue, même avec le Wi-Fi désactivé dans les réglages rapides.
• Les antennes relais de téléphonie mobile.
• Les balises Bluetooth basse consommation installées dans les gares et les centres commerciaux.
• Les capteurs du téléphone (accéléromètre, baromètre, gyroscope) pour savoir si l'utilisateur marche, conduit, prend le métro ou monte un étage.

L'objectif commercial est direct. Pour rentabiliser sa régie, Google ne vend pas seulement des bannières : il vend la visite en magasin (Store Visit Tracking). L'entreprise promet aux enseignes de prouver qu'un internaute ayant vu une annonce en ligne s'est rendu dans leur point de vente deux jours plus tard. Pour fournir cette mesure, le suivi des déplacements doit tourner sans interruption.

403 millions d'euros : une sanction historique mais indolore ?

Regardons les ordres de grandeur. En 2023, Alphabet a réalisé 307,4 milliards de dollars de chiffre d'affaires (environ 285 milliards d'euros) et dégagé 73,8 milliards de dollars de bénéfice net. L'amende de 403 millions d'euros représente environ 0,14 % de ses revenus annuels.

Le tableau ci-dessous récapitule les principales sanctions infligées à Google en Europe ces dernières années :

Le RGPD prévoit des sanctions pouvant monter jusqu'à 4 % du chiffre d'affaires mondial de l'entreprise. Appliqué à Alphabet, ce plafond dépassait les 12 milliards d'euros. En retenant 403 millions, la DPC reste très en deçà de ce seuil, ce que dénoncent des associations comme noyb, cofondée par le juriste Max Schrems.

Le calcul financier est vite fait. Quand une pratique contestée nourrit une régie publicitaire pendant des années et se solde par un versement de 400 millions d'euros, sans reversement des gains générés, le risque reste rentable. L'amende devient un coût d'exploitation parmi d'autres.

La synchronisation des fronts judiciaires : l'Europe et les États-Unis au diapason

Cette décision irlandaise rejoint d'autres condamnations sur les mêmes pratiques aux États-Unis, où Google a multiplié les accords financiers pour clore les dossiers de géolocalisation trompeuse :

• En octobre 2022, 85 millions de dollars versés pour clore les poursuites de l'État de l'Arizona.
• En novembre 2022, 391,5 millions de dollars réglés dans le cadre d'un accord avec 40 États américains, avec l'engagement de clarifier ses paramètres à partir de 2023.
• D'autres actions engagées par le Texas, l'Indiana ou la ville de Washington pour des motifs similaires.

Les pièces produites lors de ces procès ont montré les alertes internes des ingénieurs de Google, qui soulignaient eux-mêmes le manque de clarté des options proposées aux utilisateurs. En interne, des responsables admettaient que fusionner ces réglages risquait de faire chuter la collecte de données, et donc les revenus du réseau Google Ads.

Les limites structurelles de la réponse réglementaire

Reste à voir l'effet concret de la décision de la DPC. Sur le terrain juridique, Google peut contester la décision devant les tribunaux irlandais, puis devant la Cour de justice de l'Union européenne (CJUE). Ces procédures prennent généralement plusieurs années avant tout règlement effectif.

Côté interface, Google a déjà ajusté certains écrans. Android demande désormais plus explicitement si l'accès à la position doit se faire « uniquement lorsque l'application est en cours d'utilisation » ou « tout le temps ». La purge automatique des données d'activité après 18 mois est aussi devenue la règle par défaut pour les comptes récents.

Ces ajustements ne changent pourtant pas la logique de départ : Android est développé par une régie publicitaire. Contrairement à des fabricants dont les revenus reposent sur la vente d'appareils ou d'abonnements, le modèle de Google dépend de la collecte de données comportementales.

Pour les régulateurs européens, les amendes décidées des années après les faits montrent leurs limites. La réponse se déplace plutôt vers des règles appliquées d'office, comme le Règlement sur les marchés numériques (DMA) et le Règlement sur les services numériques (DSA). Ces textes cherchent à empêcher le croisement systématique des données entre plusieurs services sans accord explicite. Sans contrainte directe sur le fonctionnement de ces plateformes ou sur la séparation de leurs activités, ce type d'amende restera pour les géants de la tech une dépense prévisible et sans conséquence réelle sur leur activité.