La Commission irlandaise de protection des données (DPC) vient d’infliger à Google une amende de 403 millions d’euros pour la façon dont le géant américain a traité les données de localisation de millions d’utilisateurs européens entre 2018 et 2020. La décision, adoptée le 21 septembre 2026 et rendue publique deux jours plus tard par le Comité européen de la protection des données (EDPB), vise trois fonctionnalités au cœur du moteur publicitaire de Google : Web & App Activity, Location History et Location Accuracy. Six ans après le dépôt des premières plaintes, le dossier devient la quatrième plus grosse sanction RGPD jamais prononcée par le régulateur irlandais, chef de file de Google dans l’Union européenne.
L’affaire tombe à un moment charnière : l’EDPB vient d’adopter une méthodologie harmonisée pour calculer les amendes RGPD entre les 27 pays membres, et la CNIL française a elle aussi frappé début septembre avec une sanction distincte contre un établissement de santé. Ce texte revient sur les faits, les chiffres, les réactions et ce que cette décision change concrètement pour les entreprises qui collectent des données de localisation en Europe.
403 millions d’euros : une amende qui frappe le cœur du modèle publicitaire de Google
Le montant de 403 millions d’euros équivaut à environ 463 millions de dollars au taux de change de fin septembre 2026, selon le cabinet américain GigaLaw. Ce n’est pas la plus lourde sanction jamais infligée à un géant du numérique par la DPC irlandaise, mais elle frappe un point sensible : les données de localisation, matière première de la publicité ciblée et des recommandations géographiques sur Maps, Search et Android.
La DPC a jugé que Google n’avait pas informé ses utilisateurs de manière claire sur l’usage fait de leur position géographique, ni obtenu un consentement suffisamment éclairé pour ces traitements. Le régulateur souligne que la localisation, seule ou combinée à d’autres signaux, permet de déduire des informations très précises sur la vie privée d’une personne : son domicile, son lieu de travail, ses trajets quotidiens, voire ses habitudes religieuses ou médicales.
Six ans d’enquête : la chronologie d’un dossier hors norme
L’enquête n’est pas née d’un contrôle spontané. Elle fait suite à des plaintes déposées par plusieurs associations européennes de défense des consommateurs, dont le Bureau européen des unions de consommateurs (BEUC), qui accusaient Google de rendre la désactivation du suivi de localisation délibérément complexe. La DPC a ouvert formellement son instruction en février 2020, pour examiner des pratiques remontant au 25 mai 2018, date d’entrée en application du RGPD.
Entre l’ouverture du dossier et la décision finale, six années se sont écoulées. Ce délai illustre une critique récurrente adressée à la procédure dite du “guichet unique” (one-stop-shop), qui oblige les autorités des autres États membres concernés à valider la position du régulateur chef de file avant toute publication. Dans ce cas précis, la DPC a dû coordonner sa position avec les autorités de contrôle concernées de plusieurs autres pays européens avant de pouvoir clore le dossier.
Web & App Activity, Location History, Location Accuracy : les trois rouages visés
La décision cible précisément trois paramètres du compte Google. Web & App Activity enregistre l’historique de navigation et d’utilisation des applications, souvent couplé à la position de l’appareil. Location History conserve un journal détaillé des déplacements, utilisé entre autres pour la fonction Timeline de Google Maps. Location Accuracy, enfin, combine GPS, Wi-Fi et données cellulaires pour affiner la précision du positionnement, y compris quand d’autres réglages de confidentialité sont activés.
Le problème, selon la DPC, ne vient pas de l’existence de ces fonctionnalités mais de la manière dont elles étaient présentées. Les utilisateurs pouvaient croire avoir limité le suivi de leur position en désactivant un seul réglage, alors que d’autres continuaient à collecter des signaux de localisation en arrière-plan. Cette architecture en silos rendait difficile une compréhension globale de ce qui était réellement collecté.
Quatre articles du RGPD enfreints, une transparence jugée défaillante
La décision retient des manquements aux articles 5, 6, 12 et 13 du RGPD. L’article 5 pose les principes généraux de licéité, de loyauté et de transparence des traitements. L’article 6 encadre les bases légales qui autorisent une entreprise à traiter des données personnelles. Les articles 12 et 13 imposent, eux, de fournir une information claire, accessible et compréhensible au moment de la collecte.
En clair, la DPC ne conteste pas seulement le contenu des politiques de confidentialité de Google, mais leur forme. Une information technique exacte, mais noyée dans des dizaines de pages de jargon juridique, ne satisfait pas aux exigences de transparence du RGPD. Google doit désormais revoir ses traitements dans un délai de six mois, soit d’ici la fin mars 2027 environ, sous peine de nouvelles sanctions en cas de manquement persistant.
Ce que dit la Deputy Commissioner Graham Doyle
Graham Doyle, Deputy Commissioner de la DPC irlandaise, a personnellement détaillé le raisonnement du régulateur. Il a expliqué que la donnée de localisation est une catégorie de donnée personnelle traitée par suivi géographique, et qu’elle inclut toute information collectée ou traitée par Google permettant, seule ou croisée avec d’autres éléments, de déduire la position d’un individu : “Location data is a type of personal data which is processed by way of location tracking, and includes data collected or processed by Google, which, by itself or in conjunction with other information, an individual’s location can be inferred”, a-t-il déclaré dans une interview accordée à l’Irish Times.
Sur l’impact concret pour les utilisateurs, Graham Doyle a été direct, dans des propos relayés par le Journal.ie : “As a result of Google’s failures in this regard, individuals could have been unaware that their location was being used to, for example, influence them with ads or to infer their interests, and could lose control over their personal data.” Il a enfin rappelé le cadre général qui sous-tend toute la procédure : “The GDPR provides a high level of protection of personal data throughout the EEA, and requires that the processing of personal data must be carried out in a lawful, fair and transparent manner.”
La défense de Google et la position des associations de consommateurs
Du côté de Google, la ligne de défense s’appuie sur le temps écoulé. L’entreprise fait valoir que les pratiques visées par la décision relèvent de politiques historiques, abandonnées depuis plusieurs années au profit d’options de suppression des données simplifiées et de contrôles de confidentialité plus lisibles. Le groupe américain n’a pas encore indiqué s’il compte faire appel de la décision devant les juridictions irlandaises ou européennes, une option fréquemment utilisée par les grandes plateformes pour retarder le paiement effectif des amendes RGPD.
Les associations de consommateurs à l’origine du signalement, dont le BEUC, estiment pour leur part que le délai de six ans entre la plainte et la sanction illustre les limites du mécanisme de coopération européen. Pour elles, une application tardive du RGPD protège moins bien les utilisateurs qu’une surveillance continue et réactive des pratiques des grandes plateformes.
Le classement des plus lourdes amendes RGPD prononcées par la DPC irlandaise
Avec 403 millions d’euros, Google entre dans le top 4 des sanctions RGPD jamais prononcées par le régulateur irlandais, qui reste le chef de file européen pour la quasi-totalité des géants américains de la tech installés à Dublin. Le classement reste dominé par Meta, sanctionné à hauteur de 1,2 milliard d’euros en 2023 pour ses transferts de données personnelles vers les États-Unis, suivi par TikTok et par Instagram.
| Rang | Entreprise | Montant de l’amende | Motif principal |
|---|---|---|---|
| 1 | Meta | 1,2 milliard € | Transferts de données personnelles vers les États-Unis (2023) |
| 2 | TikTok | 530 millions € | Traitement et transfert des données des utilisateurs |
| 3 | Instagram (Meta) | 405 millions € | Traitement des données des utilisateurs |
| 4 | 403 millions € | Traitement non transparent des données de localisation (2026) |
Ce classement confirme une tendance de fond : la plupart des plus grosses sanctions RGPD en Europe visent un petit groupe de plateformes américaines, toutes régulées depuis l’Irlande en raison de leur siège européen à Dublin. Chaque nouvelle décision renforce la jurisprudence sur laquelle s’appuient les autres autorités de contrôle du continent.
Une méthodologie harmonisée : l’EDPB resserre les boulons du calcul des amendes
Deux jours avant la publication de la décision contre Google, le 21 septembre 2026, l’EDPB a annoncé l’adoption d’une méthodologie harmonisée pour le calcul des amendes RGPD, selon une analyse du cabinet Gibson Dunn. Jusqu’ici, chaque autorité nationale appliquait sa propre grille de calcul, ce qui créait des écarts significatifs entre deux dossiers comparables selon le pays chef de file.
Cette nouvelle grille commune vise à réduire les contestations juridiques fondées sur l’arbitraire du montant retenu, un argument régulièrement avancé par les entreprises sanctionnées devant les tribunaux. Pour les professionnels de la conformité, l’enjeu est désormais de pouvoir anticiper plus précisément le niveau de risque financier associé à une non-conformité RGPD, plutôt que de naviguer dans l’incertitude d’une autorité à l’autre.
La France n’est pas en reste : la CNIL sanctionne aussi en septembre 2026
Le dossier Google n’est pas la seule actualité RGPD du mois. Le 3 septembre 2026, la CNIL a infligé une amende de 500 000 euros à l’Hôpital privé de la Loire, après une cyberattaque ayant exposé les données de 524 867 patients ainsi que de 202 246 proches ou tiers de confiance. Le montant est sans comparaison avec celui visant Google, mais l’affaire illustre la même logique : les régulateurs européens sanctionnent autant les grandes plateformes publicitaires que les structures de taille moyenne, dès lors que la protection des données personnelles fait défaut.
Pour les entreprises françaises, ce double mouvement, une sanction record contre Google et une amende locale contre un établissement de santé, confirme que la CNIL et ses homologues européens maintiennent une pression constante sur l’ensemble du spectre économique, des multinationales cotées en bourse aux structures régionales.
Chronologie détaillée de l’enquête et des échéances de mise en conformité
| Date | Événement |
|---|---|
| 25 mai 2018 – 4 février 2020 | Période des traitements de données de localisation examinés par la DPC |
| Février 2020 | Ouverture formelle de l’enquête, après plaintes d’associations de consommateurs dont le BEUC |
| 2020 – 2026 | Instruction et consultation des autorités de contrôle concernées dans les autres États membres |
| 21 septembre 2026 | Adoption de la décision finale par la DPC irlandaise |
| 23 septembre 2026 | Publication officielle de la décision par l’EDPB |
| Fin mars 2027 (estimation) | Échéance des six mois accordés à Google pour se mettre en conformité |
Cette chronologie montre un décalage de six ans entre le début des faits reprochés et la sanction. Un délai qui pèse directement sur le débat en cours au sein de l’EDPB autour de la réforme du mécanisme de coopération entre régulateurs, censé accélérer le traitement des dossiers transfrontaliers les plus complexes.
Impact sur le marché de la publicité en ligne et l’ad-tech européen
Les données de localisation jouent un rôle central dans l’écosystème publicitaire de Google, de la personnalisation des annonces Search à l’optimisation des campagnes locales sur Maps. Une remise à plat des mécanismes de consentement, même limitée à trois fonctionnalités, oblige Google à revoir une partie de son infrastructure de collecte, avec des répercussions probables sur les annonceurs qui ciblent leurs campagnes par zone géographique.
Pour l’ensemble de l’industrie de l’ad-tech, cette décision agit comme un signal d’alarme supplémentaire après plusieurs années de restrictions croissantes : fin des cookies tiers sur certains navigateurs, durcissement des règles de suivi sur mobile, et désormais surveillance renforcée du consentement géographique. Les éditeurs et régies publicitaires qui dépendent de données de localisation pour vendre des espaces premium devront sans doute revoir leurs propres mentions d’information, par ricochet.
Comparaison : comment Google, Meta et les autres géants gèrent les données de localisation
Le classement présenté plus haut montre que Google n’est pas isolé. Meta a déjà payé le prix fort pour ses transferts de données transatlantiques, tandis que TikTok et Instagram ont, elles aussi, été sanctionnées pour leur gestion des données utilisateurs. Dans les trois cas, le point commun reste la difficulté à rendre des mécanismes de collecte techniquement complexes compréhensibles pour un utilisateur non spécialiste.
La différence tient surtout à la nature de la donnée visée. Les dossiers Meta et TikTok portaient principalement sur les flux de données personnelles vers des pays tiers et sur les pratiques de modération, alors que le dossier Google cible un usage interne à l’Union européenne, centré sur la précision du suivi géographique. Cette nuance a son importance : elle rapproche la décision Google d’un futur risque de contagion vers d’autres acteurs qui exploitent des données de position en Europe, notamment dans les secteurs de la livraison, du transport à la demande et des applications de navigation.
Analyse : pourquoi cette décision marque un tournant pour l’application du RGPD
Cette amende arrive huit ans après l’entrée en vigueur du RGPD, à un moment où les critiques sur la lenteur de son application se multiplient. Le fait que l’EDPB ait choisi d’adopter une méthodologie de calcul harmonisée presque au même moment que la publication de cette décision n’est probablement pas un hasard : les régulateurs cherchent à répondre aux accusations récurrentes d’incohérence entre pays membres.
L’autre enseignement tient à la nature des manquements retenus. La DPC ne sanctionne pas une fuite de données ni un piratage, mais un défaut de transparence dans des fonctionnalités utilisées quotidiennement par des centaines de millions d’Européens. Ce type de décision, centré sur l’ergonomie du consentement plutôt que sur un incident de sécurité, pourrait devenir la norme pour les prochaines années de contrôle RGPD, au détriment des interfaces de gestion de la confidentialité trop fragmentées.
Cinq prédictions pour les douze prochains mois
- D’autres autorités de contrôle européennes vont probablement ouvrir des enquêtes similaires sur les données de localisation d’autres plateformes mobiles majeures, en s’appuyant sur la nouvelle méthodologie harmonisée de l’EDPB.
- Google devrait annoncer une refonte visible de ses paramètres de confidentialité liés à la localisation avant l’échéance de mise en conformité de mars 2027, pour éviter une nouvelle procédure.
- Les éditeurs d’applications de livraison et de transport à la demande, fortement dépendants du suivi GPS, vont probablement revoir leurs propres mentions de consentement pour anticiper un risque de contagion réglementaire.
- Un recours de Google devant les juridictions irlandaises ou la Cour de justice de l’Union européenne reste une possibilité sérieuse, comme dans la plupart des dossiers RGPD dépassant les 100 millions d’euros.
- La méthodologie harmonisée de l’EDPB devrait, à terme, réduire l’écart entre les montants d’amendes prononcés par les différentes autorités de contrôle, en particulier pour les dossiers impliquant plusieurs pays membres.
Ce que les entreprises doivent vérifier dès maintenant
Pour les entreprises qui traitent des données de localisation en Europe, cette décision fournit une grille de lecture concrète. Un paramètre de confidentialité isolé qui prétend couper le suivi de position, alors que d’autres réglages continuent à collecter des signaux similaires en arrière-plan, constitue désormais un risque juridique documenté et chiffré.
Les équipes conformité devraient, dans les mois qui viennent, cartographier précisément tous les points de collecte de données géographiques au sein de leurs produits, qu’il s’agisse d’une application mobile, d’un site web ou d’un objet connecté. Documenter la base légale retenue pour chaque traitement, et s’assurer que l’information fournie à l’utilisateur reste cohérente entre les différents réglages, devient une priorité immédiate plutôt qu’un exercice de routine annuel.
Foire aux questions
Quel est le montant exact de l’amende infligée à Google ?
La Commission irlandaise de protection des données a infligé à Google une amende de 403 millions d’euros, soit environ 463 millions de dollars, selon la décision publiée le 23 septembre 2026.
Pourquoi la DPC irlandaise a-t-elle sanctionné Google ?
Le régulateur a estimé que Google n’informait pas de façon suffisamment claire et transparente ses utilisateurs sur l’usage de leurs données de localisation, en violation des articles 5, 6, 12 et 13 du RGPD.
Quelles fonctionnalités Google sont concernées par la décision ?
Trois fonctionnalités sont visées : Web & App Activity, Location History et Location Accuracy, utilisées notamment par Google Maps, Search et les applications Android.
Combien de temps Google a-t-il pour se mettre en conformité ?
La DPC a accordé à Google un délai de six mois à compter de la décision, ce qui place l’échéance autour de fin mars 2027.
Est-ce la plus grosse amende RGPD jamais infligée à Google ?
C’est la plus lourde amende RGPD connue contre Google à ce jour, bien qu’elle reste inférieure aux sanctions record infligées par la DPC à Meta (1,2 milliard d’euros), à TikTok (530 millions d’euros) et à Instagram (405 millions d’euros).
Qu’est-ce que la nouvelle méthodologie harmonisée de l’EDPB ?
Adoptée le 21 septembre 2026, elle vise à uniformiser la façon dont les différentes autorités de protection des données calculent le montant des amendes RGPD, afin de réduire les écarts entre pays membres.
Que doivent faire les utilisateurs européens de Google dès maintenant ?
Les utilisateurs peuvent déjà vérifier et ajuster manuellement les trois paramètres visés par la décision, Web & App Activity, Location History et Location Accuracy, dans les réglages de confidentialité de leur compte Google, en attendant la refonte annoncée des interfaces de consentement.
Cette décision concerne-t-elle aussi les utilisateurs français ?
Oui. La décision de la DPC irlandaise s’applique à l’ensemble des utilisateurs de l’Union européenne, la DPC agissant comme autorité chef de file pour Google dans toute l’UE, en coordination avec la CNIL et les autres autorités de contrôle nationales.