Ce que la DPC a décidé
Le 21 septembre 2026, la Data Protection Commission irlandaise a annoncé sa décision finale visant Google Ireland Limited. L'enquête avait été ouverte d'office en février 2020, après les plaintes de plusieurs organisations européennes de consommateurs, dont le BEUC. Amendes de 403 millions d'euros et injonction de mettre le traitement en conformité sous six mois. La décision intégrale sera publiée plus tard.
Le périmètre est étroit et mérite d'être lu de près : trois fonctions — Web & App Activity, Location History et Location Accuracy — et une fenêtre allant du 25 mai 2018, date d'application du RGPD, au 4 février 2020. Ce n'est pas un jugement sur le fonctionnement actuel de Google : c'est un jugement sur vingt-deux mois d'il y a huit ans, rendu six ans après l'ouverture de l'enquête.
- Licéité et loyauté du traitement des données de localisation dans Web & App Activity et Location History.
- Responsabilité : incapacité à démontrer la conformité aux principes de licéité, loyauté et transparence pour Location Accuracy.
- Transparence, pour les trois fonctions.
- Conservation des données de localisation dans Web & App Activity et Location History.
Deux de ces quatre griefs n'ont rien à voir avec la taille de Google. La conservation et la capacité de démontrer figurent dans le registre de n'importe quel client, y compris celui qui compte quatre salariés. Le commissaire adjoint Graham Doyle le dit sans détour : conserver les données de localisation plus longtemps que nécessaire a aggravé la perte de contrôle des personnes. Ce n'est pas un grief ajouté pour faire nombre, c'est le multiplicateur des autres.
Le grief sur lequel s'arrêter
Le deuxième point ne dit pas que Location Accuracy était illicite. Il dit que Google n'a pas été en mesure de démontrer qu'elle était licite, loyale et transparente. C'est le principe de responsabilité : la charge pèse sur le responsable, et une enquête de six ans s'est aussi refermée là-dessus. Celui qui écrit « base légale : intérêt légitime » sans joindre l'analyse est dans la même position, à une autre échelle.
Pour la pratique quotidienne, deux choses à faire, et aucune n'exige d'attendre le texte intégral. D'abord : relire les lignes du registre où la conservation dit « le temps nécessaire » et les remplacer par un critère et par la preuve qu'à l'échéance il se passe réellement quelque chose. Ensuite : pour chaque traitement reposant sur une analyse — intérêt légitime, mise en balance, nécessité — vérifier que cette analyse existe comme document et non comme conviction.
Source officielle:Data Protection Commission — Fines Google €403 million following Inquiry into Google's processing of location data (21/09/2026)Source officielle:Data Protection Commission — DecisionsVous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
