Google condamné à 403 millions d’euros d’amende pour ses données de localisation, au terme de six ans d’enquête

L’autorité irlandaise de protection des données inflige 403 millions d’euros d’amende à Google pour sa gestion des données de localisation. Une sanction annoncée ce lundi 21 septembre, au terme de six ans d’enquête.

Google mis à l’amende, nouvel épisode. Ce lundi 21 septembre 2026, la Commission irlandaise de protection des données (DPC) a bouclé une enquête qu’elle avait ouverte de sa propre initiative en février 2020, après les plaintes de plusieurs associations de consommateurs, dont le Bureau européen des unions de consommateurs (BEUC).

Six ans de procédure pour aboutir à la quatrième plus lourde amende jamais prononcée par le régulateur irlandais. En effet, la DPC a acté une sanction de 403 millions d’euros à l’encontre du géant du web. Le podium s’est joué à rien. La troisième place est occupée par Instagram (405 millions d’euros), avec Meta (1,2 milliard) et TikTok (530 millions) devant.

Que reproche-t-on précisément à Google ?

L’examen portait sur trois fonctions, entre le 25 mai 2018 (date d’entrée en application du Règlement général sur la protection des données) et le 4 février 2020.

• La première, « Activité sur le Web et les applications », est un réglage de compte qui enregistre l’activité de l’utilisateur sur les services maison : historique de recherche, de navigation, position comprise.
• La deuxième, « Historique des positions », mémorise vos déplacements et les affiche sur une carte privée, même quand vous n’ouvrez aucune application Google.
• La troisième, « Précision de la localisation », est l’option d’Android qui affine la position du téléphone au-delà du seul GPS.

Pour la DPC, le groupe a traité toutes ces données sans base légale solide, sans transparence suffisante et les a gardées plus longtemps que nécessaire.

Pour aller plus loin

Google jure avoir déjà tout changé

Le fond de l’affaire tient à la nature de ces informations, comme le rappelle Graham Doyle, commissaire adjoint de la DPC : la localisation « peut révéler une quantité importante d’informations sur une personne, y compris des données par nature privées ». Faute de transparence, des utilisateurs ont pu ignorer que leurs allées et venues servaient à les cibler avec des publicités ou à deviner leurs centres d’intérêt.

Google, de son côté, botte en touche : le dossier concernerait des règles anciennes, modifiées depuis. Le groupe américain assure avoir fait évoluer ses outils à partir de 2019, avec des réglages de suppression automatique et davantage d’explications sur l’usage des données. La DPC lui laisse tout de même six mois pour se mettre en conformité.

Ces changements n’ont pas convaincu tout le monde. Les plaintes d’origine, coordonnées par le BEUC, remontent à novembre 2018 et s’appuyaient sur une enquête de l’association norvégienne Forbrukerrådet dénonçant des interfaces trompeuses qui poussaient les utilisateurs d’Android à accepter un suivi permanent. Google a bien retouché sa plateforme, mais le BEUC et plusieurs de ses membres ont jugé le problème insuffisamment réglé et déposé une seconde plainte en 2022.

Ces données de localisation en disent long sur une vie. L’enquête de Forbrukerrådet soulignait qu’un simple historique de déplacements suffit à déduire des informations très sensibles : des convictions religieuses en repérant les lieux de culte fréquentés, des opinions politiques en suivant la présence à des manifestations, ou encore un état de santé. C’est précisément ce type de recoupement que le RGPD encadre le plus strictement.

Pour les géants du net, la DPC est loin d’être une inconnue. Comme elle se trouve à Dublin, là où Google, Meta, Apple et les autres poids lourds du web ont posé leur siège européen, c’est elle qui sert de gendarme du RGPD pour l’ensemble du continent, au nom du principe du « guichet unique ».

Mais cela n’empêche pas la petite autorité, bien qu’en première ligne face aux plus gros noms du numérique, de prononcer des sanctions de plusieurs centaines de millions d’euros. Malgré tout, si le BEUC a salué la décision, il a aussi pointé sa lenteur. « Une application tardive peut être aussi néfaste qu’une absence d’application », note Agustín Reyna, directeur général de l’organisation.

La somme reste toutefois modeste au regard des finances de Google. Sa maison mère Alphabet a engrangé 350 milliards de dollars de chiffre d’affaires en 2024 : les 403 millions d’euros pèsent à peine 0,1 % de ses revenus annuels. Le RGPD autorise pourtant des amendes bien plus salées, jusqu’à 4 % du chiffre d’affaires mondial d’une entreprise – dans le cas d’Alphabet, on parlerait alors de plus de 10 milliards d’euros.

Google peut encore contester la sanction en justice, une voie que le groupe emprunte régulièrement face à Bruxelles et aux régulateurs nationaux. La DPC publiera le détail de sa décision dans les prochaines semaines, et le compte à rebours des six mois pour rentrer dans le rang est déjà lancé.

Google n’en a d’ailleurs pas fini avec le régulateur irlandais. La DPC indique que trois autres enquêtes de grande ampleur visant l’entreprise sont toujours ouvertes, toutes à un stade avancé selon elle.

Toute l'actu tech en un clin d'œil

Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !

Un édito exclusif, un guide, une reco de lecture et l’agenda de la rédaction : c’est ce que vous trouverez tous les jeudis dans ToujoursPlus, la newsletter tech écrite par Julien Cadot. Inscrivez-vous gratuitement ici !

Notre hub sur le RGPD

• En Europe, le bouton « Demander à l’app de ne pas me suivre » va disparaître sur iPhone
• Le dernier mail de Doctolib cache un projet d’IA : voici comment s’y opposer
• Comment faire une procuration en ligne pour le vote aux élections municipales
• IA, PDF et souveraineté : comment la nouvelle version d’ONLYOFFICE 9.3 réinvente la productivité sans compromis
• C’est une honte : des hommes demandent à Grok de déshabiller des femmes et l’outil accepte