- Le Conseil d’Etat a confirmé l’amende de la CNIL contre Google du 19 juin 2020 (initialement 21 janv. 2019, EUR 50 millions).
- Google LLC n’était pas considéré comme un établissement principal dans l’UE ; la succursale irlandaise n’avait pas de pouvoir de décision ou de contrôle.
- Les obligations d’information de Google n’étaient pas transparentes ; premier niveau d’informations trop générique, consentement non valable en raison d’informations insuffisantes et d’une case à cocher présélectionnée.
- La sanction infligée a été jugée proportionnée ; la CNIL n’était pas tenue de divulguer en détail les critères de calcul de la sanction.
La plus haute juridiction administrative de France, le Conseil d’État La CNIL inflige une amende à Google confirmé le 19 juin 2020 (21 janvier 2019, 50 millions d’euros).
Le Conseil d’Etat confirme tout d’abord que Google LLC n’a pas, ou n’avait pas à l’époque, d’établissement principal dans l’UE, car la succursale irlandaise n’avait pas le pouvoir d’ordonner ou de contrôler Google LLC (administration principale) ni de décider des finalités et des moyens de ses traitements de données (article 4, point 16, lettre a du RGPD).
Sur le fond, le Conseil d’État estime que les informations fournies par Google sur ses traitements de données manquent également de transparence. En particulier, les informations de premier niveau (premier niveau dans l’ ”approche par couches”) étaient trop génériques. De même, un consentement valable n’aurait pas été obtenu, en raison d’une information insuffisante et d’une case à cocher pré-cochée.
Ensuite, le Conseil d’État a considéré que la sanction était proportionnée. Par ailleurs, la CNIL n’était pas tenue de détailler les critères d’appréciation de la sanction.