Par une délibération n°2011-035 du 17 mars 2011, la CNIL a prononcé une sanction de 100.000 euros à l’encontre de GOOGLE en raison de manquements constatés à la loi Informatique et Libertés.
GOOGLE  a développé avec Street View un service permettant à l’internaute de naviguer dans les rues des villes du monde entier grâce aux photographies prises par des voitures enregistrant les vues panoramiques.
Le service s’est étoffé avec la possibilité de se connecter via un mobile puis d’afficher sa géolocalisation grâce à l'application « Latitude » afin d’indiquer à ses proches où l’on se trouve et de connaître la position de ses proches.
Ce système repose sur une base de données de géolocalisation, dont le fonctionnement n’est possible que par la captation des signaux radio des mobiles associés aux positions GPS des voitures de GOOGLE.
La base de données de géolocalisation qui permet à Street View de dominer le marché a été selon la CNIL développée grâce à la captation par lesdites voitures de données transitant par les réseaux WI-FI des particuliers, à leur insu.
Considérant menacée la vie privée de ces personnes, la CNIL a mis en demeure GOOGLE de cesser cette collecte et de lui fournir l’intégralité des données captées en France.
GOOGLE a notamment contesté l’application de la loi française et n’a pas déclaré Latitude auprès de la CNIL mais a par la suite transmis à la CNIL les modalités de collecte des données.
Après avoir procédé à des contrôles, la CNIL a constaté la présence sur les voitures de dispositifs de collecte de données dont GOOGLE a confirmé qu’ils avaient collecté du contenu (y compris des contenus d’e-mails ou des mots de passe), involontairement selon elle à la suite d’une erreur de programmation.
La CNIL s’émeut de la violation de la vie privée des personnes concernées, même si les données n’ont pas été réutilisées car le contenu illicitement capté concernait des informations aussi sensibles que l’orientation sexuelle ou l’état de santé de personnes, tout en reconnaissant l’engagement pris par GOOGLE d’y mettre fin.
GOOGLE a en effet indiqué avoir cessé toute collecte des données de contenu collectées par erreur mais a maintenu sa contestation quant à la qualification de données personnelles des identifiants SSID et des adresses MAC et l’applicabilité de la loi de 1978.
Selon la CNIL :
- Les identifiants SSID permettent d’identifier les réseaux WI-FI et peuvent comporter les noms et prénoms des utilisateurs de sorte qu’il s’agit de données personnelles ;
- Les adresses MAC qui ne permettent d’identifier que le routeur WI-FI ne sont pas à elles seules des données personnelles mais, une fois reliées aux éléments d’identification des sites sur lesquels l’internaute s’est identifié, elles deviennent des données personnelles ;
- les données, dès lors que leur collecte a pour finalité de déterminer l’emplacement d’une personne, ont un caractère personnel ;
- la base permettant à l’internaute d’effectuer une recherche de personne à partir de son nom ou son adresse mais aussi à partir de l’adresse MAC du routeur WI-FI, il s’agit de données personnelles;
- le fait que l’enregistrement des données soit dans un format non lisible par l’homme n’a pas d’incidence sur la qualification de données personnelles.
En conséquence, la CNIL considère que GOOGLE aurait dû accomplir les formalités de déclaration pour le traitement Latitude et aurait dû dans le cadre de la déclaration pour Street View déclarer la collecte des identifiants SSID, adresses MAC et données de connexion WI-FI, dès lors que les moyens de traitement sont déployés sur le territoire français.
De plus, la CNIL considère que l’information, même générale, aux utilisateurs de la collecte des données de WI-FI est nécessaire et qu’à défaut, la collecte est déloyale.
Enfin, la CNIL relève les avantages que les manquements identifiés ont procuré à GOOGLE, à savoir l’enrichissement de sa base, un avantage concurrentiel, le trafic important du service de géolocalisation, susceptible de générer des ressources publicitaires.
Elle reproche à GOOGLE de s’être affranchie des dispositions légales et d’avoir ainsi profité d’un « avantage organisationnel ».
La motivation de la CNIL quant au montant de la sanction de 100.000 euros tient compte pour apprécier cet avantage du rapport des manquements à « la grande sensibilité du projet, à son ambition de couverture de l’intégralité du territoire français et à l’importance des moyens dont dispose la société ».
D’une façon générale, elle considère que GOOGLE n’a pas suffisamment répondu aux questions et demandes de la CNIL, tout en ne retenant pas pour autant la mauvaise foi.