L’amende est la quatrième pour Google en vertu de la loi stricte de l’Union européenne sur la protection de la vie privée et la deuxième plus élevée en valeur après le 50 millions d’euros de pénalité (alors 57 millions de dollars américains) la société a été touchée en France en 2019. Parmi les autres pays à sanctionner le géant de la technologie, citons : Suède et Belgique.

La lenteur de la Commission irlandaise de protection des données (DPC), la principale autorité de surveillance de Google, a été consternée par la lenteur de la commission irlandaise de protection des données à clore deux plaintes transfrontalières en cours contre la société concernant les enchères en temps réel et la façon dont elle utilise les données personnelles pour diffuser de la publicité, ainsi que son utilisation des données de localisation.

Les experts fournissent des points de vue différents sur les raisons pour lesquelles Google et d’autres entreprises technologiques s’en sont tirés relativement légèrement.

« Peut-être qu’une réponse facile serait qu’ils n’ont pas été trouvés pour avoir enfreint la loi », a déclaré Nigel Jones, cofondateur de Privacy Compliance Hub.

La vraie réponse est peut-être « plus nuancée », a ajouté Jones. Les régulateurs européens des données ont eu tendance à éduquer plutôt qu’à pénaliser parce qu’« ils doivent s’assurer qu’ils sont sur une base juridique solide s’ils veulent imposer des amendes. Cela nécessite des ressources, et le fait est que les ressources de Google l’emportent de loin sur les ressources de tout régulateur », a-t-il déclaré.

« Pour être réaliste, pour une entreprise de la taille de Google, les amendes ne seront pas nécessairement le meilleur moyen d’obtenir des améliorations positives. »

Will Richmond-Coggan, directeur, Freeths

Selon Jones, une autre raison pourrait être que Google – contrairement à certaines entreprises technologiques – a eu tendance à adopter une approche conciliante avec le régulateur irlandais et d’autres APD sur les pratiques susceptibles de violer le RGPD, ce qui signifie qu’« il y aura eu un dialogue en arrière et en avant entre l’entreprise et le régulateur pendant tout ce temps ».

Cette décision a déjà porté ses fruits : Google a résolu à l’amiable une plainte transfrontalière auprès du DPC irlandais concernant le contenu YouTube impliquant un enfant, par exemple.

Ryan Gracey, responsable de la technologie et associé au cabinet d’avocats Gordons, a déclaré que la raison pour laquelle les grandes entreprises de technologie ont reçu relativement peu d’amendes à ce jour est due à la nature des violations potentielles du RGPD.

« Les enquêtes big tech ont eu tendance à couvrir leur propre utilisation abusive des données personnelles pour obtenir des avantages financiers et concurrentiels, comme le manque de transparence de Google sur la façon dont leurs données personnelles sont utilisées, tandis que d’autres industries où nous avons vu une fréquence plus élevée d’amendes, comme les télécoms, impliquent des violations de données liées à la divulgation massive de renseignements personnels », a déclaré Gracey.

Les premiers, a déclaré Gracey, « sont difficiles, complexes et prennent beaucoup de temps pour les régulateurs d’enquêter, de comprendre et de prendre des mesures », tandis que les seconds « sont beaucoup plus simples » parce que l’organisme de réglementation peut facilement identifier la violation, prendre en compte les facteurs aggravants et atténuants, puis émettre une amende proportionnée.

Les experts ont ajouté qu’une partie du défi de la réglementation des Big Tech est un manque de transparence sur les activités des entreprises, ce qui rend plus difficile de savoir ce qui est fait. Un autre problème est les efforts de ces entreprises pour renforcer leurs équipes juridiques.

Flavia Kenyon, avocate au cabinet d’avocats The 36 Group, a cité l’échec des pouvoirs d’application du RGPD et la timidité des régulateurs comme d’autres problèmes.

Elle croit que le RGPD mécanisme de guichet unique n’est « pas adapté à son objectif » et « ne traite pas les questions de protection des données concernant des millions d’internautes à travers l’Europe ».

L’inaction de la DPC irlandaise a joué un rôle dans l’adoption par la Commission européenne d’un projet de législation antitrust contre les Big Tech afin de lutter contre l’utilisation abusive des données personnelles, de la vie privée et des monopoles de données, ainsi que de « réaffirmer la souveraineté numérique de la Commission par une autre voie législative », a-t-elle déclaré. Le Loi sur les marchés numériques donnerait aux régulateurs nationaux la possibilité d’infliger des amendes allant jusqu’à 10 % du chiffre d’affaires mondial pour les infractions.

Will Richmond-Coggan, directeur et spécialiste des litiges en matière de protection des données au sein du cabinet d’avocats Freeths, a noté que les amendes ne sont qu’un outil à la disposition des autorités de contrôle en vertu du RGPD. « Pour être réaliste, pour une entreprise de la taille de Google, les amendes ne seront pas nécessairement le meilleur moyen d’obtenir des améliorations positives », a-t-il déclaré.

Le bureau du commissaire à l’information du Royaume-Uni, par exemple, n’a pas imposé d’amende au projet DeepMind de Google en ce qui concerne son utilisation non autorisée de données personnelles médicales dans le cadre d’une initiative de recherche diagnostique, mais a profité de l’occasion pour établir des directives sur la façon dont ces donnéesLes rojects devraient être mis en place et exploités à l’avenir pour assurer la conformité.

Richmond-Coggan a remis en question l’idée que les grandes entreprises technologiques ont « émergé de la lumière » dans l’Union européenne. Ils ont été les destinataires d’une quantité substantielle d’activités réglementaires et ont reçu certaines des sanctions les plus importantes en vertu du RGPD, a-t-il fait remarquer.

En outre, le paysage international du transfert de données a été complètement remodelé par une série de contestations judiciaires contre Meta / Facebook par le militant de la protection de la vie privée Max Schrems, qui a placé la protection des données et la conformité au premier plan des activités des entreprises technologiques, a déclaré Richmond-Coggan.