Episode II : Les premiers enseignements sur les manquements aux obligations de transparence et d’information dans la décision CNIL condamnant Google
A titre liminaire, il convient de rappeler que la formation restreinte de la CNIL a condamné Google pour trois séries de manquements :
- aux obligations de transparence,
- d'information, et
- de disposer d'un consentement valable pour les traitements de personnalisation de la publicité mis en œuvre.
Nous nous focaliserons ici uniquement sur l’un des motifs de sa décision, à savoir, celui relatif à aux manquements aux obligations de transparence et d’information.
En premier lieu, la formation restreinte estime que les informations qui doivent être communiquées aux personnes concernées en vertu de l’article 13 du RGPD ne sont pas, en l’espèce, globalement aisément accessibles. En effet, elle a relevé lors de son contrôle que cinq actions sont nécessaires pour accéder aux informations relatives au traitement de personnalisation de la publicité, six pour le traitement des données de géolocalisation et quatre pour les durées de conservation desdites données.
Il est donc vivement conseillé de simplifier et de faciliter autant que possible l’accès aux mentions d’information prévues aux articles 13 et 14 du RGPD. L’objectif à atteindre est un accès simple, rapide et intuitif à ces dernières pour les personnes concernées. A cet effet, il faut, par exemple, diminuer le recours à de multiples liens hypertextes avant de pouvoir accéder aux mentions d’information et éviter de disperser ces dernières dans plusieurs documents distincts de telle sorte que les personnes concernées seraient contraintes de devoir regrouper plusieurs ressources documentaires. Aussi, il faut prendre garde à ne pas « noyer » ces mentions d’information parmi d’autres développements longs et de moindre importance.
En second lieu, s’agissant des finalités des traitements en cause, la formation restreinte relève que leur description est trop générique et ne permet pas aux personnes concernées de mesurer l’ampleur des traitements ainsi que le degré d’intrusion dans leur vie privée. Selon elle, une description des données collectées particulièrement imprécise et incomplète ne permettrait pas d’éclairer les personnes concernées sur la portée ultime desdites finalités.
Par Philippe Debry et Dan Scemama
