Google face à l'Europe

Le mardi 24 janvier 2012, Google a annoncé la mise en place de nouvelles règles de confidentialité au profit de ses utilisateurs. L'entreprise précise qu'il s'agit de "faire évoluer près de soixante règles de confidentialité distinctes, et de les remplacer par une nouvelle version unique, à la fois complète, concise et simple à lire". Ces règles de confidentialité expliquent ensuite les données qui sont collectées, l'utilisation qui en est faite, les fonctionnalités proposées à l'usager  dont les modalités d'accès et de rectification. En tout état de cause, ces règles nouvelles ne présentent aucun caractère contractuel et présentent plutôt l'apparence d'une sorte de "code de déontologie" que l'entreprise s'engage à respecter.

Cette volonté d'élaborer une démarche cohérente en matière de protection des données et de la rendre mieux accessible aux utilisateurs inspire plutôt la sympathie. Ces derniers ont ainsi été informés de cette nouvelle politique à la fois sur la page d'accueil de Google et souvent par courriel. Mais ne soyons pas naïfs, cette centralisation des données offre également des avantages à l'entreprise qui pourra ainsi développer des profils plus précis de ses 350 millions d'utilisateurs, et adapter en conséquence sa politique publicitaire. Derrière la protection de la vie privée se cache donc une démarche de profilage et de repérage.

Le droit selon Google

La question est évidemment posée du contrôle juridique de cette politique de confidentialité. Et force est de constater que Google entend plus ou moins ouvertement développer et faire prévaloir son propre droit. L'entreprise le reconnait avec franchise. Dans la rubrique "Respect de la réglementation", elle affirme  : "Nous vérifions régulièrement que nous respectons les présentes Règles de confidentialité. Nous nous conformons (..) à plusieurs chartes d'auto-régulation". On ne peut affirmer plus clairement que Google accepte de respecter quelques règles, à la condition que la firme les ait elle-même élaborées. 

Sa position vis à vis à du droit des Etats confirme cette approche. Google évoque alors les "autorités locales chargées de protection des données", autorités locales et non pas nationales, comme si les territoires étatiques étaient placés sous l'administration bienveillante de la firme. Quoi qu'il en soit, Google n'envisage pas de se soumettre aux législations des différents Etats, mais accepte seulement de "coopérer" avec ces "autorités locales", et uniquement pour résoudre les litiges qui n'auraient pas pu être résolus par une contact direct entre l'entreprise et les utilisateurs. Le droit des Etats n'est donc plus qu'une voie subsidiaire de règlement des litiges.

Jean-Luc Godard. Alphaville. 1965

Les réticences du G29

L'unilatéralisme de la firme a évidemment suscité quelque émoi parmi les institutions chargées de la protection des données, qui se réunissent, au sein de l'Union européenne, dans un groupe informel surnommé le "G29". Ce groupe, créé par l'article 29 de la directive du 24 octobre 1995 (d'où son nom) regroupe les 27 autorités indépendantes chargées de la protection des données dans les 27 pays de l'UE.  S'il n'a pas de pouvoir de décision, il offre cependant une expertise précieuse aux autorités de l'Union européenne, et plus précisément à la Commission.

Pour prendre le temps d'expertiser les nouvelles règles de confidentialité de Google, le président du G29, M. Jacob Khonstamm, a demandé, dans une lettre du 2 février adresse au Président de Google, "une pause" dans leurs mise en oeuvre. Son objet est de "faire en sorte qu'il ne puisse y avoir aucun malentendu quant aux engagements de Google pour les droits d'information de leurs usagers et des citoyens de l'UE". La CNIL française a été chargée de réaliser un audit de ces nouvelles règles, pour apprécier leur conformité aux droits des Etats membres et au droit de l'Union.

Pour le moment, Google refuse cette demande. L'entreprise explique qu'elle a prévenu les différentes institutions européennes concernées, et qu'elle maintient donc sa décision de mettre en oeuvre ces nouvelles règles de confidentialité le 1er mars 2012. De son côté, la CNIL française affirme qu'elle n'a été informée que deux jours avant l'annonce officielle de ces nouveaux standards de confidentialité. D'autres autorités, comme la DPA néerlandaise précisément présidée par M. Khonstamm, n'ont même pas été informées du tout.

L'affaire illustre malheureusement une tendance des entreprises américaines qui ignorent superbement le droit des pauvres "natives" européens. Pour le moment, Google peut agir ainsi car le G29 ne dispose d'aucun moyen de contrainte à son égard. Reste tout de même que le droit de la protection des données n'est pas élaboré par les entreprises mais par les Etats et les instances communautaires. A cet égard, Google est simplement un sujet de droit, comme n'importe quel citoyen ou n'importe quelle entreprise. Et si la concertation n'aboutit pas, du fait de la mauvaise volonté du principal intéressé, peut être l'Union européenne et les Etats membres devront-ils réfléchir et se tourner vers des instruments juridiques plus contraignants ?

Les citoyens de l'Union européenne qui se voient interdire d'accéder à des sites de téléchargement au nom des droits légitimes de propriété des "Majors" américaines verraient sans d'un mauvais oeil une entreprise américaine écarter avec mépris le droit communautaire. Ou alors doit-on considérer que ces firmes invoquent le droit quand il leur rapporte de l'argent, et le récuse quand il leur impose des contraintes ?