Google et 375 millions : une simulation, pas une amende

Google n’a pas été condamné à 375 millions d’euros dans l’exercice décrit par cette page. Le titre de 2016 désignait une simulation organisée lors d’un webinaire. Les participants étaient invités à se placer dans la position d’une autorité de contrôle. Leur vote ne constituait ni une décision, ni un barème, ni une méthode validée de prévision des sanctions.

Ce qu’il faut retenir

• Le montant de 375 millions était une présentation d’un sondage pédagogique, sans autorité juridique.
• Les plafonds du RGPD ne sont pas des taux automatiquement appliqués à chaque manquement.
• L’affaire de déréférencement utilisée comme point de départ a elle-même connu une suite contentieuse qu’il faut prendre en compte.

Ce que l’exercice permettait d’explorer

La version initiale rapportait les votes de 44 participants et comparait leurs estimations. Ce format peut aider à discuter la gravité d’un manquement ou la proportionnalité d’une mesure. Il ne permet pas de prédire ce qu’une autorité indépendante décidera sur un dossier complet.

Le groupe de participants n’était pas une formation de jugement. Les tranches de montant proposées orientaient la réponse, et la comparaison avec un panel de commissaires n’était pas démontrée. Les anciennes fourchettes ne doivent donc pas être réutilisées pour provisionner un risque ou conseiller une entreprise.

Le dossier réel a évolué

Le cas de départ portait sur le déréférencement. La CNIL avait prononcé le 10 mars 2016 une sanction de 100 000 euros contre Google concernant la portée territoriale du retrait des résultats. Le Conseil d’État a annulé cette délibération le 27 mars 2020, après la réponse de la Cour de justice sur le périmètre du déréférencement. Source : Conseil d’État, n° 399922.

Cette suite montre pourquoi un exercice ancien ne doit pas être traité comme un précédent immuable. Elle ne signifie pas que le droit au déréférencement a disparu. Notre guide sur le droit à l’oubli et l’e-réputation explique comment distinguer la demande, son périmètre et les intérêts en présence.

Ce que prévoit réellement l’article 83

L’Art. 83(1) RGPD impose une amende effective, proportionnée et dissuasive lorsqu’une amende est prononcée. L’Art. 83(2) exige une appréciation des circonstances, dont la gravité, la durée, les mesures d’atténuation, les antécédents et la coopération. Les Art. 83(4) à (6) fixent différents plafonds. Source : texte de l’Art. 83.

Le pourcentage de chiffre d’affaires est donc un élément du plafond applicable, pas une sanction obligatoire de 4 % pour chaque infraction. Le guide des sanctions RGPD détaille ces niveaux et leur portée.

Pour une revue de risque, partez du traitement, de la qualification possible du manquement et des faits connus. Identifiez les éléments manquants avant de chiffrer. Présentez les hypothèses comme telles et examinez aussi les mesures correctrices possibles : une restriction de traitement peut avoir des conséquences opérationnelles importantes sans se résumer à une amende.

Utiliser une simulation de façon utile

Un exercice interne peut comparer les arguments de plusieurs groupes, à condition de rendre ses limites visibles. Fournissez un dossier commun, distinguez les faits établis des hypothèses et demandez aux participants de motiver leur raisonnement. L’objectif est de repérer les preuves et les corrections nécessaires.

Concluez par un plan d’action : responsable, mesure, échéance et vérification. Notre article sur les amendes British Airways et Marriott rappelle aussi la différence entre un projet de sanction et la décision finalement prononcée.

Construire le dossier avant de demander un montant

Un atelier utile commence par les faits qu’il serait possible de discuter contradictoirement. Décrivez le traitement, ses finalités, les acteurs qui prennent les décisions et la période examinée. Séparez les documents disponibles, les déclarations des équipes et les hypothèses ajoutées pour les besoins de l’exercice. Une affirmation non vérifiée ne devient pas un fait parce qu’elle figure sur une diapositive.

Ajoutez les éléments susceptibles de modifier l’analyse : changement de configuration, interruption du traitement, réponse à une demande ou correction déjà engagée. La chronologie permet de savoir si une mesure est antérieure au manquement allégué, contemporaine de sa découverte ou seulement annoncée. Ces distinctions évitent de présenter une intention de correction comme une réduction déjà démontrée du préjudice.

La question soumise au groupe peut rester ouverte : « Quelles pièces manquent pour apprécier ce traitement ? » Elle est souvent plus instructive qu’un choix entre trois amendes. Si l’incertitude porte sur l’existence même d’un consentement valable, commencer par un montant masque le problème à résoudre.

Pour un exercice construit aujourd’hui, indiquez la version des règles utilisée. Une analyse pédagogique sous le RGPD ne doit pas être décrite comme la reconstitution de la sanction applicable à des faits de 2016. Le dossier historique sert de point de discussion ; les conditions juridiques de l’époque et celles de l’exercice restent distinctes.

Motiver séparément la qualification et la réponse

Demandez d’abord aux participants d’identifier l’obligation potentiellement méconnue et les faits qui soutiennent cette qualification. Demandez ensuite ce qui pourrait la contredire. Un document incomplet peut justifier une investigation supplémentaire sans prouver, à lui seul, tous les manquements envisagés. La grille suivante est une proposition d’animation, pas le barème d’une autorité :

La nature des données, le nombre de personnes et la durée du traitement ne se remplacent pas mutuellement. Un fichier volumineux ne permet pas de déduire automatiquement la gravité de chaque atteinte ; un petit fichier peut aussi contenir des informations particulièrement sensibles. L’Art. 83(2)(a) demande de tenir compte de la nature, de la gravité et de la durée de la violation, avec les circonstances qu’il précise.

L’Art. 58(2) du RGPD permet plusieurs réponses correctrices. Invitez le groupe à examiner la mesure capable de faire cesser le problème : répondre à un droit, modifier une opération, effacer des données ou limiter un traitement selon les conditions applicables. L’amende peut compléter ou remplacer certaines mesures ; ce choix dépend des caractéristiques du cas. Un vote sur une somme ne couvre donc qu’une partie du raisonnement.

Un cas fictif pour éprouver le raisonnement

Imaginons une société fictive, Vigne, dont une équipe affirme avoir corrigé un parcours de consentement. Le dossier de l’atelier contient un nouvel écran, la date prévue de mise en production et un courriel indiquant que les anciens profils seront supprimés. Il ne contient encore ni confirmation du déploiement ni vérification du sort des profils. Aucun audit réel n’est décrit ici.

Un premier groupe considère l’écart résolu. Un second demande la version effectivement distribuée et le périmètre des suppressions. La divergence utile porte sur la preuve de l’exécution. Pour la résoudre, il faut rechercher les pièces manquantes et préciser ce qu’elles permettent d’établir. Faire la moyenne des amendes proposées ne répondrait pas à cette question.

Supposons ensuite, toujours fictivement, qu’une preuve de déploiement soit fournie. Elle peut confirmer la correction du parcours futur sans régler le traitement des données anciennes. Le dossier de sortie distingue alors deux actions, leurs responsables et les éléments nécessaires pour les clôturer. L’exercice produit une amélioration du raisonnement et du suivi, sans prétendre estimer la sanction que prononcerait la CNIL.

Présenter une exposition financière sans fausse précision

Si la direction demande une analyse financière, commencez par indiquer le périmètre juridique et les hypothèses du calcul. Le plafond applicable, l’évaluation d’une sanction possible et les coûts internes de correction sont trois objets différents. Un montant de plafond ne mesure ni la probabilité d’un contrôle, ni la probabilité d’une sanction à ce niveau.

Évitez d’additionner mécaniquement un plafond pour chaque ligne d’un tableau d’écarts. L’Art. 83(3) contient une règle particulière pour plusieurs violations commises dans le cadre d’une même opération de traitement ou d’opérations liées. Son application suppose d’examiner les opérations et les violations en cause ; elle ne transforme pas toute liste de constats en facture cumulative.

Une note peut présenter des hypothèses alternatives et les informations nécessaires pour les départager. Elle doit aussi préciser ce qu’elle n’évalue pas. Si le coût d’une interruption dépend d’une activité encore inconnue, laissez cette dépendance visible au lieu de produire un chiffre artificiellement précis. Les décisions budgétaires pourront alors porter sur des travaux identifiés : investigation, correction ou vérification.

Conserver la trace des désaccords et corriger les supports

À la fin de l’atelier, gardez les raisonnements minoritaires lorsqu’ils révèlent une question non résolue. Notez la personne chargée d’obtenir la pièce, la décision à prendre et la date de réexamen. Un vote majoritaire ne rend pas un traitement licite ; il montre seulement la position du groupe au vu du dossier distribué.

Enfin, contrôlez les supports qui citent l’exercice après sa tenue : compte rendu, formation, présentation commerciale ou ancienne page web. Le mot « simulation » doit rester visible avec le montant cité. Si un précédent réel a été annulé ou modifié, son état procédural doit accompagner sa réutilisation. La correction d’une archive protège ainsi la compréhension du lecteur sans effacer l’existence de l’exercice initial.

FAQ

Peut-on citer les 375 millions comme sanction de Google ?

Non. Il s’agissait d’un exercice pédagogique. Le titre a été corrigé pour éviter cette confusion, tandis que l’URL historique est conservée.

Un sondage permet-il de prévoir une amende RGPD ?

Non. Il peut nourrir une discussion, mais ne remplace ni la qualification juridique ni l’analyse des circonstances par l’autorité compétente.

Le maximum légal est-il une provision financière adaptée ?

Pas à lui seul. Une évaluation nécessite des hypothèses explicites et une analyse du dossier. Le maximum légal ne fournit pas la probabilité qu’une telle somme soit prononcée.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.