Le régulateur irlandais inflige 403 millions d'euros à Google sur les données de localisation

La Data Protection Commission (DPC), l'autorité irlandaise de protection des données, a infligé le lundi 21 septembre 2026 des amendes d'un montant total de 403 millions d'euros à Google pour le traitement des données de localisation de ses utilisateurs. La décision clôt une enquête statutaire ouverte en février 2020.

Six années d'instruction avant la sanction

L'enquête a été lancée le 4 février 2020. La DPC agissait en qualité d'autorité chef de file pour Google au titre du règlement général sur la protection des données (RGPD), après avoir reçu des plaintes de plusieurs organisations européennes de défense des consommateurs. Son communiqué d'ouverture indiquait que l'investigation devait établir si l'entreprise disposait d'une base légale valable pour traiter les données de localisation de ses utilisateurs et si elle respectait ses obligations de transparence en tant que responsable de traitement.

Ces plaintes remontent au 27 novembre 2018. Sept organisations de consommateurs, dans des pays parmi lesquels la Norvège, la Grèce, la République tchèque, la Slovénie, la Pologne et la Suède, avaient alors saisi leurs régulateurs nationaux respectifs. Leur dossier s'appuyait sur une étude de l'organisation norvégienne Forbrukerrådet intitulée « Every Step You Take », qui décrivait des interfaces orientant les utilisateurs d'Android vers l'activation du suivi de leurs déplacements.

Ce que l'autorité irlandaise reproche au groupe

Le RGPD impose que les données personnelles soient traitées de manière licite, loyale et transparente. La DPC a conclu que ces exigences n'avaient pas été respectées. Les utilisateurs pouvaient ignorer que leur localisation servait par exemple à les cibler publicitairement ou à déduire leurs centres d'intérêt, et perdaient ainsi la maîtrise de leurs données personnelles.

« La conservation des données de localisation des utilisateurs plus longtemps que nécessaire a aggravé cette perte de contrôle. »

Graham Doyle, commissaire adjoint de la Data Protection Commission

Le régulateur a détaillé le périmètre retenu. Les données de localisation constituent une catégorie de données personnelles traitées par le suivi de position, qui englobe les informations collectées ou traitées par Google et permettant, seules ou combinées à d'autres éléments, de déduire où se trouve une personne.

La DPC a souligné le double visage de cette catégorie d'informations. Elle peut considérablement accroître l'utilité des services en ligne, et elle peut aussi révéler une quantité importante de renseignements sur un individu, y compris des éléments relevant par nature de la sphère privée. L'étude norvégienne de 2018 citait les convictions religieuses, les orientations politiques ou l'état de santé parmi ce qu'un historique de déplacements peut trahir.

Un délai de six mois pour la mise en conformité

La décision a été adoptée par les commissaires à la protection des données Des Hogan, président de l'autorité, Dale Sunderland et Niamh Sweeney. Au delà de la sanction financière, la DPC ordonne au groupe de mettre ses traitements en conformité dans un délai de six mois.

Le RGPD autorise des amendes pouvant atteindre 4 % du chiffre d'affaires mondial annuel de l'exercice précédent. Alphabet, maison mère de Google, a réalisé 445,87 milliards de dollars de revenus sur les douze derniers mois. Les 403 millions d'euros prononcés se situent très en deçà de ce plafond théorique.

La défense du moteur de recherche

Google a répondu que le dossier porte sur des pratiques désormais révolues. « Depuis 2019, nous avons considérablement fait évoluer nos pratiques et lancé des outils robustes qui rendent simple la gestion des données de localisation », a indiqué le groupe, qui qualifie de politiques historiques les dispositions visées par l'enquête.

L'Irlande concentre la répression européenne

La DPC prononce l'essentiel des sanctions européennes en matière de données personnelles. Ce poids découle du mécanisme de guichet unique du RGPD, qui confie à l'autorité du pays d'établissement principal la conduite des dossiers transfrontaliers. La plupart des grands groupes technologiques américains ont installé leur siège européen en Irlande.

Selon l'enquête annuelle du cabinet DLA Piper publiée en janvier 2026, l'autorité irlandaise a prononcé 4,04 milliards d'euros d'amendes depuis mai 2018, près de quatre fois le total de la France, deuxième de ce classement. Huit des dix plus lourdes sanctions RGPD jamais infligées émanent de Dublin. La plus élevée de 2025 a visé TikTok, avec 530 millions d'euros au titre de transferts de données d'utilisateurs européens vers la Chine. Le record absolu demeure les 1,2 milliard d'euros imposés à Meta en mai 2023. À l'échelle européenne, les amendes RGPD ont totalisé environ 1,2 milliard d'euros en 2025.

Les sanctions européennes visant Google s'accumulent par ailleurs sur d'autres fondements juridiques. Le 1er septembre 2025, la CNIL a prononcé 325 millions d'euros au titre des cookies publicitaires, répartis entre 200 millions pour Google LLC et 125 millions pour Google Ireland Limited. Le 23 juillet 2026, la Commission européenne a infligé 890 millions d'euros pour des manquements au règlement sur les marchés numériques (DMA).

Portée pour les détenteurs d'actions

Alphabet représente environ 4 270 milliards de dollars de capitalisation boursière et figure parmi les toutes premières pondérations des indices actions mondiaux. Les épargnants français y sont largement exposés sans toujours le savoir, par les unités de compte de leurs contrats d'assurance vie et par les fonds indiciels répliquant le S&P 500 ou le MSCI World. Le titre a clôturé à 349,54 dollars le vendredi 18 septembre, dernière séance avant l'annonce, en hausse de 0,64 %.

Rapportée aux revenus du groupe, l'amende reste d'ampleur limitée. L'enjeu patrimonial se loge plutôt dans l'injonction de mise en conformité sous six mois, qui touche la matière première du modèle publicitaire d'Alphabet. La publicité assise sur des données comportementales finement segmentées constitue le cœur de la rentabilité du groupe, dont le bénéfice net atteint 244,12 milliards de dollars sur douze mois glissants.

Les points à surveiller

• La publication par la DPC de sa décision détaillée, qui précisera les articles du RGPD retenus et la ventilation des amendes entre les entités du groupe.
• L'échéance de six mois pour la mise en conformité, soit une remise à plat attendue avant la fin mars 2027.
• Les suites contentieuses éventuelles, les sanctions de la DPC faisant régulièrement l'objet de recours devant les juridictions irlandaises.
• Les autres procédures européennes en cours visant les pratiques publicitaires du groupe.

Sources

• RTÉ, Google fined €403m by Irish data watchdog over location tracking
• Business Post, Google receives €403m fine from DPC over location data processing
• Data Protection Commission, ouverture de l'enquête statutaire, 4 février 2020
• BEUC, plaintes des organisations de consommateurs, 27 novembre 2018
• Comité européen de la protection des données, amende CNIL de 325 millions d'euros
• RTÉ, enquête DLA Piper sur les amendes RGPD, janvier 2026
• Commission européenne, amende DMA de 890 millions d'euros
• StockAnalysis, données de marché Alphabet
• Reuters, Irish regulator fines Google €403 million over location data processing