L'amende de 50 millions d'euros à Google serait impossible en Suisse

C'est la première fois qu'un géant du Net se fait ainsi rattraper pour des questions liées à la protection des données, fonds de commerce de ces entreprises. La sanction a été infligée par la Commission nationale de l'informatique et des libertés (Cnil), le "gendarme" français des données personnelles.

La CNIL a utilisé les nouvelles armes prévues par l'UE pour protéger les données relatives à ses citoyens dans son règlement européen sur la protection des données (RGPD), entré en vigueur le 25 mai. Le texte permet aux citoyens de tous les Etats européens de porter plainte et aux autorités de chaque pays de répondre par des sanctions.

Arthur Messaud, l'un des militants qui a travaillé sur cette plainte, explique à la RTS l'objet de cette condamnation: "Dès qu'on utilise un service de Google, par exemple son moteur de recherche, on est obligé d'accepter les conditions d'utilisation, qui d'abord ne sont pas forcément claires, et qui surtout sont cochées par défaut. Or, le droit européen interdit que notre consentement soit donné par défaut. Il faudrait que la case soit décochée et que ce soit à nous de cliquer dessus", détaille ce membre de l'association La Quadrature du Net à Paris.

Pas de loi suisse

Ces conditions, cochées par défaut en Suisse aussi, pourraient-elles donner lieu à une telle amende ici?

"En Suisse, la base légale pour une condamnation similaire de Google fait actuellement défaut. La révision totale de la loi fédérale sur la protection des données, qui avait pour vocation de reprendre les principes directeurs du RGPD, s'est politiquement enlisée. Cette révision ne sera pas en vigueur avant deux ans, au plus tôt", affirme Nicolas Capt, avocat genevois spécialisé en droit des médias et des technologies.

Et dans deux ans? "Le projet de révision prévoit bien des amendes, mais rien de très dissuasif: quelques milliers de francs", répond l'avocat. Exactement 250'000 francs.

Risque d'attirer des entreprises "sans vergogne"

Une piqûre de moustique, pour Sébastien Fanti, avocat à Sion et préposé valaisan à la protection des données. Le projet de révision suisse reprend les principes fondateurs du RGPD. Sauf que le règlement européen s'applique aux entreprises qui ciblent le marché européen, même si elles sont basées hors de l'UE. La Suisse, elle, ne prévoit pas un régime extra-territorial.

"Cette loi MBudget risque d'attirer des entreprises en Suisse qui font le commerce de données et qui les commercialisent sans vergogne", s'insurge Sébastien Fanti, précisant que le risque de sanction vis-à-vis de la protection des données est plus faible en Suisse qu'en Chine, au Japon ou partout ailleurs.

Google aurait pu écoper de 4 milliards

Bien qu'exemplaire au niveau suisse, l'amende de 50 millions d'euros en France est toutefois jugée insuffisante pour beaucoup de spécialistes. La nouvelle loi européenne RGPD permettrait une sanction beaucoup plus importante, selon l'avocat français Alexandre Lazarègue.

"50 millions d'euros, ce n'est rien. Le RGPD permettrait, compte tenu des violations montrées du doigt dans cette décision, de monter l'amende à 4% du chiffre d'affaires mondial de l'entreprise, soit une amende de 4 milliards d'euros". Selon ce spécialiste du droit pénal sur internet, l'enjeu est de taille, car "la puissance financière de ces entreprises est telle qu'elles concurrencent, voire dominent des États."

D'autres sanctions à venir

En terme d'image, la sanction française est tout de même un coup dur pour Google, qui a déjà annoncé faire appel de cette sanction. Contacté, un porte-parole de Google affirme: "les utilisateurs s'attendent à des standards élevés de transparence et de contrôle de notre part. Nous sommes déterminés à répondre à ces attentes et aux exigences de consentement du RGPD. Nous étudions la décision de la CNIL afin de déterminer les prochaines étapes." Ce sera désormais au Conseil d'Etat, la plus haute instance juridique en France, de trancher.

Cette décision sera attendue par Arnaud Messaud et ses coéquipiers, qui ont aussi déposé plainte contre tous les autres géants du Net: "La décision de la CNIL n'est qu'un apéritif. Les entrées et les plats principaux sont encore à venir", affirme Arthur Messaud, évoquant d'autres plaintes déposées contre Facebook, Apple ou Gmail.

Adeline Percept et Feriel Mestiri