L'affaire avait fait grand bruit un peu partout dans le monde. En sillonnant les rues, les voitures de Google avaient récolté des données personnelles transitant sur des réseaux WiFi non sécurisés : adresses e-mail, contenus de courriels, identifiants et des mots de passe, prénoms et des noms, adresses postales et numéros de téléphone. L'affaire a été révélée le 22 avril 2010 en Allemagne par le Commissaire fédéral à la protection des données Peter Schaar qui avait expliqué que les fameuses Google Cars avaient capté et conservé plus de 600 gigaoctets de données transitant sur les réseaux croisés en chemin ( lire notre article qui détaille l'historique de l'affaire , on en parle aussi dans notre podcast ).
En ce qui concerne les données récoltées en France, une enquête était en cours à la CNIL (Commission Nationale Informatique et Liberté) depuis le début de l'affaire. Un peu moins d'un an plus tard, le 17 mars 2011, la formation contentieuse de le Commission a condamné Google à 100000 euros d'amende.
«Compte-tenu de la gravité des faits et du risque d'atteinte à la vie privée des utilisateurs des réseaux Wi-Fi concernés, la CNIL a mis en demeure la société, le 26 mai 2010, de cesser toute collecte de données à l'insu des personnes et de lui fournir une copie de l'intégralité des données de contenu captées sur le territoire national» , précise la CNIL dans un communiqué .
Et, après avoir pris acte de la volonté de Google de stopper toute collecte et de supprimer définitivement les données ainsi récupérée, le communiqué tacle de nouveau le géant de l'Internet à propos d'un tout autre service : « [Google] n'a pas renoncé à utiliser les données identifiant les points d'accès Wi-Fi de particuliers à leur insu. En effet, cette collecte n'est aujourd'hui plus réalisée par les "Google cars", mais s'opère directement par le biais des terminaux mobiles des utilisateurs se connectant au service de géolocalisation Latitude (smartphones, etc.), et ce à leur insu. La CNIL considère que ce défaut d'information constitue une collecte déloyale au sens de la loi, qui était déjà à l'œuvre avec les "Google cars"» . Ce n'est pas vraiment une surprise, le service de géolocalisation sociale de Google était dans la mire de la Commission depuis son lancement en 2009 .
Google a reconnu les faits depuis mai 2010, mais l'explication de cette collecte abusive n'est arrivée qu'en octobre, suite à l'enquête du Commissariat à la protection de la vie privée, l'équivalent canadien de la CNIL. Selon ses conclusions, « l'incident a été causé par une faute d'imprudence commise par un ingénieur, et par un manque de mesures de contrôle. » L'ingénieur en question avait consacré ses fameux 20% de temps de travail libre à développer un mystérieux code « pour échantillonner toutes les catégories de données diffusées publiquement sur des réseaux Wi-Fi » et recueillir des « données utiles » sur le contenu de ces communications. Ce code a été incorporé au capteur WiFi des Google Cars sans suivre les procédures de vérification usuelles de la société et commencé sa récolte de données à l'insu de tous.
En réponse à la condamnation, Google s'est contenté de rester sur la ligne qui est la sienne depuis mai 2010 et déclaré, par l'intermédiaire de Peter Fleischer, directeur Protection des données personnelles : «Comme nous l'avons déjà dit, nous sommes profondément désolés d'avoir collecté par erreur des données circulant sur des réseaux Wifi non sécurisés. Notre objectif a toujours été de détruire ces données et nous sommes contents que la Cnil nous en ait donné l'autorisation.»
>> Lire la délibération de la CNIL (PDF).
Sur le même sujet :
- Street View War épisode 2 : L'attaque des CNIL (26/10/2010)
- Les voitures Google en excès de vitesse (23/8/2010)
- La guérilla urbaine de Google en Allemagne (10/8/2010)
- Le Wifi et les Google Cars, un accident de parcours ? (17/5/2010)