Une sanction attendue depuis huit ans La Data Protection Commission irlandaise, autorité chef de file pour Google en Europe, a infligé une amende de 403 millions d'euros au moteur de recherche. Le dossier porte sur l'utilisation des données de géolocalisation des utilisateurs Android pour affiner le ciblage publicitaire. Sans consentement libre et éclairé, selon l'autorité. La plainte remonte à novembre 2018. Sept associations européennes de consommateurs l'avaient déposée. La décision tombe en septembre 2026. Ce que visait la plainte Les associations pointaient des interfaces trompeuses, des informations biaisées et des sollicitations répétées pour pousser les utilisateurs à activer le suivi de localisation. Autrement dit, ce qu'on appelle aujourd'hui des dark patterns. Google affirme avoir corrigé ces pratiques dès 2019. Ça ne change rien à l'analyse des traitements réalisés avant. Le vrai sujet : reconstituer le parcours C'est là que le dossier devient instructif pour toute organisation qui s'appuie sur le consentement. L'autorité juge les parcours tels qu'ils existaient au moment des faits. Encore faut-il pouvoir les reconstituer. Combien d'organisations sont capables de produire aujourd'hui la version exacte de leurs écrans de consentement de 2022 ? Les textes affichés, l'ordre des boutons, les cases précochées ou non, les paramètres par défaut. Très peu, en réalité. Les interfaces évoluent à chaque sprint. Les plateformes de gestion du consentement changent de version. Les maquettes disparaissent avec les prestataires. Et les logs conservés enregistrent le choix de l'utilisateur, rarement l'apparence de l'écran qui lui a été présenté. L'archivage des interfaces, une pièce de conformité Pour les DPO, la conclusion est opérationnelle. Chaque version d'un écran de consentement mise en production devrait être capturée, datée et archivée, au même titre qu'une version de politique de confidentialité. Ce n'est pas un travail lourd. Une capture systématique avant chaque mise en production, un dossier horodaté, une validation par le DPO dans le circuit de déploiement. Huit ans après, c'est ce dossier qui fera la différence.
