Le rapport annuel 2010 de la Commission nationale pour la protection des données du Luxembourg revient sur "l'affaire Google street view"

Extrait du rapport (pp.35-36)

L’affaire « Google Street View »

« Google Street View » est une application en ligne permettant de se déplacer virtuellement dans certaines grandes villes du monde grâce à des images fixes prises sur 360 degrés par un véhicule spécialement équipé. Ce service controversé de navigation virtuelle a suscité une vive polémique depuis sa création et a valu à Google des critiques dans plusieurs pays, particulièrement concernant la protection de la vie privée. Au Luxembourg, la Commission nationale s’était vue obligée de suspendre les prises d’images pour le service « Street View » en mai 2009 : à défaut d’avoir obtenu toutes les assurances quant au respect de certaines conditions qui faisaient l’objet des discussions avec Google depuis 2008 (annonce publique préalable des périodes de prises de vues ; floutage des personnes et plaques d’immatriculation ; respect du droit d’opposition ; abstention de toute commercialisation ultérieure ou transmission à des tiers des images ; garanties relatives à la sécurité des données préalablement à la mise en ligne). Après avoir rempli les requis de notification en août 2009, Google a repris l’enregistrement d’images dans sept communes luxembourgeoises (pour plus de détails concernant l’affaire « Street View » en 2009, se reporter au point 3.2. du rapport annuel 2009).

Avertissement à Google au sujet de la collecte de données Wi-Fi lors des prises de vues pour « Street View » en 2009

Après une enquête technique de l’autorité de protection des données de Hambourg en mai 2010, la société américaine a dû reconnaître avoir collecté « par inadvertance » des données personnelles en scannant les réseaux Wi-Fi non protégés. Google a expliqué avoir inclus sans le savoir un code informatique expérimental dans le dispositif d’exploitation de ses voitures de collecte de données pour « Street View ». Cette annonce a déclenché l’ouverture d’investigations par les autorités de protection des données ou même par la police dans de nombreux pays. Cela a amené Google à suspendre temporairement ses activités en Europe. L’entreprise américaine a ensuite proposé de détruire les données personnelles collectées ou de les transmettre aux autorités nationales si ces dernières l’exigeaient.

En France, la CNIL (Commission Nationale de l’Informatique et des Libertés) a notamment demandé à Google de lui communiquer l’ensemble des données recueillies sur le territoire national par les véhicules « Street View », à partir des bornes Wi-Fi. Lors de son investigation, l’autorité de contrôle a découvert que Google a bien enregistré des mots de passe d’accès à des boîtes mail et des extraits de contenus de messages électroniques, à l’insu des personnes. Pour cette raison, la CNIL a même condamné Google à verser une amende de 100.000 euros en mars 2011.

N’ayant pas à sa disposition les mêmes moyens techniques que les autorités de contrôle d’autres pays pour analyser les enregistrements de données captées au Luxembourg à l’occasion des campagnes de prises de vues, la Commission nationale a demandé à Google de détruire les données Wi-Fi concernant le Grand- Duché.
Par lettre du 24 août, elle a, par ailleurs, adressé un avertissement à Google au sujet de la collecte des données Wi-Fi lors des prises de vues pour « Street View » au Luxembourg en 2009. Elle a demandé à Google Inc. de s’en tenir dorénavant strictement aux conditions fixées.

L’autorité de contrôle luxembourgeoise a réclamé une transparence totale concernant les opérations de prises de vues et le traitement des données et tenait en particulier à être informée en détail sur la collecte (période des prises de vues mobiles en relation avec l’enregistrement de la position GPS), la finalité (cartographie illustrée et vue à 360° des rues et villes sur Internet et téléphone portable etc.), l’utilisation et la publication des données. Ces informations devraient également être communiquées au public de manière appropriée.

De plus, la Commission nationale a demandé qu’une voiture de Google soit mise à sa disposition pour inspection avant que les prises de vues recommencent au Luxembourg afin de pouvoir garantir qu’à l’avenir aucune donnée personnelle ne puisse être collectée à travers des bornes Wi-Fi privées.

Un mois plus tard, la CNPD a procédé à l’inspection d’une des voitures utilisées pour collecter les images. Elle a pu s’assurer que la voiture inspectée n’était plus pourvue des équipements controversés de détection de réseaux Wi-Fi qui interceptaient des données privées transmises. Elle a en outre reçu des réponses satisfaisantes et détaillées des spécialistes de Google à ses questions sur le fonctionnement de la collecte des données. La voiture mise à disposition était celle (immatriculée en Belgique) qui devait parcourir à nouveau le Grand-Duché lors de la reprise des prises de vues.

Droit d’opposition des individus concernant la publication des façades et alentours des habitations

Le droit d’opposition contre la publication d’images portant sur une habitation a été un élément important des discussions avec Google Inc. dès le début et fait partie des conditions de notification à respecter par la société américaine. La Commission nationale tient à faire respecter ce droit d’opposition, attribué aux personnes pour des raisons prépondérantes et légitimes.

La prise de position de Google, du moins telle que reproduite dans la presse le 5 novembre 2010, a soulevé l’interrogation de la CNPD sur le point de savoir si Google tenait à respecter les conditions de notification. Une porte-parole du département Presse de Google Benelux avait en effet déclaré que Google entendrait ne pas prendre en considération d’éventuelles oppositions à la publication d’images de leur habitation lui étant adressées préalablement à la mise en service de « Street View » au Grand-Duché. Google avait invité les résidents luxembourgeois à se servir exclusivement de la fonctionnalité électronique mise à disposition pour s’opposer ou signaler en ligne des images problématiques lors de la navigation sur Internet.

Cette décision de Google a amené la Commission nationale, dans sa délibération n°329/2010 du 5 novembre 2010, à interdire à Google Inc. de prendre des images pour son service « Street View » aussi longtemps qu’elle ne respecte pas les oppositions exprimées préalablement à la mise en ligne des images par des personnes concernées. À défaut d’assurances sur le respect des oppositions préalables, la poursuite de la collecte de données et notamment du captage d’images d’habitations porte atteinte aux libertés et droits fondamentaux des personnes concernées. Dès lors, la Commission nationale a estimé nécessaire de prononcer une sanction administrative en application de l’article 33 paragraphe (1) lettre (c) de la loi modifiée du 2 août 2002.

Lors des prises de vues en automne 2009, de nombreux citoyens s’étaient en effet adressés directement à la CNPD pour faire valoir leur droit d’opposition. Celle-ci a ensuite transmis ces objections au représentant de Google au Luxembourg. La Commission nationale avait mis à disposition des citoyens une lettre-type sur son site Internet afin de faciliter les démarches pour faire valoir leur droit d’opposition contre la publication d’enregistrements portant sur une habitation ou d’autres données personnelles sur le site de « Google Street View ».

En Allemagne, 244.000 citoyens avaient fait usage de ce droit en demandant que la photo de leur habitation soit rendue floue ou retirée du service de Google. Le géant américain de l’Internet s’était engagé à rendre méconnaissables au moyen d’un traitement automatisé performant les visages des personnes tout comme les immatriculations de véhicules avant la publication des prises de vues sur Internet et à tenir compte de façon appropriée des réclamations reçues. Les discussions menées avec Google sur l’application concrète de ces principes aux prises de vue du Grand- Duché n’ont pas progressé en raison du report du calendrier de mise en ligne de Street View en Europe.

Lire le rapport intégral sur le site officiel de la CNPD.