Google Mon Activity (myactivity.google.com) centralise l’historique de vos interactions avec les services Google : recherches, vidéos regardées, déplacements enregistrés, commandes vocales. Le RGPD qualifie chacune de ces traces d’activité de donnée personnelle, ce qui ouvre un ensemble de droits précis que Google est tenu de respecter sur le territoire européen.
Données collectées par Google Mon Activity : ce que le RGPD considère comme personnel
Une donnée personnelle, au sens du RGPD, désigne toute information se rapportant à une personne physique identifiée ou identifiable. L’adresse IP, l’identifiant publicitaire du téléphone, la requête tapée dans la barre de recherche, la position GPS captée par Google Maps : tout cela entre dans cette catégorie.
A lire en complément : Sécurité du mode svm : est-il vraiment sûr pour vos données ?
Google Mon Activity agrège ces éléments par service. L’outil affiche l’historique Web et applications, l’historique des positions, l’historique YouTube, les enregistrements audio de l’Assistant et les interactions avec les annonces. Chaque entrée est horodatée et liée au compte Google connecté.
A lire aussi : Mode sécurité : avantages et importance pour protéger vos données personnelles
La politique de confidentialité de Google précise que l’entreprise collecte aussi des informations lorsque l’utilisateur n’est pas connecté, en les associant à des identifiants uniques liés au navigateur ou à l’appareil. Le RGPD s’applique à ces données dès lors qu’elles permettent, directement ou par recoupement, d’identifier une personne.
Droits RGPD applicables à votre historique Google
Le règlement européen accorde plusieurs droits que vous pouvez exercer directement depuis l’interface Mon Activity ou par une demande formelle auprès de Google. Trois d’entre eux concernent directement la gestion de votre historique.
Droit d’accès et portabilité via Google Takeout
Le droit d’accès permet de consulter l’ensemble des données que Google détient. Mon Activity offre une vue chronologique, mais pour obtenir un export structuré, Google Takeout (takeout.google.com) génère une archive téléchargeable au format JSON ou HTML.
Le droit à la portabilité prolonge ce droit d’accès : vous pouvez récupérer vos données dans un format lisible par machine et les transférer vers un autre service. Google propose cette fonctionnalité directement dans les paramètres du compte.
Droit à l’effacement dans Mon Activity
Depuis l’interface, vous pouvez supprimer l’historique par jour, par produit ou en totalité. Google permet aussi de configurer une suppression automatique (tous les trois mois, tous les dix-huit mois, ou trente-six mois).
Un point souvent méconnu : la suppression dans Mon Activity n’efface pas nécessairement toute trace côté serveur. Google indique conserver certaines données au-delà de votre demande lorsque des obligations légales l’exigent (sécurité, lutte contre la fraude, contentieux en cours). Le RGPD autorise cette conservation résiduelle, mais uniquement pour des motifs limitativement encadrés.
Droit d’opposition et limitation du traitement
Ces deux droits sont rarement évoqués dans les guides grand public, alors qu’ils offrent une alternative à la suppression pure. Le droit d’opposition permet de demander que vos données ne soient plus utilisées pour un traitement précis, par exemple la personnalisation des annonces ou le profilage publicitaire.
Le droit de limitation, lui, revient à demander un « gel » de l’utilisation. Vos données restent stockées, mais Google ne peut plus les exploiter activement tant que la limitation est en vigueur. La CNIL rappelle que tout organisme doit répondre à ce type de demande dans un délai d’un mois.
Sanctions CNIL et transferts de données Google vers les États-Unis
Les autorités européennes de protection des données ont durci leur application du RGPD à l’égard de Google depuis quelques années. La CNIL française a notamment sanctionné Google pour non-respect du cadre sur les transferts de données personnelles vers les États-Unis.
Cette question affecte directement les utilisateurs de Mon Activity : les données d’historique transitent par des serveurs situés hors de l’Union européenne. Après l’invalidation du Privacy Shield par la Cour de justice de l’UE, Google a dû s’appuyer sur d’autres mécanismes juridiques (clauses contractuelles types, nouveau cadre transatlantique). La conformité de ces mécanismes reste sous surveillance active des autorités.
La CNIL a aussi sanctionné l’usage de Google Analytics par des sites web français, considérant que les données de navigation collectées constituaient un transfert non conforme. Ce précédent confirme que les traces d’activité enregistrées dans Mon Activity relèvent bien du périmètre RGPD, y compris lorsqu’elles sont générées par des services tiers intégrés à Google.
Paramètres concrets pour exercer vos droits dans Google Mon Activity
Plutôt que de se limiter à la suppression ponctuelle, une configuration méthodique des paramètres du compte Google réduit la collecte en amont. Voici les réglages les plus pertinents :
- Désactiver l’historique Web et applications dans les paramètres « Données et confidentialité » du compte Google, ce qui stoppe l’enregistrement des recherches et de la navigation dans les apps Google
- Désactiver l’historique des positions (Timeline), qui enregistre les déplacements via Google Maps, même en arrière-plan sur Android
- Activer la suppression automatique sur la période la plus courte proposée pour chaque type d’historique (recherches, YouTube, positions)
- Révoquer les autorisations des applications tierces connectées au compte Google via la section « Applications tierces ayant accès au compte »
- Consulter le tableau de bord de confidentialité (myaccount.google.com/dashboard) pour identifier les services actifs et le volume de données associé
Ces réglages n’annulent pas rétroactivement la collecte déjà effectuée. Pour les données passées, la suppression manuelle ou la demande formelle d’effacement restent nécessaires.
Limites du contrôle utilisateur face au traitement de Google
Même après suppression de l’historique et désactivation des paramètres, Google conserve des données agrégées ou anonymisées qui ne sont plus considérées comme personnelles au sens du RGPD. L’entreprise peut continuer aux utiliser pour améliorer ses modèles ou ses services.
Le RGPD prévoit aussi des exceptions au droit à l’effacement : liberté d’expression, obligations légales, motifs d’intérêt public, exercice de droits en justice. Google invoque régulièrement ces bases pour maintenir certaines données au-delà de la demande utilisateur.
En cas de refus ou de réponse insatisfaisante, vous pouvez saisir la CNIL via son formulaire de plainte en ligne. L’autorité dispose d’un pouvoir de contrôle et de sanction qui a déjà été exercé à l’encontre de Google sur le territoire français. Le délai de réponse imposé à Google est d’un mois maximum après réception de votre demande, prolongeable de deux mois en cas de complexité, à condition de vous en informer.
