VRAI OU FAUX. L'Union européenne va-t-elle "vous piller votre historique Google" pour favoriser la concurrence ?

Vos données de recherches sur Google vont-elles bientôt être largement partagées, sans que vous ne puissiez rien y faire ? Ces derniers jours, de nombreuses publications issues de comptes francophones et anglophones sur les réseaux sociaux arguent que la Commission européenne s'apprête à "vous piller votre historique Google". Requêtes, clics, vues, localisation… Une nouvelle mesure prise dans le cadre de la législation sur les marchés numériques (Digital Market Act, DMA) forcerait le géant américain du numérique à partager ses précieuses données avec l'Union européenne.

Selon l'un de ces comptes, dont la publication sur X a été vue plus de 28 000 fois depuis le 27 avril, "chaque mot tapé, chaque résultat consulté, chaque scroll et chaque recherche vocale ou photo" seront concernés. Ces données, censées être anonymisées, comprendraient aussi bien "vos symptômes médicaux" que vos "infidélités potentielles", d'après cet utilisateur qui assure "qu'une requête bien précise suffit souvent à (…) réidentifier" son auteur.

Pire, cette démarche, "officiellement" prise pour favoriser le développement de moteurs de recherche et d'IA européens serait, toujours selon ce compte, un prétexte de la Commission européenne pour construire "la plus vaste base de surveillance distribuée du continent". Pourtant, si cette mesure est bien prévue par la Commission, la présentation qui en est faite dans ces publications est trompeuse. Franceinfo démêle le vrai du faux.

L'Union européenne n'aura pas accès à vos données

Coupons court aux fantasmes orwelliens, il ne s'agit pas pour la Commission d'avoir accès aux historiques de recherche de centaines de millions d'Européens à des fins de surveillance généralisée, mais bien de forcer Google à partager ses données à ses concurrents opérant en Europe pour leur permettre de se développer plus efficacement. Il n'est prévu, à aucun moment, que les instances européennes aient accès, d'une quelconque manière, à vos données.

Prévue dans le cadre du DMA, et plus précisément de son article 6, paragraphe 11, cette mesure a été théoriquement adoptée dès 2024. Mais elle a fait l'objet de fortes négociations entre Google, qui s'oppose au partage de ses précieuses données, et la Commission, qui veut mettre fin à sa position de monopole sur le marché européen. Son application étant plus complexe que le reste du texte, l'article n'est pas encore entré en vigueur et a été soumis à une consultation publique, qui prenait fin le 1er mai dernier. Il doit être définitivement adopté, au plus tard, le 27 juillet 2026.

"Google Search est le moteur de recherche en ligne le plus populaire depuis plus de dix ans. Il a recueilli un grand nombre de données d'utilisateurs, auxquelles les moteurs de recherche tiers n'ont pas pu accéder, explique à franceinfo Thomas Regnier, porte-parole de la Commission européenne. Les mesures proposées par la Commission visent donc à réduire cette barrière à l'entrée afin de permettre aux moteurs de recherche concurrents et aux dialogueurs d'IA dotés de fonctionnalités de recherche de contester efficacement" leur rival américain.

Google détient 90% de part de marché mondial

Car Google détient aujourd'hui environ 90% de part de marché mondial pour la recherche en ligne, selon StatCounter. Très loin devant Microsoft Bing (5,5%), ou encore Yahoo (1,5%). Une position ultradominante qui lui permet de collecter un nombre considérable de données, et donc de continuer à améliorer la pertinence de ses réponses, au détriment de ses concurrents, incapables de rattraper leur retard.

"Si Google Search est en première position, ce n'est pas parce qu'il est intrinsèquement meilleur que les autres moteurs de recherche, c'est parce qu'il dispose d'un historique de données sur vingt-cinq ans qui lui permet de classer ses résultats de manière plus efficace", analyse Guillaume Champeau, ancien directeur juridique du moteur de recherche français Qwant et fondateur du média en ligne Numerama. "Or on sait très bien qu'un internaute qui va sur un autre moteur de recherche et qui trouve que les résultats sont moins bons que sur Google va immédiatement y retourner [sur Google]", poursuit-il.

Si le partage des données collectées par Google apparaît donc essentiel au développement de ses concurrents, le géant américain, lui, rechigne sans surprise à les fournir. La firme estime notamment que cette mesure "dépasse largement le mandat initial du DMA" et qu'elle "met en péril la vie privée et la sécurité des personnes".

"Des centaines de millions d'Européens font confiance à Google pour leurs recherches les plus sensibles – y compris des questions privées concernant leur santé, leur famille et leurs finances – et la proposition de la Commission nous obligerait à transmettre ces données à des tiers, avec des protections de la vie privée dangereusement inefficaces", a jugé, dans une déclaration officielle transmise à franceinfo, Clare Kelly, avocat en matière de concurrence chez Google.

Des garde-fous prévus par la Commission européenne

Dans le détail, le jeu de données réclamé à Google est effectivement considérable. Il comprend à la fois les requêtes des utilisateurs, leurs métadonnées (l'horodatage, la localisation, le type d'appareil…), les informations affichées sur la page de résultats ou encore les données relatives à leurs interactions (ou leur absence d'interaction) avec la page et ses URL. Des informations extrêmement précises qui pourraient conduire, comme le dénoncent les publications citées plus haut ou Google, à une identification des utilisateurs sans garde-fous.

En 2006, avant que Google ne soit le mastodonte qu'il est aujourd'hui, la société AOL avait rendu public à des fins de recherche un fichier contenant 20 millions de requêtes de recherche effectuées par plus de 650 000 utilisateurs sur une période de trois mois. Les utilisateurs n'étaient pas identifiés mais des internautes et des médias, comme le New York Times, avaient réussi à en réidentifier certains en recoupant les informations présentes dans leurs requêtes. AOL a reconnu son erreur et supprimé le fichier quelques jours plus tard, mais le fichier avait déjà été largement copié et partagé. Cette déconvenue a donné lieu à un procès et à la démission de la directrice technique d'AOL, Maureen Govern.

Pour éviter ce cas de figure, la Commission européenne, via son porte-parole Thomas Regnier, assure que "les données à caractère personnel (seront) anonymisées" lors du partage de données de recherche de Google et que ces "mesures techniques étendues seront complétées par des protections contractuelles et un mécanisme d'audit indépendant annuel afin de garantir le respect de ces protections".

Concrètement, Alphabet (la maison mère de Google) doit supprimer tous les identifiants directs de l'utilisateur, tels que ceux du compte Google, les noms d'utilisateurs, l'horodatage précis, les adresses IP et les identifiants d'appareils. Pour qu'un mot ou une entité puisse apparaître, il doit avoir été cherché par au moins 50 utilisateurs différents, dans un délai de 13 mois. Ces mesures techniques s'accompagnent de mesures contractuelles, qui interdisent par exemple aux moteurs de recherche tiers de tenter de réidentifier les utilisateurs, d'utiliser les données de recherche à des fins publicitaires ou analytiques ou de conserver les données plus de 13 mois.

"L'équilibre bénéfice-risque est en faveur de l'utilisateur"

Mais ces garanties sont-elles suffisantes ? "Si ça fonctionne réellement comme le document de la commission l'indique, le risque de réidentification est relativement faible. L'équilibre bénéfice-risque, pour moi, est en faveur de l'utilisateur", juge Guillaume Champeau, qui rappelle que des ajustements peuvent encore être effectués d'ici l'adoption finale de la mesure en juillet. "Les données qui vont devoir être partagées sont des données que Google possède déjà, donc je ne vois pas en quoi ce serait pire pour la confidentialité qu'actuellement… à moins de penser que Google se soucie de notre vie privée", ironise pour sa part Olivier Blazy, professeur à l'Ecole polytechnique et chercheur en cryptographie.

Le spécialiste émet en revanche plus de réserves sur la capacité de la Commission européenne à faire respecter la loi. "Il y aura un contrôle sur l'utilisation des données, mais ça ne sera qu'un contrôle légal et rien ne garantit que les entreprises ne tenteront pas de les utiliser à d'autres fins, en sous-main", juge-t-il, regrettant par ailleurs que le partage des données ait été ouvert "à toutes les entreprises opérant sur le territoire européen", et pas aux seules entreprises européennes. Un point balayé par la Commission européenne, qui assure vouloir créer "des possibilités pour toutes les entreprises opérant dans l'UE sans discrimination fondée sur leur pays d'origine."

A l'heure où les cyberattaques sont de plus en plus fréquentes en France et dans le monde, certaines publications sur les réseaux sociaux citées plus haut s'inquiètent également du risque de fuite de données. Une inquiétude légitime, selon Olivier Blazy. "Plus vous multipliez le nombre d'entreprises qui ont accès à ces données, plus il y a un risque qu'un maillon faible les fasse fuiter. Mais encore une fois, ces données existaient déjà chez Google, et étaient déjà attrayantes là-bas", rappelle le chercheur. Le géant américain n'est d'ailleurs pas infaillible: en août 2025, il avait révélé avoir été piraté par les hackers de ShinyHunters un célèbre groupe connu pour des attaques contre de grandes marques comme LVMH, Allianz Life, Pixlr ou encore Adidas.