Pourquoi Gmail pose-t-il des problèmes de confidentialité et de conformité au GDPR ?

Plus de 1,8 milliard de personnes dans le monde utilisent Gmail, dont de nombreux Européens. Le service est gratuit, fiable et s'intègre parfaitement aux autres outils Google. Pourtant, un problème fondamental se pose : Gmail est difficilement compatible avec la législation européenne en matière de protection des données.

Il ne s'agit pas de réglages mineurs ou de détails de configuration. Il s'agit de questions fondamentales : Où sont stockés vos courriels ? Qui peut y accéder ? Qu'advient-il de leur contenu ? Et qu'est-ce que cela signifie sur le plan juridique si vous utilisez Gmail à des fins professionnelles ?

Pour de nombreux utilisateurs, les réponses sont inconfortables.

La question centrale : Traitement des données en dehors de l'UE

Google stocke les courriels dans des centres de données situés dans le monde entier, dont une grande partie aux États-Unis. Cela pose un problème juridique, car le GDPR n'autorise le traitement des données personnelles en dehors de l'UE que dans des conditions strictes.

Depuis l'entrée en vigueur de la Schrems II En raison de l'arrêt de la Cour européenne des droits de l'homme en 2020, le "bouclier de protection de la vie privée", qui devait légitimer les transferts de données vers les États-Unis, n'est plus valable. Google s'appuie désormais sur les clauses contractuelles types (CCN) pour garantir les transferts internationaux de données. Ces clauses constituent un instrument juridique reconnu, mais elles ne peuvent empêcher les autorités américaines d'accéder aux données en vertu du droit américain.

C'est là le nœud du problème. Le GDPR exige un niveau de protection équivalent aux normes européennes. Les lois américaines sur la surveillance, telles que FISA 702 et l'ordre exécutif 12333, sont en contradiction avec cette exigence. Google peut mettre en œuvre des garanties techniques, mais le vide juridique demeure.

À partir de 2026, le cadre de protection des données personnelles UE-États-Unis succède au bouclier de protection des données. Toutefois, il n'est pas certain qu'il résistera à un contrôle judiciaire. La situation juridique peut changer rapidement.

Évaluation de la publicité et analyse automatisée

Par le passé, la situation était claire : Google analysait le contenu des courriels pour afficher des publicités personnalisées. Selon Google, cette pratique a pris fin en 2017 - du moins pour les comptes Gmail gratuits.

Cela signifie-t-il que Gmail n'analyse plus du tout le contenu des e-mails ? Non. Google continue d'utiliser des systèmes automatisés pour :

• filtrer les spams et les tentatives d'hameçonnage
• catégoriser les emails (Promotions, Social, Mises à jour)
• fournir Smart Reply et Smart Compose
• détecter les événements liés à la sécurité, tels que les connexions suspectes

Ces fonctions nécessitent des algorithmes pour analyser le contenu des courriels. Cette opération est nécessaire d'un point de vue technique, mais elle reste pertinente du point de vue de la protection des données. Même si Google ne fait plus de publicité directement à partir du contenu des courriels, les données sont toujours traitées. Et elles sont traitées par une société américaine soumise à des cadres juridiques différents de ceux qui régissent les fournisseurs européens.

Vous n'avez qu'un aperçu très limité des analyses effectuées en arrière-plan. Les règles de confidentialité de Google décrivent les processus généraux, mais pas le fonctionnement spécifique des algorithmes ni les conclusions tirées des données.

Absence de protection de la vie privée par défaut

Le GDPR exige le respect de la vie privée par défaut : les services doivent être configurés dès le départ pour ne traiter que les données strictement nécessaires.

Ce n'est pas le cas de Gmail. Lorsque vous créez un compte, les fonctionnalités suivantes sont activées par défaut :

• personnalisation des annonces (en dehors de Gmail, mais sur la base de votre compte Google)
• suivi de l'activité des sites web et des applications
• l'historique de la localisation (en fonction de l'appareil)
• Histoire de YouTube

Vous pouvez modifier ces paramètres, mais seulement si vous le faites activement. Et même si vous désactivez tout, le problème principal demeure : Google traite vos courriels sur des serveurs situés en dehors de l'Union européenne, conformément à la législation américaine.

“La ”confidentialité par défaut" signifie également que les données sensibles doivent être protégées automatiquement. Avec Gmail, cette responsabilité incombe à l'utilisateur. Cela va à l'encontre de l'intention fondamentale du GDPR.

Les accords sur le traitement des données et la question de la protection des données

Si vous utilisez Gmail à des fins professionnelles, un autre problème se pose. Légalement, vous êtes le “responsable du traitement des données” en vertu du GDPR, tandis que Google agit en tant que “processeur de données”. Cela nécessite un accord de traitement des données (DPA).

Un accord de protection des données définit la manière dont un fournisseur de services peut traiter vos données. Google propose un tel accord pour Google Workspace (la version professionnelle payante). Les comptes Gmail gratuits ne comportent pas de DPA, ce qui, à lui seul, rend l'utilisation professionnelle problématique sur le plan juridique.

Mais même avec un DPA, le problème sous-jacent demeure : Google traite des données aux États-Unis. Une autorité de protection des données peut obliger Google à prendre certaines mesures de protection, mais elle ne peut pas empêcher les autorités américaines de demander l'accès aux données dans des circonstances spécifiques.

Il y a aussi la question du contrôle. Une DPA suppose que vous gardiez le contrôle des données. Avec Gmail, c'est discutable. Vous pouvez supprimer des courriels, mais êtes-vous transparent quant à l'endroit où les copies sont stockées, aux sauvegardes existantes ou à la durée de conservation des métadonnées ?

Pour les entreprises qui échangent des données sensibles sur leurs clients ou des informations personnelles par courrier électronique, cela devient critique. Prenons l'exemple d'un cabinet de conseil fiscal qui utilise Gmail pour communiquer avec ses clients. Les comptes de résultat, les déclarations fiscales et les données personnelles sont transmis par courrier électronique. D'un point de vue juridique, cela représente un risque, même si une DPA est en place.

Ce que cela signifie en pratique

Le degré de difficulté de Gmail dépend de l'utilisation que vous en faites. Une évaluation réaliste se présente comme suit :

La distinction est importante. Tous les cas d'utilisation de Gmail ne sont pas immédiatement illégaux. Mais plus les données sont sensibles et plus le contexte est professionnel, plus le risque est grand.

Ces dernières années, les autorités chargées de la protection des données ont examiné de plus en plus attentivement les services basés aux États-Unis. Des amendes ont été infligées à des entreprises qui avaient transféré des données à caractère personnel aux États-Unis sans les garanties juridiques adéquates. Jusqu'à présent, Gmail a rarement été la cible directe des mesures d'application de la loi, mais le problème juridique sous-jacent demeure.

Idées reçues sur Gmail et le GDPR

“Google Workspace est conforme au GDPR, donc tout va bien”.”
Google Workspace fournit un DPA et des contrôles administratifs supplémentaires, ce qui améliore la situation. Mais cela n'élimine pas la question du traitement des données aux États-Unis. Même si les données sont stockées dans des centres de données européens, Google se réserve le droit d'y accéder depuis les États-Unis. Un DPA atténue certains risques, mais pas tous.

“Si j'utilise le cryptage, Gmail ne pose aucun problème du point de vue de la protection de la vie privée.”
Le cryptage est utile, mais seulement dans une certaine mesure. Gmail utilise le cryptage de transport (TLS), ce qui signifie que les messages électroniques sont cryptés en transit. Toutefois, sur les serveurs de Google, les messages électroniques sont stockés en clair afin que des fonctions telles que la recherche et la réponse intelligente puissent fonctionner. Gmail ne propose pas de chiffrement de bout en bout (E2EE) par défaut. Des outils externes tels que PGP sont théoriquement possibles, mais rarement utilisés - et ils ne résolvent pas le problème des métadonnées (expéditeur, destinataire, horodatage).

“Je peux utiliser Gmail en privé sans crainte.”
Ce n'est que partiellement vrai. Pour un usage purement privé, le GDPR ne s'applique pas dans son intégralité. Mais dès que vous envoyez des courriels à caractère professionnel ou que vous traitez des données à caractère personnel d'autres personnes, il devient pertinent. Par exemple, si vous organisez une réunion de club et que vous envoyez des noms et des adresses par courrier électronique via Gmail, vous agissez en tant que responsable du traitement des données - et le GDPR s'applique.

Guide de décision : Quand est-il judicieux de changer de fournisseur ?

La décision de continuer à utiliser Gmail dépend de plusieurs facteurs :

• Quel est le degré de sensibilité de vos données ? Les lettres d'information et les confirmations sont moins critiques que les données salariales ou les dossiers médicaux.
• Vous utilisez Gmail dans le cadre de votre activité professionnelle ? Dans ce cas, il vous faut au moins un espace de travail Google avec un DPA ou, de préférence, une alternative basée dans l'UE.
• Quelle est l'importance du contrôle de vos données ? Avec Gmail, Google dispose toujours d'un accès technique.
• Êtes-vous prêt à troquer le confort contre la protection de la vie privée ? Gmail est pratique. Les autres solutions nécessitent souvent des ajustements.

Si vous décidez de ne pas utiliser Gmail, il existe des fournisseurs européens qui se concentrent sur la conformité au GDPR, exploitent des serveurs au sein de l'UE et n'effectuent pas d'analyse liée à la publicité.

Vous trouverez un aperçu ici : Alternative à Google Gmail

Gmail n'est pas illégal en soi, mais il est difficile de le concilier avec le GDPR. Ceux qui comprennent et acceptent consciemment le risque peuvent continuer à l'utiliser. Ceux qui doivent protéger des données sensibles devraient envisager d'en changer.

Tableau comparatif : Gmail vs. alternatives européennes