Le numéro 1 mondial des plateformes audio, Spotify, s’est vu infliger une amende de 58 millions de couronnes (5 millions d’euros) par les autorités suédoises, mardi 13 juin, au titre du règlement général sur la protection des données (RGPD). L’entreprise a annoncé son intention de faire appel de la décision.
Le géant du streaming n’a pas communiqué de manière suffisamment précise sur la manière dont elle emploie les données de ses utilisateurs, a estimé l’autorité suédoise de la protection des données (Integritetsskyddsmyndigheten, IMY). « Une personne qui demande l’accès à ses données doit pouvoir comprendre facilement comment l’entreprise les utilise », a expliqué Karin Ekström, l’une des juristes ayant dirigé l’enquête au sein de l’autorité.
Et dans certains cas plus complexes, les explications concernant ces données doivent être disponibles « non seulement en anglais, mais aussi dans la langue de la personne concernée ». « Nous avons identifié des lacunes dans ces domaines », a précisé Mme Ekström. Mais celles-ci sont « peu graves dans l’ensemble », a-t-elle ajouté, soulignant que Spotify avait « pris plusieurs mesures pour satisfaire aux exigences du droit d’accès des personnes ».
Le montant de l’amende est justifié par la place qu’occupe la plate-forme dans le secteur du streaming musical légal et par le nombre de ses utilisateurs : plus de 515 millions au dernier pointage en avril.
« Accélérer les procédures »
Le cabinet Noyb, à l’origine de la plainte contre Spotify, a salué la décision suédoise mais a regretté son caractère tardif. « L’affaire a duré plus de quatre ans et nous avons dû saisir l’IMY pour obtenir une décision. L’autorité suédoise doit absolument accélérer ses procédures », a relevé Stefano Rossetti, avocat spécialiste de la protection de la vie privée chez Noyb.
Dans une déclaration envoyée à l’Agence France-Presse, Spotify a assuré « fournir à tous les utilisateurs des informations complètes sur la manière dont leurs données personnelles sont traitées ». Seuls quelques « aspects mineurs » identifiés par l’autorité nécessitent une amélioration, a affirmé le groupe.
En vigueur depuis cinq ans dans l’Union européenne, le RGPD s’est progressivement installé dans la législation de chaque pays. Le texte, applicable par les autorités nationales des Etats membres depuis le mois de mai 2018, permet des sanctions allant jusqu’à 20 millions d’euros ou, pour une entreprise, 4 % de son chiffre d’affaires mondial.