Meta, maison mère de Facebook, a reçu, jeudi 19 janvier, une amende de 5,5 millions d’euros du régulateur irlandais pour avoir enfreint le règlement européen sur les données (RGPD) avec sa messagerie WhatsApp, une sanction toutefois limitée comparé à celle de 390 millions d’euros reçue début janvier.
Dans cette nouvelle décision, la Commission irlandaise pour la protection des données (DPC), qui agit pour le compte de l’Union européenne (UE), estime que le géant numérique n’a pas respecté ses « obligations en matière de transparence ».
En outre, Meta se fondait sur une base juridique erronée « pour son traitement des données personnelles à des fins d’amélioration du service et de sécurité », poursuit dans un communiqué le régulateur, qui donne six mois au groupe californien pour « mettre ses opérations de traitement de données en conformité ».
Motifs similaires
Cette sanction se fonde sur des motifs similaires à celle annoncée début janvier qui visait les réseaux sociaux Facebook et Instagram. Mais la décision précédente reprochait en outre à ces filiales de Meta des manquements liés au traitement des données personnelles à des fins de publicité ciblée, une décision susceptible d’infliger un coup aux revenus publicitaires du groupe. Meta avait immédiatement annoncé son intention de faire appel et s’était empressé d’ajouter que la sanction n’empêchait pas la publicité ciblée ou personnalisée.
L’amende est cette fois-ci bien moindre, notamment parce qu’elle ne porte pas sur la publicité ciblée, mais aussi car « la DPC avait déjà infligé une amende très substantielle de 225 millions d’euros à WhatsApp » pour des faits qui portaient « sur la même période », fait-elle valoir.
Le régulateur avait en effet infligé une lourde sanction à WhatsApp en septembre 2021 pour avoir failli à ses obligations de transparence, en particulier sur les transferts de données vers d’autres compagnies du groupe.
Le gendarme irlandais avait aussi condamné Meta en septembre à une amende de 405 millions d’euros pour des manquements dans le traitement des données de mineurs, et en novembre à hauteur de 265 millions d’euros pour ne pas avoir protégé suffisamment les données de ses utilisateurs.
Les nouvelles amendes infligées en janvier font suite à l’adoption début décembre de trois décisions contraignantes du comité européen de la protection des données (CEPD), le régulateur européen du secteur.
Sanction beaucoup trop faible
L’association de défense de la vie privée Noyb, à l’origine de trois plaintes contre le groupe, déposées le 25 mai 2018, date d’entrée en vigueur du RGPD, avait accusé Meta de réinterpréter le consentement « comme un simple contrat de droit civil », qui ne permet pas, notamment, de refuser la publicité ciblée.
L’autorité irlandaise de protection des données est compétente pour agir au nom de l’UE car le siège européen de Meta se trouve en Irlande, comme de nombreux géants de la Silicon Valley, dont la présence est cruciale pour l’économie irlandaise.
Le Monde
Offre spéciale étudiants et enseignants
Accédez à tous nos contenus en illimité à partir de 8,49 euros par mois au lieu de 9,99 euros
S’abonner
La DPC fait preuve de davantage de bienveillance que ses pairs : en octobre 2021, elle avait proposé un projet de décision qui validait la base juridique utilisée par le groupe et suggérait une amende de 36 millions d’euros maximum pour Facebook et d’au moins 23 millions pour Instagram pour défaut de transparence.
La CNIL française et d’autres régulateurs avaient exprimé leur désaccord, jugeant cette sanction beaucoup trop faible. Ils avaient demandé au CEPD de juger le différend, et ce dernier leur a donné raison sur la question de la base juridique.
Parallèlement, le CEPD a également demandé à la DPC de mener une nouvelle enquête pour approfondir l’utilisation des données personnelles par Meta. Mais l’autorité irlandaise estime que le régulateur européen n’a pas le pouvoir de lui ordonner « de s’engager dans une enquête ouverte et spéculative », selon son communiqué, et s’apprête à introduire un recours en annulation de cette requête devant la justice européenne.