Irlan­de : amen­de de 345 mil­li­ons d’eu­ros pour Tik­Tok – man­quements à l’ob­li­ga­ti­on d’in­for­ma­ti­on et TOM insuf­fi­san­tes con­cer­nant les enfants

Le 1er sep­tembre 2023, l’au­to­ri­té irlan­dai­se de pro­tec­tion des don­nées, la Data Pro­tec­tion Com­mis­si­on (DPC), a ren­du une décis­i­on de 125 pages con­cer­nant Tik Tok, qui a con­sta­té plu­sieurs vio­la­ti­ons et a donc émis un avis défa­vorable. Amen­de de 345 mil­li­ons d’eu­ros a impo­sé (Com­mu­ni­qué de pres­se). La DPC pré­sen­te l’en­quête com­me suit :

En tant qu’­au­to­ri­té direc­tri­ce, la DPC avait ouvert une enquête sur les trai­te­ments de don­nées de Tik­Tok le 14 sep­tembre 2021. Par la suite, les aut­res auto­ri­tés de con­trô­le ont été con­sul­tées con­for­mé­ment à l’ar­tic­le 60, para­gra­phe 3, du RGPD. Les objec­tions de l’au­to­ri­té ita­li­en­ne et de l’au­to­ri­té ber­li­noi­se n’ont pas pu être réglées à l’a­miable, rai­son pour laquel­le l’ED­SA a été sai­si con­for­mé­ment à l’ar­tic­le 65, para­gra­phe 1, point a), du RGPD. Le 2 août 2023, l’ED­SA avait pris une décis­i­on con­traignan­te. La pré­sen­te décis­i­on de la DPC se fon­de en par­tie sur cet­te décis­i­on de l’EDSA.

L’en­quête por­tait sur le trai­te­ment de don­nées per­son­nel­les de per­son­nes con­sidé­rées com­me des uti­li­sa­teurs. de per­son­nes inscri­tes ent­re 13 et 17 ans ent­re le 31 juil­let et le 31 décembre 2020 (Tik­Tok est ouvert aux per­son­nes de plus de 13 ans et, selon le Data Pro­tec­tion Act 2018 (en rela­ti­on avec l’ar­tic­le 8, para­gra­phe 1 du RGPD), le ter­me “enfant” dési­gne une per­son­ne de moins de 18 ans).

La DPC a recon­nu plu­sieurs infrac­tions de Tik­Tok cont­re le RGPD :

• Le con­te­nu était éga­le­ment desti­né aux enfants défi­ni par défaut sur “public. Tou­tes les per­son­nes, même cel­les qui n’é­tai­ent pas inscri­tes sur Tik­Tok, pou­vai­ent voir les con­te­nus cor­re­spond­ants. Il man­quait ici des mesu­res tech­ni­ques et orga­ni­sa­ti­on­nel­les appro­priées pour garan­tir que seu­les les don­nées néces­saires soi­ent trai­tées par défaut. Cela allait à l’en­cont­re du Pri­va­cy by Design et du prin­ci­pe de mini­mi­sa­ti­on des don­nées et ent­raî­nait des ris­ques con­sidé­ra­bles pour les enfants con­cer­nés. Tik­Tok n’a­vait pas non plus éva­lué les ris­ques correspondants.
• Avec une soi-disant “Liens fami­li­aux“Un tiers – par exemp­le un parent – pou­vait lier son comp­te à celui de l’en­fant. Par la suite, le tiers pou­vait éga­le­ment cré­er une Acti­ver la fonc­tion de mes­sa­ge­rie direc­te pour les enfants de plus de 16 ans. Cela con­sti­tue éga­le­ment une vio­la­ti­on des mesu­res tech­ni­ques et orga­ni­sa­ti­on­nel­les appro­priées, car il n’y avait aucu­ne rai­son appa­ren­te pour que le tiers pui­s­se mett­re en place des paramè­tres de pro­tec­tion des don­nées non seu­le­ment plus stricts, mais éga­le­ment moins stricts.
• Tik­Tok avait cer­tes pris des mesu­res pour empêcher l’en­re­gi­stre­ment d’en­fants de moins de 13 ans. Le ris­que que Les enfants de moins de 13 ans ont néan­mo­ins accès à la pla­te-for­me n’a­vait jamais fait l’ob­jet d’u­ne éva­lua­ti­on struc­tu­rée. Une ana­ly­se d’im­pact sur la pro­tec­tion des don­nées avait bien été réa­li­sée, mais ce ris­que n’a­vait pas été pris en compte.
• Tik­Tok avait l’ob­li­ga­ti­on d’in­for­ma­ti­on n’a pas été respec­té. Cer­tes, Tik­Tok infor­mait qu’en cas de para­mé­tra­ge public du comp­te, des tiers pou­vai­ent accé­der aux con­te­nus (“public”, “ever­yo­ne”, “anyo­ne”). Mais elle n’a pas pré­cisé que cela ne s’ap­pli­quait pas seu­le­ment aux aut­res uti­li­sa­teurs enre­gi­strés, mais que tout inter­nau­te exté­ri­eur à Tik­Tok pou­vait éga­le­ment con­sul­ter les con­te­nus (et elle a uti­li­sé des ter­mes trop vagues com­me “may”). La DPC y a vu une vio­la­ti­on de l’art. 13 f. du RGPD. RGPD. En revan­che, le droit géné­ral Prin­ci­pe de trans­pa­rence n’est pas vio­lé. A la suite de l’ED­SA, la DPC com­prend le prin­ci­pe de trans­pa­rence de maniè­re plus restrictive :
  

  Dans les cir­con­stances par­ti­cu­liè­res, je ne con­sidè­re pas que les caren­ces de TTL en matiè­re d’in­for­ma­ti­on con­sti­tu­ent une vio­la­ti­on de l’ar­tic­le 5(l)(a). C’est par­ce que, bien que les vio­la­ti­ons des artic­les 12(1) et 13(l)(e) du RGPD soi­ent gra­ves par natu­re, elles ne sont pas d’u­ne natu­re tel­le qu’el­les dépas­sent les limi­tes de ces artic­les spé­ci­fi­ques et ne sont pas suf­fi­sam­ment éten­dues pour con­sti­tuer une vio­la­ti­on exce­s­si­ve du prin­ci­pe de trans­pa­rence. En par­ti­cu­lier, et au regard de la décis­i­on con­traignan­te 01/2021 de l’EDPB, je ne con­sidè­re pas que les défi­ci­ts d’in­for­ma­ti­on de TTL soi­ent de la natu­re ou de l’é­ten­due décri­tes dans EDPB Décis­i­on con­traignan­te 1/2021 de tel­le sor­te qu’on pour­rait dire qu’il y a eu une vio­la­ti­on du prin­ci­pe de trans­pa­rence de l’ar­tic­le 5(l)(a) du GDPR lui-même.

• Mais il y avait aus­si un bles­sé Prin­ci­pe d’é­qui­té. La rai­son en était le “nud­ging” : dans les paramè­tres du comp­te, l’uti­li­sa­teur pou­vait cer­tes choi­sir l’op­ti­on “pri­vé”, mais dans les paramè­tres cor­re­spond­ants, il était invi­té à sau­ter le rég­la­ge (“skip”) :
  

La DPC a donc ordon­né à Tik­Tok de remé­dier aux vio­la­ti­ons en que­sti­on, dans la mesu­re où Tik­Tok ne l’a­vait pas déjà fait. La DPC a éga­le­ment impo­sé une Bus DPC a notam­ment décla­ré que

• que pour la plu­part des infrac­tions pas de pré­mé­di­ta­ti­on était détec­ta­ble, à l’ex­cep­ti­on du fait que les comp­tes étai­ent publics par défaut ;
• que, à la suite du con­sidé­rant 150 de la la noti­on d’entre­pri­se en droit des car­tels est déter­mi­nan­te pour la déter­mi­na­ti­on du pla­fond des amen­des (sur la base du chif­fre d’af­fai­res annu­el mon­di­al). Il faut par­tir de la pré­somp­ti­on réfuta­ble que les ent­re­pri­ses du grou­pe sont sous une direc­tion uni­que, dans la mesu­re où une socié­té mère du grou­pe exer­ce direc­te­ment ou indi­rec­te­ment une influence déter­mi­nan­te. Pas néces­saire est ici notam­ment que les Socié­té mère un responsable c’est-à-dire qu’el­le déter­mi­ne le trai­te­ment con­cret des don­nées. La pré­somp­ti­on serait ren­ver­sée par la preuve que la socié­té dont l’in­frac­tion est en cau­se agit avec une “réel­le autonomie” ;
• le mon­tant total de l’a­men­de résul­te des amen­des inf­li­gées pour chaque infrac­tion. Il ne faut donc pas seu­le­ment déter­mi­ner l’in­frac­tion la plus gra­ve et aug­men­ter son amen­de de maniè­re appro­priée, mais aus­si les amen­des pour les Les infrac­tions doi­vent être addi­ti­onnées.