Whats­App : amen­de de 225 mil­li­ons d’eu­ros pour man­quement à l’ob­li­ga­ti­on d’information

FR 
FR  DE  EN 

de

sur le site

Bran­ches

Auto­ri­té

Lois

Thè­mes

, , ,
Ven­te à emporter (AI)
  • La Com­mis­si­on irlan­dai­se de pro­tec­tion des don­nées (DPC) a inf­li­gé une amen­de de 225 mil­li­ons d’eu­ros à Whats­App pour ne pas avoir four­ni suf­fi­sam­ment d’in­for­ma­ti­ons sur le RGPD.
  • Le CEPD exi­ge que les respons­ables désign­ent con­crè­te­ment la fina­li­té et, le cas échéant, les inté­rêts légiti­mes de chaque acti­vi­té de trai­te­ment ain­si que les ent­re­pri­ses tier­ces impliquées.
  • L’appro­che stric­te de l’EDPB en matiè­re de trans­pa­rence obli­ge de nombreu­ses ent­re­pri­ses à appor­ter d’im­portan­tes modi­fi­ca­ti­ons à leurs décla­ra­ti­ons de con­fi­den­tia­li­té ; Whats­App veut prend­re les devants.

La Com­mis­si­on irlan­dai­se de pro­tec­tion des don­nées (Data Pro­tec­tion Com­mis­si­on, DPC) a annon­cé le 2 sep­tembre 2021 la con­clu­si­on d’u­ne enquête de plus de deux ans et demi sur Whats­App. Selon la Com­mis­si­on, l’en­quête por­tait sur Com­mu­ni­qué de pres­se de la DPCLa Com­mis­si­on euro­pé­en­ne a exami­né si Whats­App avait enfreint les obli­ga­ti­ons d’in­for­ma­ti­on pré­vues par le RGPD, notam­ment en ce qui con­cer­ne les éch­an­ges ent­re Whats­App et les aut­res ent­re­pri­ses du grou­pe Face­book. Whats­App Busi­ness n’é­tait tou­te­fois pas concerné.

Fin 2020, la DPC a sou­mis aux auto­ri­tés de con­trô­le con­cer­nées un pro­jet de décis­i­on con­for­mé­ment à l’ar­tic­le 60 du RGPD. Com­me aucun accord n’a été trou­vé, le Comi­té euro­pé­en de la pro­tec­tion des don­nées (CEPD) Fin juin 2021, la DPC a été instruiteLa Com­mis­si­on a déci­dé d’aug­men­ter l’a­men­de pro­po­sée. En con­sé­quence, la DPC a inf­li­gé une amen­de de 225 mil­li­ons d’eu­ros à Whats­App et lui a ordon­né d’ad­ap­ter le trai­te­ment des données.

Dans sa décis­i­on, le CEPD a notam­ment décla­ré que le responsable du trai­te­ment doit indi­quer, pour chaque acti­vi­té de trai­te­ment, la fina­li­té et, le cas échéant, les inté­rêts légiti­mes pour­suivis. S’il s’a­git des inté­rêts légiti­mes d’u­ne aut­re ent­re­pri­se, cel­le-ci doit éga­le­ment être men­ti­onnée.. La décla­ra­ti­on de con­fi­den­tia­li­té et les con­di­ti­ons géné­ra­les de Whats­App ne répon­dent pas à ces exi­gen­ces et ne sont pas assez clai­res et spé­ci­fi­ques. Par exemp­le, la décla­ra­ti­on “For pro­vi­ding mea­su­re­ment, ana­ly­tics, and other busi­ness ser­vices […] The legi­ti­ma­te inte­rests we rely on for this pro­ce­s­sing are : […] Dans l’in­té­rêt des ent­re­pri­ses et d’aut­res par­ten­aires pour les aider à com­prend­re leurs cli­ents et à amé­lio­rer leurs acti­vi­tés, …”, par­ce que ce qu’on entend par “aut­res ser­vices com­mer­ci­aux” n’est pas clair et qu’au­cun inté­rêt légiti­me n’est men­ti­onné spé­ci­fi­quement en rap­port avec cet­te fina­li­té. Il n’est pas non plus pré­cisé de quels “busi­nesses or part­ners” il s’a­git. De même, “[t]o crea­te, pro­vi­de, sup­port, and main­tain inno­va­ti­ve ser­vices and fea­tures […]” n’est pas suf­fi­sam­ment défini.

Cet­te posi­ti­on du CEPD n’est pas for­cé­ment sur­pren­an­te lorsqu’on lit ses lignes direc­tri­ces en matiè­re de trans­pa­rence. Mais elle est très stric­te. Si elle est pri­se au pied de la lett­re, de très nombreu­ses ent­re­pri­ses devront révi­ser leur décla­ra­ti­on de con­fi­den­tia­li­té. Cela ent­raî­ne non seu­le­ment une char­ge de tra­vail importan­te, mais aus­si et sur­tout la néces­si­té d’ad­ap­ter les décla­ra­ti­ons de pro­tec­tion des don­nées en cas d’ad­ap­t­ati­on des modè­les com­mer­ci­aux, mais aus­si des pro­ce­s­sus quo­ti­di­ens. Il fau­dra cer­tai­ne­ment un cer­tain temps avant qu’u­ne tel­le pra­tique ne se géné­ra­li­se, mais à long ter­me, il faut s’y attendre.

Whats­App a appa­rem­ment annon­cé qu’el­le ferait appel de cet­te décision.