La Data Protection Commission (DPC), équivalent irlandais de la CNIL, a infligé une amende de 1,2 milliards d’euros à Meta, la maison mère de Facebook, WhatsApp et Instagram, pour non-respect du Règlement Général sur la Protection des Données (RGPD)[i]. C’est l’amende la plus importante à l’échelle européenne, qui dépasse largement celle infligée à Amazon en juillet 2021 d’un montant de 746 M€.
Mark Zuckerberg explique qu’il faut respecter le RGPD
Le Comité européen de la protection des données (CEPD) a constaté que l’infraction de Meta IE est très grave puisqu’elle concerne des transferts systématiques, répétitifs et continus. Facebook a des millions d’utilisateurs en Europe, de sorte que le volume de données personnelles transférées est énorme. L’amende sans précédent est un signal fort pour les organisations que les infractions graves ont des conséquences de grande portée.
Parallèlement à l’amende, la DPC a ordonné à la plate-forme de cesser tout transfert de données des internautes européens vers les Etats-Unis à compter du 12 octobre. Et Meta a jusqu’au 12 novembre pour rapatrier les données des Européens collectées depuis 2020 vers des data centers situés sur le Vieux Continent.
« In our opinion, localisation is not the answer » a déclaré un porte-parole de Meta. « Global services need global connections, and the internet is based on an open global model. Meta cannot simply wall off EU user data from non-EU user data. People don’t use our services to have this type of experience, which is inconsistent with the very nature of how global services like ours are designed to operate ».
« Cette décision est erronée, injustifiée et crée un dangereux précédent pour les innombrables autres entreprises qui transfèrent des données entre l’UE et les États-Unis », a déclaré Nick Clegg, président des affaires mondiales de Meta.
Cette affaire est un autre rebondissement dans une bataille juridique qui a commencé en 2013 lorsque l’avocat autrichien et militant de la vie privée Max Schrems a déposé une plainte concernant le traitement de ses données par Facebook à la suite des révélations de l’ancien sous-traitant de la National Security Agency Edward Snowden sur la surveillance électronique par les agences de sécurité américaines. Cela incluait la divulgation que Facebook avait donné aux agences l’accès aux données personnelles des Européens.
Dénonçant une amende « injustifiée et inutile », Meta a annoncé faire appel, ce qui ne surprendra personne.
La DPC avait déjà infligé une amende de 390 millions de dollars en janvier dernier. Le RGPD est entré en vigueur il y a près de 5 ans, le 25 mai 2018.
Dans sa newsletter Data Sheet, David Meyer conçoit quatre possibilités dans le règlement de ce contentieux
Option 1 — New deal: The European Commission adopts a new data-sharing pact with the U.S., giving Meta a legal basis for its transatlantic data transfers before the clock runs out in mid-October.
Option 2 — Adapt: Meta finds a way to stop sending EU personal data to the U.S., without messing up the functionality of Facebook and Insta.
Option 3 — Fight: Meta successfully appeals the decision and this all goes away.
Option 4 — Exit: None of the above happens, and Meta pulls Facebook and Insta from the EU (Mexit?), as it has previously warned it will.
A supposer que cette décision aille à son terme et que Meta soit condamné à payer cette amende, elle ne mettra pas l’entreprise en danger. Au premier trimestre 2023, Meta a réalisé un chiffre d’affaires de 28,6 Md$ et un bénéfice net de 5,7 Md$. Sur l’exercice fiscal 2022, le Chiffre d’affaires s’est établi à 116 milliards de dollars et le bénéfice net à 23 milliards de dollars.