RGPD : Meta encaisse une nouvelle amende de 390 millions d'euros

Meta ramasse les amendes à la pelle. La Commission irlandaise pour la protection des données (DPC), agissant au nom de l'Union européenne, a infligé au groupe de Mark Zuckerberg deux amendes d'un montant total de 390 millions d'euros mercredi 4 janvier, pour violation du règlement général sur la protection des données (RGPD). Meta a annoncé son intention de faire appel, sur le fonds et sur le montant des amendes.

Ces amendes se répartissent en une première adressée à Facebook, d'un montant de 210 millions d'euros, et une seconde infligée à Instagram pour un montant de 180 millions d'euros. Meta est par ailleurs dans l'obligation de remettre sa politique de traitement des données personnelles en conformité dans un délai de trois mois. La DPC a jugé que Meta se fondait sur une base juridique non pertinente pour justifier son traitement des données à caractère personnel à des fins de publicité ciblée sur Facebook et Instagram.

Consentement forcé

Les plaintes à l'origine de cette décision, déposées par Noyb en mai 2018 en Autriche et en Belgique, considèrent que Facebook et Instagram ont "forcé" le consentement de leurs utilisateurs au traitement de leurs données personnelles lors de la mise à jour de leurs conditions générales au moment de la mise en place du RGPD, dans la mesure où sans consentement, les réseaux sociaux n'étaient plus accessibles.

Meta, de son côté, avance que la base juridique du traitement des données étaient contractuelle, l'acceptation des nouvelles conditions générales valant acceptation du contrat. La DPC a donné raison aux plaignants, en jugeant que la base légale contractuelle était erronée, puisque la distribution de publicité ciblée ne constitue pas une nécessité pour fournir le service.

Le régulateur irlandais a fortement revu sa copie

Cette décision n'était pas celle adoptée en première intention par la DPC, qui a dû se soumettre aux conclusions du Comité européen de la protection des données (CEPD), appelé à se prononcer car les Cnil européennes – notamment en France - avaient demandé à la Cnil irlandaise de revoir sa première copie (datant de 2021) dans cette affaire, et notamment le montant des amendes prononcées.

Le CEPD, qui a émis ses conclusions le 5 décembre 2022, a en outre aiguillé la DPC sur une nouvelle enquête concernant le traitement de certaines catégories de données par Facebook et Instagram. En un an et demi, le régulateur des données irlandais a prononcé près de 1,3 milliard d'euros d'amende à l'encontre de Meta.

Sélectionné pour vous

Amazon condamné à 30 millions de dollars d'amende pour non-respect de la vie privée des utilisateurs

Piratage d'objets connectés par la police : la loi Justice inquiète avocats et défenseurs des libertés

8000 passeports publiés en ligne après une cyberattaque contre Voyageurs du monde