Volkswacht Bodensee - Protection des données européennes: TikTok lourdement sanctionné pour ses failles en Chine

Le puissant réseau social, qui compte 1,5 milliard de membres, est la propriété de ByteDance, un groupe chinois. Il est depuis des années dans le viseur des gouvernements occidentaux, qui redoutent son lien avec Pékin et un possible usage des données de ses utilisateurs à des fins d'espionnage ou de propagande.

Cette sévère amende, prononcée par l'Autorité irlandaise de protection des données (DPC), est la deuxième plus importante jamais infligée par cet organisme, qui agit au nom de l'UE car le siège européen de TikTok, comme celui de la plupart des géants de la tech, se trouve en Irlande.

Selon Graham Doyle, responsable de la communication du régulateur irlandais, la plateforme a enfreint les règles européennes de protection des données (RGPD) car elle n'est pas parvenu à "démontrer que les données personnelles" des Européens, "accessibles à distance par son personnel en Chine", bénéficient là-bas d'un niveau de protection équivalent à celui de l'UE.

TikTok n'est donc pas en mesure de proposer des garanties contre "le potentiel accès des autorités chinoises" à ces données via ses lois d'antiterrorisme et de contre-espionnage, "que la plateforme elle-même reconnaît comme s'écartant sensiblement des normes européennes".

- Pas de demande de Pékin -

L'entreprise, qui annoncé son intention de faire appel, a six mois pour se mettre en conformité avec le RGPD, sans quoi elle devra mettre un terme à ces transferts vers la Chine.

Les données européennes ne peuvent être transférées - c'est-à-dire stockées ou rendues accessibles - dans un pays tiers que s'il est jugé suffisamment sûr par l'UE comme par exemple le Japon, le Royaume-Uni ou les Etats-Unis. Faute d'un tel feu vert, c'est à l'entreprise de prouver que le niveau de protection est équivalent, ce que TikTok n'a pas su faire.

La décision de la DPC pourrait accroître la pression contre le réseau social aux Etats-Unis. Le Congrès américain a voté en 2024 une loi imposant à ByteDance de céder le contrôle de TikTok sur le territoire, sous peine d'interdiction.

La plateforme affirme vendredi dans un communiqué n'avoir "jamais reçu de demande" des autorités chinoises et ne leur avoir "jamais fourni de données d'utilisateurs européens".

Elle met en avant son programme de protection des données en Europe, Clover, qui prévoit 12 milliards d'euros d'investissement sur dix ans.

Selon elle, les données des Européens sont par défaut stockées en Norvège, en Irlande et aux Etats-Unis, et "les employés en Chine n'ont aucun accès aux données" du type numéros de téléphone ou adresses IP.

- "Problème technique" -

La DPC, qui avait ouvert son enquête en 2021, révèle cependant dans sa décision avoir été informée en avril par TikTok que des données européennes ont été stockées (et supprimées depuis) en Chine, contrairement à ce que l'entreprise affirmait.

"Nous envisageons des actions réglementaires supplémentaires", affirme M. Doyle, disant prendre ces développements "très au sérieux".

TikTok évoque "un problème technique" découvert grâce à sa surveillance "proactive", qui témoigne de sa "transparence".

La DPC reproche aussi à TikTok de n'avoir pas indiqué à ses utilisateurs, entre 2020 et 2022, vers quels pays les données étaient transférées, ni qu'elles pouvaient être consultées depuis la Chine. Sur les 530 millions d'euros d'amende, 45 millions sont prononcés pour cette infraction.

Le régulateur irlandais avait déjà infligé une amende de 345 millions d'euros à l'entreprise en 2023 pour avoir enfreint les règles européennes dans le traitement d'informations concernant des mineurs.

La plus lourde amende de la DPC avait touché Meta en 2023: 1,2 milliard d'euros concernant le transfert de données vers les Etats-Unis malgré des craintes de surveillance à l'époque par les services américains.

L'Agence France-Presse (AFP), parmi plus d'une quinzaine d'organisations de fact-checking, est rémunérée par TikTok dans plusieurs pays pour vérifier des vidéos qui contiennent potentiellement de fausses informations.

D.Schaer--VB