Record d'amende de 1,2 milliard d’euros infligée à la maison‑mère de Facebook, Meta

21.07.2023

4 min de lecture

Selon un communiqué de presse du 22 mai 2023, la Commission irlandaise de protection des données a infligé au géant américain Meta une amende record de 1,2 milliard d’euros pour des violations graves du règlement général sur la protection des données (RGPD). Certains estiment que cette sanction va trop loin, d’autres pas assez.

Dès l’annonce de l’amende de 1,2 milliard d’euros infligée à Meta, maison mère de Facebook, WhatsApp et Instagram, par l’autorité irlandaise de protection des données, les avis ont divergé. Certains critiques ont présenté Meta comme un bouc émissaire, victime de l’incapacité à s’entendre avec les États-Unis sur l’interdiction de l’espionnage entre « amis » (pour reprendre les termes d’Angela Merkel), d’autant que les agences américaines comme la CIA et la NSA continuent d’exiger facilement l’accès aux données européennes en cas de doute.

L’avocat autrichien et militant de la protection des données Max Schrems, qui avait déjà fait tomber l’accord *Safe Harbor* en 2015 et le *Privacy Shield* UE-États-Unis en 2020, a avancé un argumentaire similaire, mais sous un angle différent. Selon lui, dix ans après les révélations du lanceur d’alerte Edward Snowden en 2013 et après une décennie de litiges, l’amende aurait pu être bien plus élevée. Compte tenu des violations délibérées et répétées du RGPD – ou des précédentes réglementations en matière de protection des données – « simplement pour générer des profits », une sanction maximale de 4 milliards d’euros aurait été justifiée, estime Schrems. « Si les lois américaines sur la surveillance ne changent pas, Meta devra probablement restructurer fondamentalement ses systèmes », ajoute-t-il, cité par *Golem*. La décision irlandaise définitive a été prise sous l’impulsion du Comité européen de la protection des données (CEPD), après que d’autres États membres de l’UE aient refusé de l’accepter. Le CEPD a donc rédigé une décision contraignante en vertu de l’article 65 du RGPD, adoptée le 13 avril, comme le rapporte *Golem*.

Bitkom met en garde contre un « blocage transatlantique des données »

La présidente du CEPD, Andrea Jelinek, a justifié cette décision en ces termes : « Le CEPD a constaté que la violation commise par Meta IE était très grave, car il s’agit de transferts systématiques, répétés et continus. Facebook compte des millions d’utilisateurs en Europe, ce qui signifie que le volume de données personnelles transférées est énorme. Cette amende sans précédent envoie un signal fort aux entreprises : les violations graves ont des conséquences majeures. »

Nick Clegg et Jennifer Newstead, de Meta, ont rapidement qualifié cette décision d’« erronée et injustifiée ». Selon eux, elle créerait en outre un précédent pour d’innombrables autres entreprises transférant des données entre l’UE et les États-Unis.

Le Bitkom, fédération allemande du numérique, a également exprimé ses critiques. « L’Europe ne doit pas ériger un blocage transatlantique des données. Le découplage de l’UE des offres et services de l’économie mondiale des données mène à l’isolement numérique et nuit bien plus aux citoyens et aux entreprises européennes qu’il ne leur profite. Un cadre juridique fonctionnel pour les transferts internationaux de données entre l’UE et les États-Unis doit désormais être une priorité absolue pour les responsables politiques. », a déclaré son directeur général, Bernhard Rohleder, dans une première réaction.

Le sujet sensible de l’espionnage industriel ou économique

Schrems, comme d’autres, suppose que Meta fera appel de la décision, une procédure qui peut s’étendre sur des années. « Mais il n’y a aucune chance réelle de modifier matériellement cette décision. Les violations passées du droit ne peuvent pas être effacées par un nouvel accord entre l’UE et les États-Unis. Meta ne peut tout au plus que retarder un peu le paiement de l’amende », estime l’activiste autrichien pour la protection des données, qui avait déjà déposé une plainte collective contre Facebook en Irlande en 2014. 25 000 personnes se sont jointes à cette plainte collective. Avant que la CJUE ne supprime le bouclier de protection des données UE-US en 2020, Schrems avait contesté auprès de l’autorité irlandaise de protection des données le fait que Facebook Ireland transmette des données au groupe mère aux États-Unis.

Schrems et d’autres critiques estiment que les possibilités d’accès potentielles des autorités américaines posent problème. En effet, celles-ci sont théoriquement toujours données, même pour les données hébergées en Europe, après l’abrogation de l’ancien US Patriot Act par le USA Freedom Act. C’est pourquoi les défenseurs de la protection des données poussent à un nouvel accord transatlantique. Il s’agit notamment de protéger les entreprises des deux côtés de l’Atlantique contre l’espionnage industriel ou économique, parfois piloté par l’État. À ce sujet, le nom de la NSA est apparu à plusieurs reprises dans le passé, tandis que les services secrets européens, comme le BND, restent plutôt inactifs, car ils n’ont généralement pas le mandat économique correspondant.

Fuente de la imagen: Adobe Stock / Александр Поташев