À quelques jours du cinquième anniversaire du RGPD, le régulateur irlandais de la donnée (la Commission irlandaise de protection des données ou DPC) a frappé fort: Meta se voit infliger une amende record de 1,2 milliard d’euros et une deadline, jusqu’au 22 octobre, pour interrompre ses pratiques qui posent problème: le transfert de données personnelles d’utilisateurs européens vers les États-Unis.
L’amende dépasse celles d’Apple (1,1 milliard d’euros pour pratiques anticoncurrentielles, ramenée à 372 millions d’euros en appel) et d’Amazon ().
L’entreprise de Mark Zuckerberg a déjà annoncé qu’elle ferait appel de la décision. Mais en attendant que soit renégocié le Privacy Shield entre l’Union européenne (UE) et les États-Unis, Meta va devoir supprimer des quantités de données de ses serveurs américains.
Dix ans de bataille, selon Max Schrems
«Nous sommes heureux de voir cette décision après dix ans de litige. L’amende aurait pu être beaucoup plus élevée, étant donné que l’amende maximale est supérieure à 4 milliards et que Meta a sciemment enfreint la loi pour faire du profit pendant dix ans. Meta devra restructurer fondamentalement ses systèmes», s’est félicité l’activiste autrichien Max Schrems, dans un communiqué de son organisation Noyb.
«Il nous a fallu dix ans de procès contre le DPC irlandais pour arriver à ce résultat. Nous avons dû intenter trois procédures contre la DPC et risquer des millions de frais de procédure. Le régulateur irlandais a tout fait pour éviter cette décision, mais ses décisions ont été systématiquement annulées par les tribunaux et les institutions européennes. C’est un peu absurde que l’amende record revienne à l’Irlande – l’État membre de l’UE qui a tout fait pour que cette amende ne soit pas infligée», remarque-t-il aussi.
Avant de prévenir que, si Mark Zuckerberg avait menacé de quitter l’Europe, ce scénario est peu probable tant son chiffre d’affaires dans l’UE est important. «Cet été, l’UE va aussi mettre en place un nouveau système d’actions de groupe, qui pourra être utilisé pour les violations du RGPD», ajoute Max Schrems.