Le 15 septembre 2023, l’Union européenne a sanctionné le réseau social TikTok d’une amende de 345 millions d’euros pour avoir manqué à ses obligations de protection des données relatives aux mineurs. En effet, entre juillet et décembre 2020, des manquements ont été constatés, notamment la configuration des comptes des mineurs comme publics par défaut. De son côté, TikTok affirme être en désaccord avec cette décision sans se prononcer sur l’éventualité d’un recours à son encontre.

Les faits reprochés à TikTok.

TikTok Technology Limited, dont le siège social se trouve en Irlande, est une filiale du géant chinois ByteDance. En tant que plateforme de réseau social, elle compte à ce jour 134 millions [1] d’utilisateurs dans l’UE. En septembre 2021 [2], la Commission irlandaise pour la protection des données (ci-après la « DPC ») avait ouvert une enquête visant des infractions ayant été commises par TikTok entre le 31 juillet et le 31 décembre 2020. Cette enquête a révélé que les comptes des enfants étaient définis comme publics par défaut.

Rappelons que selon l’article 8 [3] du Règlement général sur la protection des données (ci-après le « RGPD »), le mineur est la personne âgée entre 13 ans et 16 ans. S’il peut faire l’objet de traitement informatisé en donnant directement son consentement (à partir de l’âge de 16 ans, 15 ans en France) ou indirectement par le moyen de ses représentants légaux, il demeure une catégorie de personne dont les données doivent être protégées de manière accrue. Donc, afficher leurs comptes comme publics par défaut ne contribuerait pas à protéger [4] leurs données.

D’autres problèmes [5] ont été relevés, notamment liés au mode « connexion famille », qui permettait de lier le compte d’un parent à celui de son enfant. Il a été établi que la vérification de l’identité de l’utilisateur associé n’était pas systématiquement effectuée. De plus, bien que la plateforme soit réservée aux utilisateurs âgés d’au moins 13 ans, la DPC estime que TikTok n’a pas suffisamment pris en compte les risques encourus par les plus jeunes qui ont tout de même réussi à créer un compte.

Par conséquent, la DPC [6] qui est compétente pour agir au nom de l’Union européenne (ci-après l’« UE ») du fait de l’établissement du siège social de TikTok sur son territoire, a sanctionné TikTok au paiement d’une amende de 345 millions d’euros. La société devra également mettre en conformité ses opérations dans un délai de trois mois.

La position de TikTok.

TikTok a exprimé son désaccord avec cette décision. L’entreprise a notamment contesté le montant de l’amende et a annoncé qu’elle évaluait les étapes futures sans toutefois confirmer si elle envisageait d’interjeter appel.

TikTok a également souligné que les critiques formulées par la DPC concernaient des fonctionnalités et des paramètres qui avaient été modifiés peu de temps après la période en question. Par exemple, tous les comptes de personnes de moins de 16 ans sont désormais automatiquement configurés en mode privé.

Une sanction de plus.

Il convient de noter que cette sanction n’est pas la première à laquelle TikTok fait face en raison de ses pratiques de protection des données concernant les mineurs. L’entreprise avait déjà été condamnée à payer des amendes aux États-Unis [7], aux Pays-Bas [8] et au Royaume-Uni [9] pour des violations similaires. Cette décision intervient dans un contexte où les réseaux sociaux sont régulièrement critiqués pour leur impact sur les jeunes utilisateurs, notamment en les exposant à des contenus inappropriés.

De plus, cette sanction s’inscrit dans un contexte plus large de renforcement des contrôles et des procédures judiciaires à l’échelle de l’Union européenne et aux États-Unis, visant les géants de la technologie, y compris TikTok, ainsi que les entreprises du groupe GAFAM (Google, Amazon, Apple et Microsoft [10]).

Dans un autre registre, il convient également de rappeler que le 29 décembre 2022 [11], la Commission nationale Informatique et des libertés avait infligé une amende de 5 millions d’euros à TikTok pour ne pas avoir permis aux internautes de refuser les cookies aussi facilement que de les accepter. La sanction de la DPC intervient seulement 9 mois plus tard.

Debora Cohen, avocat au barreau de Paris, en protection des données personnelles et DPO externalisé Mail : [->debora.cohen@dcavocat.com] Site : https://www.dcavocat.com/