L’état d’application du régime phare de l’Union européenne, le Règlement général sur la protection des données (RGPD), à l’encontre des géants de la technologie les plus puissants reste un sujet de débat en cours. Nous avons compilé ci-dessous une liste des 10 amendes les plus importantes infligées aux Big Tech en vertu du RGPD depuis que le règlement a commencé à s’appliquer en mai 2018.

Meta, propriétaire de Facebook, Instagram et WhatsApp, est en tête de liste, tous deux pour avoir reçu la plus grosse amende à ce jour (1,2 milliard d’euros, soit environ 1,31 milliard de dollars aux taux de change actuels) et Parce qu’il représente la majorité de ces pénalités les plus importantes (six ou plus, selon que vous comptez ou non par plateforme).

Veuillez noter que cette liste ne comprend que les principales sanctions infligées aux entreprises technologiques en vertu du RGPD. Ces dernières années, des sanctions importantes ont également été imposées aux géants de la technologie par le biais de l’ancienne directive ePrivacy de l’UE, mais vous ne les trouverez pas répertoriées ici.

Sanctions infligées aux entreprises technologiques en vertu du RGPD

1. Méta (Crédit : Facebook): Condamné à une amende de 1,2 milliard d’euros (~1,31 milliard de dollars) en mai 2023 par la Commission irlandaise de protection des données (DPC) pour avoir enfreint les règles relatives au transfert des données personnelles des utilisateurs de Facebook hors de l’Union européenne.

2. Amazone: Condamné à une amende de 746 millions d’euros (~815 millions de dollars) en juillet 2021 par la Commission nationale pour la protection des données (CNPD) du Luxembourg à la suite de plaintes selon lesquelles son utilisation des données personnelles à des fins de ciblage publicitaire n’était pas fondée sur le consentement.

3. Méta (Instagram): Condamné à une amende de 405 millions d’euros (~443 millions de dollars) en septembre 2021 par la DPC irlandaise pour des manquements dans son traitement des données des mineurs.

4. Meta (Instagram et Facebook): Condamné à une amende totale de 390 millions d’euros (~426 millions de dollars) en janvier 2023 par la DPC irlandaise pour ne pas avoir disposé d’une base juridique valable pour traiter les données des utilisateurs à des fins de ciblage publicitaire.

5. ByteDance (TikTok): Condamné à une amende de 345 millions d’euros (~377 millions de dollars) en septembre 2023 par la DPC irlandaise pour des manquements dans son traitement des données des mineurs.

6. Meta (Facebook et Instagram): Condamné à une amende de 265 millions d’euros (~290 millions de dollars) en novembre 2022 par le DPC irlandais pour des violations de la protection des données par défaut et par conception, après que certaines fonctionnalités de la plateforme, notamment l’importateur de contacts et les outils de recherche, ont rendu les données personnelles de centaines de millions d’utilisateurs accessibles à tous les autres utilisateurs.

7. Meta (WhatsApp): Condamné à une amende de 225 millions d’euros (~246 millions de dollars) en septembre 2021 par la DPC irlandaise pour avoir enfreint les obligations de transparence du RGPD et n’avoir pas clairement indiqué aux utilisateurs comment elle traite leurs données.

8. Alphabet/google (android): Condamné à une amende de 50 millions d’euros (~55 millions de dollars) en janvier 2019 par la Commission nationale de l’informatique et des libertés (CNIL) pour des manquements à la transparence et au consentement liés à sa plateforme mobile Android.

9. Meta (Facebook): Condamné à une amende de 17 millions d’euros (~18,5 millions de dollars) en mars 2022 par la DPC irlandaise pour une série de violations de la Sécurité qui auraient affecté jusqu’à 30 millions d’utilisateurs.

10. ByteDance (TikTok): Condamné à une amende d’environ 14,8 millions d’euros aux taux de change actuels (~16 millions de dollars) en avril 2023 par l’Information Commissioner’s Office (ICO) du Royaume-Uni dans une autre affaire liée à la protection des mineurs. (Remarque : bien que le Royaume-Uni ne fasse plus partie de l’UE, ses règles de protection des données sont toujours basées sur le RGPD.)

Pas strictement Big Tech, mais mérite d’être mentionné

Géant de l’Adtech Criteo s’est vu infliger une amende préliminaire de 60 millions d’euros (~65 millions de dollars) en août 2022 par la CNIL française pour une série d’infractions au RGPD. Mais en juin 2023, le niveau de la sanction a été réduit à 40 millions d’euros (~44 millions de dollars) après que le géant de l’adtech a fait des déclarations. L’application de la loi fait suite à des plaintes selon lesquelles Criteo n’avait pas le consentement des utilisateurs pour les suivre et les profiler à des fins de ciblage publicitaire.

Autre mention bonus : une startup américaine d’IA Clearview AI a été condamnée à trois reprises en 2022 par les autorités de protection des données en Italie, en Grèce et en France, a infligé trois amendes maximales (20 millions d’euros, soit environ 22 millions de dollars, sur la base de son chiffre d’affaires). Les sanctions concernaient le traitement illégal de données résultant de sa tactique consistant à extraire des selfies d’Internet pour former un outil d’IA de reconnaissance faciale et de correspondance d’identité. La même année, l’ICO du Royaume-Uni l’a également frappée d’une sanction plus légère pour les violations du RGPD, de sorte que les activités de la startup controversée ont fait l’objet de nombreuses mesures d’application.