WhatsApp de Meta condamné à une amende de 5,5 millions d'euros pour violations du RGPD

La Commission de protection des données d’Irlande (« DPC ») a infligé jeudi à WhatsApp Ireland, propriété de Meta, une amende de 5,5 millions d’euros (6 millions de dollars) pour violation du Règlement général sur la protection des données (RGPD) de l’UE concernant son service dans le pays.

En plus de l’amende, la DPC d’Irlande a donné au géant des réseaux sociaux un délai de six mois pour aligner ses opérations de traitement des données sur les règles du RGPD, sous peine de mesures supplémentaires.

Cette amende récente de la DPC constitue un coup dur pour Meta, qui a récemment été condamnée à 390 millions d’euros par le même organisme lorsque ses autres filiales, Instagram et Facebook, ont été reconnues coupables de violations des règles du RGPD.

Concernant WhatsApp, la décision prise par la DPC est la conclusion d’une enquête concernant une plainte déposée le 25 mai 2018 par un sujet de données allemand au sujet du service WhatsApp.

Le plaignant a contesté les nouvelles règles de WhatsApp exigeant que les utilisateurs acceptent les nouveaux termes de « contrat » pour accéder à leurs services lorsque le RGPD est entré en vigueur en 2018.

Selon les Conditions de service mises à jour de la plateforme, les utilisateurs souhaitant continuer à avoir accès à leur service WhatsApp après l’introduction du RGPD devaient choisir les Conditions de service mises à jour. Dans le cas où ils refusaient les termes, leurs services ne seraient pas accessibles.

En d’autres termes, WhatsApp forçait effectivement les utilisateurs à accepter le traitement des données s’ils souhaitaient continuer à utiliser les services, ce que le plaignant a soutenu comme étant en violation du RGPD. Le plaignant croyait que les utilisateurs devraient avoir le choix concernant les données qui sont traitées.

Suite à une enquête approfondie de la DPC, le régulateur a trouvé WhatsApp coupable d’être « en violation de ses obligations en matière de transparence », car il n’a pas fourni suffisamment de clarté sur la manière dont le traitement des données était effectué et à quelles fins.

La DPC a constaté que WhatsApp Ireland ne s’appuyait pas, en fait, sur le consentement des utilisateurs comme base légale pour le traitement de leurs données personnelles.

WhatsApp Ireland « n’est pas en droit de s’appuyer sur la base légale du contrat comme base légale pour son traitement de données personnelles aux fins d’amélioration du service et de sécurité », a-t-elle ajouté, précisant que la base légale pour le traitement des données du service est en violation de la législation de l’UE.

La décision finale de l’amende adoptée par la DPC le 12 janvier 2023 fait suite aux trois décisions contraignantes de l’autorité de protection des données de l’UE, le Comité européen de la protection des données (CEPD), début décembre.

En plus de l’amende, le CEPD a également prétendu diriger la DPC pour mener une nouvelle enquête concernant ce qui suit :

« Les opérations de traitement de WhatsApp IE dans son service afin de déterminer si elle traite des catégories spéciales de données personnelles (Article 9 RGPD), traite des données à des fins de publicité comportementale, à des fins de marketing, ainsi que pour la fourniture de métriques à des tiers et l’échange de données avec des entreprises affiliées aux fins d’amélioration du service, et afin de déterminer si elle respecte les obligations pertinentes en vertu du RGPD. »

En réponse à la décision de la DPC prise jeudi, Meta a déclaré qu’elle ferait appel de la décision et chercherait à l’annuler.

« Nous croyons fermement que la manière dont le service fonctionne est à la fois techniquement et légalement conforme. Nous nous appuyons sur la nécessité contractuelle pour l’amélioration du service et des raisons de sécurité, car nous croyons que maintenir les gens en sécurité et offrir un produit innovant est une responsabilité fondamentale dans l’exploitation de notre service », a déclaré un porte-parole de WhatsApp.

« Nous ne sommes pas d’accord avec la décision et nous avons l’intention de faire appel. »