Blog

Jul 22, 2023

Meta condamnée à une amende RGPD

La Commission irlandaise de protection des données a prononcé lundi matin une mesure coercitive très attendue contre Meta Platforms Ireland, assortie d'une amende record de 1,2 milliard d'euros. L'amende, qui est la

La Commission irlandaise de protection des données a prononcé lundi matin une mesure coercitive très attendue contre Meta Platforms Ireland, assortie d'une amende record de 1,2 milliard d'euros.

L'amende, qui est la plus élevée à ce jour en vertu du règlement général sur la protection des données de l'UE, vieux de près de cinq ans, était accompagnée d'une ordonnance exigeant que Facebook, propriété de Meta Ireland, suspende les futurs transferts de données personnelles vers les États-Unis dans les cinq mois suivant la décision du DPC. décision et de mettre en conformité ses opérations de traitement "en cessant le traitement illégal, y compris le stockage, aux États-Unis de données personnelles" des utilisateurs de l'UE et de l'Espace économique européen dans un délai de six mois à compter de la notification du DPC à Meta.

Bien que l'affaire ait débuté il y a près de trois ans à la suite de la décision de la Cour de justice de l'Union européenne invalidant l'accord de protection des données entre l'UE et les États-Unis, elle a été confrontée à une série de défis, tant devant la Haute Cour d'Irlande que parmi les instances chargées de la protection des données. autorités compétentes de l’UE sous l’égide du Comité européen de la protection des données.

Le problème concerne le mécanisme de transfert de données utilisé par Facebook de Meta, après l'invalidation du Privacy Shield. Depuis la décision de la CJUE du 16 juillet 2020, l'entreprise utilise des clauses contractuelles types, dont les CCT mises à jour par la Commission européenne en 2021.

Le 13 avril, l'EDPB a finalisé sa décision contraignante de règlement des litiges, après que certaines autorités de contrôle concernées ont été en désaccord avec le projet de décision initial du DPC.

Dans un communiqué de presse, la présidente de l'EDPB, Andrea Jelinek, a déclaré : « L'EDPB a estimé que l'infraction (de Meta) est très grave puisqu'elle concerne des transferts systématiques, répétitifs et continus. Facebook compte des millions d'utilisateurs en Europe, donc le volume de données personnelles transférées est massive. Cette amende sans précédent est un signal fort aux organisations que les infractions graves ont des conséquences considérables.

En réponse aux conclusions de lundi, le président de Meta Global Affairs, Nick Clegg, et la directrice juridique, Jennifer Newstead, ont déclaré que l'amende était « injustifiée et inutile » et que la société ferait appel.

"Il ne s'agit pas des pratiques d'une entreprise en matière de confidentialité : il existe un conflit de droit fondamental entre les règles du gouvernement américain sur l'accès aux données et les droits européens à la vie privée, que les décideurs politiques devraient résoudre cet été."

En mars 2022, le président américain Joe Biden et la présidente de la Commission européenne Ursula von der Leyen ont annoncé qu'ils étaient parvenus à un accord politique sur un nouveau cadre de confidentialité des données entre l'UE et les États-Unis. Le nouvel arrangement n’a pas encore été finalisé et, plus tôt ce mois-ci, le Parlement européen a approuvé une résolution appelant la Commission européenne à poursuivre les négociations avec les États-Unis, craignant que le DPF ne soit une fois de plus invalidé par la CJUE dans sa forme actuelle.

En réponse à cette décision, le président du NOYB, Max Schrems, qui a contesté avec succès deux régimes de transfert de données transatlantiques au cours de la dernière décennie, a déclaré : « Nous sommes heureux de voir cette décision après 10 ans de litige. Si cela est réparé, Meta devra restructurer fondamentalement ses systèmes. »

"Cette mesure coercitive place les transferts internationaux de données en tête de liste des priorités réglementaires des autorités européennes de protection des données", a déclaré Eduardo Ustaran, partenaire de Hogan Lovells, CIPP/E, à The Privacy Advisor. "Cependant, en se concentrant entièrement sur la possibilité pour le gouvernement d'accéder aux données plutôt que sur les protections déployées pour protéger ces données contre les interférences, cela fausse l'objectif de la loi sur la protection des données.

Des implications de grande envergure ?

Bien que Meta soit depuis longtemps sous le feu des projecteurs en matière de réglementation européenne, la décision de lundi pourrait également avoir des implications pour d'autres entreprises.

"L'impact de cette décision est très vaste, allant bien au-delà de Meta et préoccupant toutes les entreprises, universités, essais cliniques et quiconque transfère des données personnelles de l'UE vers les États-Unis sur la base de CSC en l'absence d'une décision d'adéquation. ", a déclaré Gabriela Zanfir-Fortuna du Future of Privacy Forum.