Facebook Inc., maison mère de WhatsApp, vient de se faire taper sur les doigts pour ne pas avoir suffisamment informé ses utilisateurs européens du sort réservé à leurs données personnelles collectées par la messagerie. C’est la conclusion d’une enquête enclenchée en décembre 2018, qui visait à vérifier si WhatsApp respectait les obligations de transparence demandées par le RGPD pour la transmission d’informations. Il a donc fallu plus de deux ans pour que la DPC (Data Protection Commission) aboutisse à une décision historique puisqu’il s’agit de l’amende la plus élevée jamais infligée par la DPC et la deuxième plus élevée au sein de l’Europe après celle de 746 millions d’euros prononcée par le Luxembourg contre Amazon.
L’application de messagerie mobile de Facebook, se voit donc infliger une amende de 225 millions d’euros par l’autorité irlandaise chargée de la protection des données, la DPC. Cela inclut l’information fournie aux utilisateurs sur le traitement de leurs informations entre WhatsApp et d’autres sociétés de Facebook.
Les reproches faits à WhatsApp ne sont absolument pas nouveaux, quatre violations ont été retenues par la DPC. Ainsi, elle a estimé que la filiale de Facebook ne traite pas les données personnelles de ses utilisateurs de “manière licite, loyale et transparente” et qu’elle n’a pas fourni d’informations sur la manière avec laquelle les données sont collectées, stockées et transférées à des tiers. Le partage des informations entre WhatsApp et Facebook était au cœur de ce litige.
Au-delà du versement des 225 millions d’euros, WhatsApp doit désormais réécrire sa politique de confidentialité, afin qu’elle soit plus complète et plus claire. Avant tout cela, WhatsApp va commencer par se défendre.
L’entreprise ne compte pas se laisser faire. La filiale de Facebook estime que le montant de l’amende est disproportionné, et prévoit de faire appel en Irlande ou devant la Cour de justice européenne.
Cette affaire est donc loin d’être finie et illustre la difficulté avec laquelle l’Europe tente de faire respecter le RGPD. Cette difficulté découle notamment des tensions entre les différentes autorités. Depuis plusieurs mois, la DPC est vivement critiquée pour son inaction vis-à-vis des grandes entreprises technologiques alors qu’elle est l’autorité de référence.
