L’Union Européenne inflige une amende de 345 millions d’euros à TikTok pour sa gestion des données des utilisateurs mineurs

TECH - Les soucis de TikTok se poursuivent. L’Union Européenne (UE) a infligé vendredi 15 septembre 2023 une amende de 345 millions d’euros au réseau social chinois, pour avoir enfreint ses règles de protection des données. Le traitement par TikTok des informations liées aux mineurs a été mis en cause par la Commission irlandaise pour la protection des données (DPC). La société mère ByteDance a trois mois pour se conformer aux règlements. Quelques jours après avoir annoncé l’ouverture de datacenters (centre de données, ndlr) en Irlande pour rassurer les autorités européennes, TikTok, déjà restreint et bloqué par plusieurs pays à travers le monde, subit un autre coup dur.

La Commission irlandaise pour la protection des données (DPC), est une autorité de contrôle dans la protection des données qui agit au nom de l'Union européenne (comparable à la CNIL* pour la France).

Une enquête ciblant le très populaire réseau social TikTok a été ouverte en septembre 2021, pour des infractions commises entre le 31 juillet et le 31 décembre 2020. L’application, qui compte 150 millions d’utilisateurs aux États-Unis, 134 millions dans l’UE et 1,6 milliard dans le monde, est mise en cause dans sa gestion de l’inscription des enfants. Celle-ci se faisait de la même manière que pour un adulte et les comptes ouverts par des mineurs étaient systématiquement accessibles au public.

La vérification d’âge et le contrôle parental décriés

La sentence est tombée à l’issue d’une procédure de deux ans. Vendredi, la DPC a annoncé dans un communiqué avoir infligé à ByteDance et son application une amende de 345 millions d’euros. TikTok est mis à l’amende pour trois principales infractions, à commencer par sa gestion des données liées aux mineurs. "TikTok n'a pas réussi à fournir suffisamment d'informations de transparence aux mineurs", y lit-on.

Autre faute de l’application chinoise: la mise en œuvre d’un type d’interfaces utilisateurs appelées "Dark Patterns", conçue pour manipuler les utilisateurs en les "incitant à choisir des options plus intrusives pour la vie privée pendant le processus d'inscription et lors de la publication de vidéos".

La deuxième infraction est liée au contrôle parental, qui permet de lier le compte d’un enfant à celui de ses parents. TikTok ne vérifiait pas, affirme la DPC, si l'utilisateur associé était réellement un de ses parents ou son tuteur. La vérification d’âge pour laquelle le réseau social a maintes fois été mis en demeure, y compris en France, n’est toujours pas assez efficace. La plateforme est théoriquement réservée aux utilisateurs de 13 ans et plus mais des enfants moins âgés réussissent tout de même à se créer un compte.

À rajouter à cette lourde amande, TikTok Technology Limited se fait taper sur les doigts et réprimander officiellement. Elle se voit aussi ordonner par la Commission irlandaise pour la protection des données de se conformer à la loi sous trois mois.

TikTok déplore le montant de l’amende

L’application a réagi à la nouvelle. La filiale de ByteDance est "respectueusement en désaccord avec la décision, en particulier le niveau de l'amende imposée", a déclaré un porte-parole à l’AFP. Le réseau social n’a fourni aucun détail quant à ses intentions de faire appel ou pas.

TikTok, qui "évaluera les prochaines étapes", digère mal une telle pénalité car, fait-on valoir, "les critiques de la DPC se concentrent sur des fonctionnalités et des paramètres qui étaient en place il y a trois ans, et que nous avons modifiés peu de temps après" la période ayant fait l’objet d’une enquête. La société souligne à titre d’exemple que les comptes de personnes de moins de 16 ans étaient privés par défaut.

Le verdict intervient quelques jours après l’annonce, par TikTok, de l’ouverture de centres de données en Europe, en Irlande précisément, afin de rassurer les autorités sur l’hébergement des données des utilisateurs européens. "Notre premier centre de données à Dublin, en Irlande, est désormais opérationnel et la migration des données des utilisateurs européens vers ce centre a déjà débuté, tandis que nos deux autres centres en Norvège et en Irlande sont en cours de construction", a-t-on précisé.

Ces données seront auditées "indépendamment" par la société britannique NCC Group, qui est aussi en mesure de "surveiller les flux de données" et de "signaler tout incident". L’objectif est d'empêcher les employés de ByteDance situés en Chine d'accéder aux "données protégées" et sensibles des Européens comme le craignent de nombreux États membres de l’UE.

TikTok a déjà été pénalisée pour la gestion des données de ses utilisateurs mineurs. Le Royaume-Uni lui a infligé en avril 2023 une amende de 12,7 millions de livres sterling (environ 14,5 millions d'euros) pour violation de la vie privée des enfants.

La présence de mineurs sur cette application a toujours été problématique aux yeux de certaines autorités. La dernière en date est celle du Kirghizistan, qui a annoncé son intention d’interdire TikTok pour "protéger ses enfants" contre un "impact négatif sur leur éducation et leur santé".

Il s’agit-là de l’une des nombreuses motivations qui ont poussé des États à prendre des mesures plus ou moins drastiques contre le réseau social chinois. Certains pays ont interdit à leurs citoyens d’utiliser TikTok pour "atteinte aux bonnes mœurs" ou par une "volonté de contrôler l’information" tandis que d’autres, occidentaux principalement, ont interdit son usage aux élus, fonctionnaires et militaires.

*Commission nationale de l'informatique et des libertés