L'autorité irlandaise chargée de la protection des données, la DPC (Data Protection Commission), a infligé une amende de 530 millions d'euros à la plateforme vidéo TikTok pour violation de la protection des données. TikTok aurait transféré des données d'utilisateurs européens vers la Chine et enfreint les exigences en matière de transparence, a déclaré la DPC le 2 mai dans un communiqué.
Contexte de la procédure contre TikTok
La DPC a agi en sa qualité d'organisme chef de file autorité de contrôle pour TikTok au sens de la Guichet unique- Procédure prévue à l'article 56 RGPD. L'enquête a porté, d'une part, sur la légalité des transferts de données vers des pays tiers en vertu du chapitre V RGPD, en particulier dans les pays sans Décision d'adéquation de la Commission européenne.
D'autre part, l'autorité a examiné si TikTok avait respecté son obligation de transparence selon l'article 13, paragraphe 1, lettre f. RGPD s'est correctement acquitté de ses obligations.
Transferts illicites de données vers la Chine
Selon les constatations de la DPC, TikTok a notamment violé l'article 46, paragraphe 1, de la loi sur la protection des données. RGPD n'a pas été respectée. La société n'a pas été en mesure de garantir de manière satisfaisante que données à caractère personnel d'utilisateurs de l'EEE bénéficient, en cas d'accès par des employés chinois, d'un niveau de protection équivalent à celui des RGPD est "substantiellement équivalente".
Point particulièrement critique : l'évaluation réalisée par TikTok lui-même concernant la législation chinoise a déjà révélé des divergences considérables par rapport aux normes européennes en matière de protection des données – notamment en raison de la loi antiterroriste chinoise, de la loi sur la lutte contre l'espionnage et de la loi sur les services de renseignement nationaux.
Bien que TikTok ait créé ce qu'on appelle des Clauses contractuelles types (SCC), la DPC a également constaté qu'aucune mesure de protection supplémentaire efficace n'avait été mise en place pour empêcher ou contrôler l'accès aux données par les autorités publiques chinoises. Les mesures prises dans le cadre de l'arrêt de la CJCE "Schrems II" n'avaient pas été suffisamment documentées ou mises en œuvre. Cela concernait notamment Cryptage des données sensibles en cas d'accès à distance, ainsi que l'absence de protocoles d'accès transparents.
Ce défaut a conduit à la contestation de l'ensemble de la pratique de transmission de TikTok. La DPC a souligné que l'évaluation du droit chinois par TikTok elle-même n'était pas une "essential equivalence" avec le RGPD et qu'il n'existe donc pas de base pour le choix et l'efficacité des mesures de sécurité.
Au cours de la procédure, TikTok a évoqué le programme d'infrastructure en cours “ Project Clover ”, qui prévoit un stockage local des données au sein de l'UE (notamment en Irlande et en Norvège) ainsi que des mécanismes de contrôle indépendants. La DPC a salué ce projet comme une avancée positive. Elle a toutefois continué à subordonner la poursuite des transferts de données vers la Chine à la mise en œuvre complète de la RGPDdépendent de mécanismes de protection conformes à [...].
Manque de transparence vis-à-vis des utilisateurs
Un élément central de la décision DPC concerne le manquement de TikTok à fournir aux utilisateurs de l'Espace économique européen des informations claires et complètes sur les services transfrontaliers. Traitement de leurs données personnelles. Conformément à l'art. 13, paragraphe 1, point f) RGPD les entreprises sont tenues d'informer de manière transparente les personnes concernées si leurs données sont transférées vers des pays tiers et, le cas échéant, vers quels pays tiers et comment ces transferts sont effectués. Transmission est effectuée.
La directive sur la protection des données de TikTok d'octobre 2021 ne répondait pas à ces exigences sur des points essentiels : les pays tiers concrètement concernés - en particulier la Chine - n'étaient pas explicitement désignés et les circonstances exactes des transferts de données n'étaient pas divulguées. En particulier, il n'était pas clair que les transferts concernaient également des accès à distance aux données par des collaborateurs chinois, qui étaient basés sur des données de la société. Serveur à Singapour et aux États-Unis. Ce manque de Transparence empêchait les utilisateurs d'exercer leurs droits en matière de protection des données en toute connaissance de cause.
Au cours de la procédure, TikTok a révisé sa politique de confidentialité et a soumis à la DPC une nouvelle version datée de décembre 2022. L'autorité a estimé que cette nouvelle version répondait aux exigences de l'article 13, paragraphe 1, point f). RGPDLa DPC a fait preuve d'une grande prudence dans l'identification des pays tiers, en précisant le mode d'accès et l'emplacement des serveurs. Le constat fait par la DPC Violation concernait ainsi la période du 29 juillet 2020 au 1er décembre 2022, au cours de laquelle TikTok n'a pas suffisamment respecté ses obligations de transparence.
Conseil de lecture : Infractions à la DMA : l'UE inflige 700 millions d'euros d'amendes à Apple et Meta
Informations erronées au cours de la procédure
Un aspect particulièrement grave de la décision concerne la politique d'information insuffisante de TikTok à l'égard de la DPC au cours de la procédure en cours. Dans le cadre de l’enquête, TikTok avait assuré à plusieurs reprises qu’aucune donnée à caractère personnel des utilisateurs de l’EEE n’était stockée sur des serveurs situés en Chine. Ces assurances ont constitué un élément essentiel de l’évaluation des flux de données par la DPC.
En avril 2025, TikTok a toutefois informé la DPC qu’il avait constaté dès février 2025 que, contrairement aux assurances données précédemment, une quantité limitée de données d’utilisateurs de l’EEE avait été stockée sur des serveurs situés en Chine. TikTok a expliqué que cela était dû à une erreur interne et à un malentendu concernant la classification interne des données. Les données concernées auraient entre-temps été supprimées.
La DPC a pris très au sérieux cette divulgation a posteriori. La décision souligne que la communication d'informations inexactes ou trompeuses dans le cadre de procédures de contrôle constitue un obstacle majeur à un contrôle efficace. De telles informations erronées peuvent non seulement saper la confiance de l’autorité, mais aussi fausser considérablement l’évaluation des risques en matière de protection des données.
L'autorité a donc annoncé l'ouverture d'une procédure distincte visant à examiner si le comportement de TikTok concernant la notification tardive du stockage des données justifie d'autres mesures de contrôle. Si un comportement intentionnel ou une négligence grave venait à être constaté, cela pourrait entraîner de nouvelles sanctions.
Une amende de plusieurs millions infligée à TikTok
La DPC a imposé une Amende d'un montant total de 530 millions d'euros :
- 485 millions d'euros pour violation de l'article 46(1) RGPD (transfert illégal de données),
- 45 millions d'euros pour violation de l'article 13, paragraphe 1, point f) RGPD (manque de Transparence).
TikTok a également été contraint, dans un délai de six mois à compter de l'expiration du délai de réclamation, de supprimer toutes les opérations de traitement impliquant la RGPD de se mettre en conformité. Dans le cas contraire, tous les transferts de données vers la Chine risquent d'être suspendus.
Évaluation de la procédure contre TikTok
La décision de la DPC a des implications qui vont bien au-delà de TikTok. Elle souligne les critères stricts applicables aux transferts internationaux de données depuis l'UE – en particulier vers des pays ne disposant pas de Décision d'adéquation. Les entreprises sont tenues de procéder à des évaluations juridiques approfondies et de mettre en œuvre des mesures techniques et organisationnelles garantissant un niveau équivalent de protection des données.
En outre, l'importance d'une information transparente des utilisateurs est à nouveau soulignée. Les directives relatives à la protection des données doivent être claires, complètes et compréhensibles, en particulier dans le cadre d'activités transfrontalières. Traitement.
Cette décision montre notamment que des informations incomplètes ou trompeuses fournies aux autorités de contrôle peuvent avoir des conséquences considérables. La DPC examine déjà d'autres mesures réglementaires à l'encontre de TikTok en raison de la divulgation tardive du stockage de données de l'EEE en Chine.
🌍 Vous souhaitez réaliser une analyse d'impact relative au transfert de données (TIA), évaluer le niveau de protection des données dans le pays destinataire et prendre les mesures nécessaires ? Alors n'hésitez pas à nous contacter ! Nous vous proposons une solution sur mesure.
German 
English 
Italian 
French