390 millions d’euros. Tel est le montant de l’amende infligée en début d’année à Meta, la maison mère de Facebook, par la Commission irlandaise pour la protection des données (DPC), qui remplit les mêmes missions que la Cnil en France. Le site américain ayant établi en Irlande son QG pour ses activités européennes, la DPC se trouve en première ligne.
Problème : cette sanction, qui cible des faits couverts par le Règlement général sur la protection des données (RGPD), n’a pas été correctement calculée. C’est, du moins, l’avis d’une association en pointe sur les thématiques de vie privée dans l’espèce numérique : None of your Business (Noyb). À ses yeux, l’amende aurait dû atteindre les… 4 milliards d’euros.
Une sanction accusée d’être dix fois trop petite
Pour arriver à ce montant, Noyb a inclus trois paramètres :
- D’abord, le cadre répressif du RGPD. Celui-ci prévoit la possibilité d’infliger à une organisation prise en faute jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent. C’est aussi dans ce règlement qu’il est demandé aux autorités administratives chargées de prononcer ces sanctions de retenir des peines à la fois « proportionnées et dissuasives ».
- L’association a ensuite observé la trajectoire financière de Meta en Europe ces dernières années. En se fondant sur les éléments financiers du réseau social et en les limitant à l’espace européen, Noyb relève que le groupe a dégagé 84,7 milliards d’euros grâce à la publicité sur le Vieux Continent entre le troisième trimestre 2018 et le troisième trimestre 2022.
- Enfin, le dernier critère considéré par Noyb est la demande du Comité européen de la protection des données (CEPD), une structure qui rassemble toutes les Cnil de l’Union. Or, le CEPD avait demandé au DPC de quantifier les gains obtenus depuis la mise en place du RGPD (en mai 2018) et de frapper fort pour faire comprendre que le jeu n’en vaut pas la chandelle.
« Nous sommes tous au courant des énormes revenus de Meta. Il est étonnant que cela n’ait pas été pris en compte par le CPD. Il n’a même pas utilisé ses pouvoirs statutaires pour demander ces informations à Meta », regrette Max Schrems, le président de Noyb. Il manquerait donc au moins 4 milliards d’euros pour une peine cohérente avec la surface financière de Meta.
En somme, le DPC n’aurait pas correctement suivi les directives du CEPD ni pris bien note des revenus de Meta en Europe depuis la mise en place du RGPD. Ce faisant, l’autorité irlandaise a en quelque sorte fait un cadeau de près de 4 milliards d’euros à l’entreprise, accuse Noyb, avant de railler : « Il nous a fallu une heure et un tableur pour faire le calcul. »
Abonnez-vous gratuitement à Artificielles, notre newsletter sur l’IA, conçue par des IA, vérifiée par Numerama !
