Meta écope d’une amende record de 91 millions d’euros en Irlande
Le couperet est tombé pour Meta en Irlande. Le géant américain, maison-mère de Facebook, Instagram et WhatsApp, écope d'une amende record de 91 millions d'euros infligée par la Commission irlandaise de protection des données (DPC). En cause : une faille de sécurité ayant exposé les mots de passe de millions d'utilisateurs européens en clair dans les bases de données internes de l'entreprise.
Un manquement grave aux obligations du RGPD
Avec cette sanction, qui fait suite à une enquête ouverte en avril 2021, la DPC entend bien marquer les esprits et rappeler à Meta ses obligations en matière de protection des données personnelles. Car le manquement soulevé est loin d'être anodin.
Entre mai 2018 et septembre 2019, les mots de passe de jusqu'à 20 millions d'utilisateurs européens étaient stockés en clair dans des journaux de logs internes chez Meta, les rendant accessibles à plus de 20 000 employés de l'entreprise. Une pratique en totale contradiction avec les règles élémentaires de sécurité.
"Nous avons coopéré pleinement avec l'enquête de la DPC et avons déjà remédié aux problèmes identifiés en 2019."
– Meta dans un communiqué
Pour la DPC, ce manquement constitue une violation du RGPD, le règlement européen sur la protection des données. Meta n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles des utilisateurs, comme l'exige l'article 32 du RGPD.
La plus grosse amende jamais infligée par la DPC
Le montant de 91 millions d'euros est un record pour la DPC irlandaise, dont les amendes les plus élevées tournaient jusqu'ici autour de 50 millions d'euros. Cette somme reste néanmoins bien en deçà du plafond de 4% du chiffre d'affaires annuel prévu par le RGPD pour les infractions les plus graves.
Meta a annoncé son intention de faire appel de la décision, estimant que la sanction et l'amende étaient "disproportionnées". Le groupe assure avoir remédié au problème dès sa découverte il y a trois ans et affirme qu'aucune preuve d'un accès abusif ou d'une fuite des mots de passe n'a été trouvée.
L'Irlande, centre névralgique de la régulation des géants tech en Europe
Ce n'est pas un hasard si cette sanction émane de la DPC irlandaise. L'Irlande abrite en effet le siège européen de nombreuses multinationales technologiques américaines comme Meta, Google ou Apple, attirées par une fiscalité avantageuse.
Cela fait de la DPC l'autorité "chef de file" chargée de contrôler la conformité de ces géants du web au RGPD pour l'ensemble du territoire européen. Un rôle crucial, mais qui expose aussi le régulateur irlandais à des pressions.
Une crédibilité à restaurer pour la DPC irlandaise
La DPC a souvent été critiquée pour son manque de fermeté face aux mastodontes de la Silicon Valley. Certains lui ont reproché sa trop grande proximité avec les entreprises qu'elle est censée contrôler, ainsi que la lenteur de ses procédures.
"La crédibilité de la DPC est en jeu. Elle doit montrer qu'elle est capable de tenir tête aux géants de la tech et de faire respecter le RGPD."
– Un expert en protection des données qui a requis l'anonymat
Avec cette amende record, la DPC semble décidée à changer son image et à s'affirmer comme un régulateur sérieux et intransigeant. Un signal fort envoyé à Meta et aux autres géants du web : la protection des données des citoyens européens n'est pas négociable.
Les leçons à tirer pour les entreprises
Au-delà du cas Meta, cette affaire est un rappel salutaire pour toutes les entreprises qui traitent des données personnelles :
- La sécurité des données doit être une priorité absolue, à tous les niveaux de l'organisation.
- Les mots de passe doivent impérativement être chiffrés et stockés de manière sécurisée.
- Les accès aux données sensibles doivent être strictement encadrés et limités au personnel habilité.
Le respect du RGPD n'est pas une option : c'est une obligation légale et éthique, dont le non-respect expose à des sanctions financières très lourdes. Mais c'est aussi un gage de confiance et de crédibilité vis-à-vis des utilisateurs de plus en plus soucieux de la confidentialité de leurs données.
