Par une délibération datée du 9 avril 2021, l’autorité de protection néerlandaise a sanctionné la société TIKTOK, célèbre éditrice d’une application mobile de partage de vidéos et de réseautage social, par une amende de 750 000 euros. Est reproché au réseau social chinois de ne pas avoir traduit sa politique de confidentialité (“privacy policy”) dans la langue officielle des Pays-Bas et de n’avoir ainsi pas délivré une information conforme aux exigences réglementaires du RGPD.
Des exigences fortes en matière de transparence de l’information
Lorsque des données à caractère personnel sont collectées, que ce soit directement auprès de la personne concernée ou non, le RGPD (Règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces donnée) ne se contente pas d’imposer une longue liste d’éléments devant être portés à l’attention de la personne concernée (identité du responsable de traitement, base(s) légale(s), durée de conservation des données, destinataire des données, etc.). Il impose également des modalités dans la délivrance de cette information, au travers de son article 12 “transparence des informations et des communications et modalités de l’exercice des droits de la personne concernée” :
Le responsable du traitement prend des mesures appropriées pour fournir toute information (…) en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d’autres moyens y compris, lorsque c’est approprié, par voie électronique. (…)
En complément des principes figurant au sein des dispositions du RGPD, le Comité européen de la protection des données (CEPD) a adopté des lignes directrices sur la transparence (WP260 rev.01) venant préciser les modalités de l’information devant être transmise à “des enfants et d’autres personnes vulnérables“. Ces règles ont vocation à s’appliquer lorsqu’un responsable de traitement cible spécifiquement des enfants ou si ses produits/services sont particulièrement utilisés par des enfants.
Ainsi, pour le CEPD, un responsable de traitement “doit s’assurer que le vocabulaire, le ton et le style de langage utilisés sont adaptés aux enfants et peuvent être compris par ces derniers de sorte que les enfants destinataires des informations reconnaissent que le message/les informations leur sont adressés“.
L’absence de traduction de la politique de confidentialité tiktok
L’autorité néerlandaise a constaté que lors de l’inscription d’un utilisateur sur le réseau social TIKTOK, ce dernier était renvoyé vers une « Privacy Policy » (“Politique de confidentialité”), uniquement disponible en anglais. Ce constat a été opéré entre le 25 mai 2018 (date d’entrée en application du RGPD) et le 28 juillet 2020 (date de la mise en ligne par TIKTOK d’une version traduite en néerlandais de sa “Politique de confidentialité“).
Parallèlement, l’autorité néerlandaise constate que le service TIKTOK est utilisé par un très grand nombre d’enfants, âgés de moins de 16 ans. Pour étayer ses propos, elle se base notamment sur des études marketing ayant été menées par ou pour le compte du réseau social et évaluant l’âge de ses utilisateurs. Notons que ce réseau social est par ailleurs notoirement connu pour être utilisé par un jeune public. A titre d’illustration, l’autorité de protection des données intègre le graphique ci-dessous (initialement publié par le réseau social lui-même) au sein de sa délibération :
Forte de ces constats, l’autorité néerlandaise considère qu’en fournissant une information dans une langue étrangère (i.e. en anglais) à celle des Pays-Bas (la langue officielle du pays étant le Néerlandais), la société TikTok a rendu compliqué, voir incompréhensible, la prise de connaissance de ses conditions de traitements de données personnelles auprès de ses jeunes utilisateurs.
L’autorité rappelle par ailleurs que les enfants sont moins conscients des conséquences de leurs actes, notamment des implications du partage de données personnelles sur les médias sociaux. Un effort tout particulier aurait donc dû être mené par ce réseau social pour informer et éclairer ses jeunes utilisateurs.
Eu égard à ces éléments, l’autorité néerlandaise reproche au chinois TIKTOK un manquement aux dispositions de l’article 12(1) et lui inflige une amende de 750 000 euros. Pour justifier du montant de sa sanction, l’autorité rappelle notamment que le service TIKTOK est utilisé par quelques 3,5 millions d’utilisateurs aux Pays-Bas.
Par un communiqué daté du 22 juillet 2021, l’autorité néerlandaise a fait savoir que l’entreprise TIKTOK a déposé un recours contre l’amende prononcée.
