Coup de théâtre dans l’Union européenne ! Pays européen qui figurait historiquement parmi les plus complaisants envers les GAFAMs, l’Irlande et sa DPC (Data Protection Commission) pourraient mettre à mal les activités de Meta en Europe. La semaine dernière, l’autorité de protection des données irlandaise a appelé ses homologues européens à consulter son projet de décision phare. L’UE pourrait donc obliger Meta à stopper le transfert de données personnelles des utilisateurs européens vers les États-Unis. Plus de détails ci-dessous.
Un projet de protection des données contre les transferts de Meta
Le projet est porté par la DPC de l’Irlande devant les autres autorités européennes équivalentes. En France par exemple, l’homologue de la DPC est la Commission nationale de l’informatique et des libertés (Cnil). Dans ce projet, La DPC s’appuie sur le Règlement général sur la protection des données (RGPD) adopté en Europe depuis avril 2016.
Les accusations portées par la DPC ne sont pas nouvelles. En septembre 2020 déjà, Meta (anciennement Facebook) avait refusé de se plier face à l’autorité irlandaise. Nick Clegg, vice-président des affaires publiques et de la communication au sein de Facebook, avait alors déclaré : « Nous continuerons à transférer des données conformément au récent arrêt de la CJUE et jusqu’à ce que nous recevions de plus amples informations ».
Le problème est que Meta et la DPC ne font pas la même lecture du RGPD. La DPC, elle, se focalise sur le coup d’arrêt porté par l’UE au Privacy Shield qui assurait auparavant, le transfert de données vers les États-Unis. À l’inverse, Facebook persévérait dans sa lecture de l’article 46 du RGPD qui permet la formation de contrats de transfert de données personnelles avec l’aval de la Commission Européenne.
La principale crainte de la DPC est que les données puissent être examinées par les autorités américaines, comme le prévoit le CLOUD Act. La DPC met le géant face à un ultimatum d’un mois.
Lire aussi : Meta réduit ses prévisions d’embauche de 30%
Quel danger pour les réseaux sociaux de Meta ?
Face à cet ultimatum, Meta avait agité la menace du retrait de ses services de l’Union européenne. Dans le cas où le transfert de données serait stoppé, la suite reste assez floue : « il n’est pas très clair comment, dans ces circonstances, Meta peut continuer à fournir les services Facebook et Instagram dans l’UE ». C’est l’idée soutenue par Yvonne Cunnane, responsable de la protection des données et de la vie privée chez Facebook, lors d’une déclaration sous serment, transmise à la Haute Cour de Justice d’Irlande.
Comme tu le sais, Facebook et Instagram sont les deux piliers de Meta. Ensemble, ils assurent la visibilité de Meta sur le marché des réseaux sociaux, si bien qu’ils occupent 80% du temps passés sur les réseaux des 15-24 ans à travers le monde. Fermer ces deux services dans l’Union européenne pourrait engendrer de grosses pertes financières pour la société de Mark Zuckerberg. Néanmoins, Meta c’est aussi Messenger, Whatsapp, Workplace, Oculus, Facebook Games. Ces applications occupent 24% du temps des CSP+ sur les services du groupe.
Une grande menace pour le transfert de données outre-atlantique en général
Meta n’est pas la seule entreprise menacée
Meta n’est pas la seule entreprise menacée par la suppression de ses services au sein de l’UE. Si elle reste la plus visible sur le marché, on trouve pas moins de 70 autres entreprises potentiellement concernées. Celles-ci sont européennes ou américaines et bénéficient des transferts internationaux de données, plus particulièrement ceux outre-atlantique. En plaidant devant la Security and Exchange Commission (SEC), Meta a mentionné ces 70 autres entreprises affectées par ces incertitudes du RGPD.
En raison du risque commercial qui touche ces sociétés, Meta a appelé à l’instauration d’un cadre clair pour « protéger les flux de données transatlantiques sur le long terme« . Un nouveau cadre de transfert de données personnelles est donc actuellement en décision dans les instances européennes. Le chantier s’annonce donc plutôt long.
Des négociations sur le flux de données qui patinent
Depuis la fin du Privacy Shield en 2020, un accord était attendu, tant du côté des États-Unis que de celui de l’UE, pour fixer les incertitudes. En mars 2022, les deux partis étaient parvenus à la signature d’un « accord de principe ». Sur Twitter, Ursula Van der Leyen avait annoncé que cela permettait « d’avoir des flux de données prévisibles et fiables, tout en assurant la sécurité, le droit à la vie privée et la protection des données ».
Toutefois, l’accord final, à partir de cette base, allait encore nécessiter plusieurs mois de négociations. En avril 2022, cet accord de principe a été mis à mal par le Comité européen de la protection des données (European Data Protection Board). Selon ce dernier, il n’a aucune conséquence juridique. L’instance a ajouté qu’elle aura la charge d’évaluer le nouvel accord afin de voir s’il répond au niveau d’exigence fixé par le Règlement général sur la protection des données (RGPD).
Après des années de complaisance européenne envers les GAFAMs, il est dorénavant possible que les géants de la Tech se cassent les dents face à des juridictions européennes sur la défensive. Le risque reste, toutefois, important pour l’Union européenne qui ne possède pas de service équivalent en volumétrie, à ceux proposés par Meta.
