Le commissaire irlandais à la protection des données (DPC) a infligé une sanction de 5,5 millions d'euros à l'encontre de WhatsApp pour ses manquements au RGPD et la somme de se mettre en conformité d'ici à six mois, suite à ses précédentes amendes de 390 millions d'euros ciblant Facebook et Instagram.

• RGPD : 390 millions d'euros d'amendes pour Meta
• Près de 3 milliards d'euros d'amendes ont été infligées en 2022 pour infraction au RGPD

Cette décision fait de nouveau fois suite à la série de plaintes similaires déposées par l'ONG noyb, dirigée par le célèbre activiste autrichien Max Schrems, « qui contestait la manière dont les plateformes de Meta se conformaient au règlement général sur la protection des données (RGPD) de l'UE », relève Euractiv.

Schrems estimait en effet que cette approche n'était rien de moins qu'un « contournement du RGPD » car elle ne permet pas l' « opt out ».

La DPC a conclu que les plateformes de Meta enfreignaient certes les exigences de transparence requises par le RGPD, mais n'a pas remis en question sa façon de procéder.

Ce qui fait bondir noyb, dans un communiqué intitulé « La DPC fait un doigt d'honneur au CEPD » (le Comité européen de la protection des données, qui regroupe les CNIL européennes) à mesure que la DPC « rejette la demande du CEPD d'enquêter sur des questions telles que le partage de données au sein de Meta », comme l'explique Max Schrems :

« Nous sommes étonnés de voir comment la DPC ignore simplement le cœur de l'affaire après une procédure de 4,5 ans. La DPC ignore également clairement la décision contraignante du CEPD. Il semble que la DPC ait finalement rompu tous les liens avec les autorités partenaires de l'UE et aux exigences de la législation européenne et irlandaise. »

Les contenus échangés sur WhatsApp sont certes chiffrés, mais pas les métadonnées : « WhatsApp sait toujours avec qui vous discutez le plus et à quelle heure. Cela permet à Meta d'avoir une compréhension très précise du tissu social Meta utilise ces informations pour, par exemple, cibler des publicités qui intéressaient déjà des amis. Il semble que le DPC ait maintenant tout simplement refusé de se prononcer sur cette affaire, malgré 4,5 ans d'enquêtes » : 

« Cette affaire porte sur une simple question juridique. Meta affirme que le "contournement" s'est produit avec la bénédiction de la DPC. Pendant des années, la DPC a fait traîner la procédure et a insisté pour que Meta puisse contourner le RGPD. C'est la quatrième fois consécutive que la DPC irlandais renverse le RGPD. »