Protection des données : Tik Tok sanctionné pour ses pratiques déloyales en matière de conception concernant les enfants

S'appuyant sur une décision du 3 août 2023 du Contrôleur européen pour la protection des données (CEPD), la Commission irlandaise de protection des données (IE DPC) a publiée, le 15 septembre, une décision finale, dans laquelle elle considère que Tik Tok a notamment violé le principe d'équité du RGPD lors du traitement des données personnelles, concernant les enfants âgés de 13 à 17 ans, sur une période allant du 31 juillet au 31 décembre 2020. Le réseau social est condamné à verser une amende de 345 M€.

Dans ce dossier la Commission irlandaise a enquêté sur plusieurs points (certains paramètres de la plateforme, y compris les paramètres publics par défaut ainsi que les paramètres associés à la fonctionnalité « Couplage familial » ; et le mode de vérification de l’âge dans le cadre du processus d’inscription, prévu à l'article 25 RGPD). D'autres points ont été soulevés par d'autres autorités européenne sous forme d'objection. L'Autorité Allemande souhaitait intégrer un constat supplémentaire de violation du principe d'équité de l'article 5 du RGPD. De son côté, l'Autorité Italienne souhaitait annuler la proposition du DPC concernant la vérification d'age. Enfin le CEPD a été invité à donner son avis.

Pour sa part, l'analyse du CEPD a révélé que pour deux fenêtres contextuelles (pop up), les utilisateurs mineurs ne se voyaient pas présenter les options de manière objective et neutre :

- dans la fenêtre d'inscription, les enfants étaient incités à opter pour un compte public en choisissant le bouton de droite intitulé « Sauter », ce qui aurait alors un effet en cascade sur la vie privée de l'enfant sur la plateforme, par exemple en faisant des commentaires sur la vidéo, rendant ainsi le contenu créé par les enfants accessible ;

- dans la fenêtre de publication de vidéos, les enfants ont été incités à cliquer sur « Publier maintenant », présenté dans un texte en gras et plus sombre situé sur le côté droit, plutôt que sur le bouton plus clair pour « annuler ». Les utilisateurs qui souhaitaient rendre leur message privé devaient d'abord sélectionner « Annuler », puis rechercher les paramètres de confidentialité afin de passer à un « compte privé ». Par conséquent, les utilisateurs étaient encouragés à opter pour des paramètres publics par défaut, TikTok rendant plus difficile pour eux des choix favorisant la protection de leurs données personnelles. En outre, les conséquences des différentes options n'étaient pas claires, en particulier pour les enfants utilisateurs. 

Le CEPD a rappelé que les responsables du traitement ne devraient pas compliquer la tâche des personnes concernées pour ajuster leurs paramètres de confidentialité et limiter le traitement.

Le Contrôleur a également estimé qu’en raison des pratiques en question, TikTok avait violé le principe d’équité du RGPD. Par conséquent, il a demandé au DPC d’inclure, dans sa décision finale, un constat de cette infraction supplémentaire et d’ordonner à TikTok de se conformer au RGPD en éliminant de telles pratiques de conception.

Le CEPD a par ailleurs évalué si les mesures de vérification de l'âge mises en œuvre par TikTok entre le 31 juillet et le 31 décembre 2020 étaient conformes aux exigences en matière de protection des données dès la conception (article 25). Il exprimé de sérieux doutes quant à l’efficacité des mesures de vérification de l’âge mises en place par TikTok pendant cette période, compte tenu notamment de la gravité des risques pour le nombre élevé d’enfants concernés. Entre autres choses, Le CEPD a constaté que la limite d’âge déployée par TikTok pour empêcher les enfants utilisateurs de moins de 13 ans d’accéder à la plateforme pouvait être facilement contournée et que les mesures appliquées après que les utilisateurs ont eu accès à TikTok n’étaient pas appliquées de manière suffisamment systématique.

Sur la base des éléments disponibles dans le cadre de cette procédure de règlement des litiges, Le CEPD a conclu qu'il ne disposait pas d'informations suffisantes pour évaluer de manière concluante la conformité de TikTok à l'article 25 RGPD pendant cette période. Toutefois, compte tenu des doutes sérieux quant à l’efficacité des mesures choisies par TikTok, Le CEPD a demandé à la DPC d’en tenir compte dans sa décision finale.

La décision finale du DPC intègre l'évaluation juridique exprimée par le CEPD dans sa décision contraignante. Outre un blâme et une ordonnance de conformité, la Commission irlandaise de protection des données a infligé une amende de 345 M€ à la plateforme.