La Commission irlandaise de protection des données inflige une amende de 11 millions d’euros à Tinder pour violation du RGPD. L’application de rencontres ne fournissait pas à ses utilisateurs une copie complète de leurs données personnelles lorsqu’ils en faisaient la demande. Match Group, sa maison-mère, compte faire appel.
L’enquête a été ouverte en janvier 2020 par la Data Protection Commission (DPC), l’autorité irlandaise chargée de superviser le respect du RGPD par Match Group dans l’Union européenne. Elle portait notamment sur la manière dont Tinder répondait aux demandes d’accès aux données de ses utilisateurs, ainsi que sur ses pratiques de conservation des informations personnelles. La décision définitive a été rendue le 13 octobre, avant son annonce publique aujourd’hui
Tinder ne fournissait pas toutes les données demandées
Le problème concerne principalement une fonctionnalité baptisée « Télécharger mes données ». Celle-ci permettait aux utilisateurs de récupérer une archive contenant les informations personnelles associées à leur compte Tinder. Mais selon l’autorité irlandaise, cet outil ne respectait pas les exigences de l’article 15 du RGPD qui garantit notamment le droit d’obtenir une copie de ses données personnelles.
Les enquêteurs ont constaté que certaines catégories d’informations étaient totalement absentes des fichiers transmis, sans que les utilisateurs en soient avertis. D’autres données n’étaient fournies que sous forme résumée. Des dizaines de milliers de personnes ont utilisé cet outil pendant la période examinée par le régulateur. La DPC estime que cette présentation ne permettait pas aux utilisateurs de comprendre précisément quelles informations personnelles leur étaient effectivement communiquées
Graham Doyle, commissaire adjoint à la protection des données, rappelle que les outils automatisés peuvent faciliter l’exercice des droits prévus par le RGPD. Ils doivent toutefois informer clairement les utilisateurs de l’étendue des informations fournies. La réglementation n’impose pas nécessairement à un outil automatisé de fournir systématiquement une copie exhaustive, mais son fonctionnement doit être transparent sur les données effectivement accessibles.
Match Group va contester la sanction
La décision de la DPC comprend une amende administrative de 11 millions d’euros et un blâme officiel. Le régulateur impose également à MTCH Technology Services Limited, la filiale de Match Group concernée, de mettre ses pratiques en conformité avec le RGPD dans un délai de trois mois.
Match Group n’entend toutefois pas accepter cette décision et annonce faire appel. L’entreprise avait déjà indiqué dans son dernier rapport financier qu’elle estimait disposer de solides arguments pour contester les conclusions du régulateur. Elle avait également provisionné 12,6 millions de dollars pour couvrir cette affaire.
L’appel aura aussi des conséquences sur le calendrier du paiement. Selon les règles irlandaises, une amende prononcée par la DPC ne peut pas être recouvrée tant qu’un recours est en cours. Le montant de 11 millions d’euros reste donc susceptible d’être contesté devant la justice.
