La Commission irlandaise de protection des données a infligé une amende de 11 millions d’euros à Tinder pour avoir violé le RGPD. L’application de rencontre n’a pas fourni à ses utilisateurs une copie complète de leurs données personnelles lors de leur demande. Match Group, la société mère, prévoit de faire appel.
L’enquête a été ouverte en janvier 2020 par la Commission de protection des données (DPC), l’autorité irlandaise chargée de veiller à la conformité de Match Group au RGPD au sein de l’Union européenne. Elle s’est concentrée en particulier sur la manière dont Tinder a répondu aux demandes d’accès aux données de ses utilisateurs, ainsi que sur ses pratiques de conservation de données personnelles. La décision finale a été rendue le 13 octobre, avant son annonce publique aujourd’hui.
Tinder n’a pas fourni toutes les données demandées
Le problème concerne principalement une fonctionnalité appelée “Télécharger mes données”. Celle-ci permettait aux utilisateurs de récupérer un fichier contenant des informations personnelles associées à leur compte Tinder. Cependant, selon les autorités irlandaises, cet outil ne respectait pas les exigences de l’Article 15 du RGPD, qui garantit notamment le droit d’obtenir une copie des données personnelles.
Les enquêteurs ont noté que certaines catégories d’informations étaient complètement absentes des fichiers transmis, sans que les utilisateurs en soient informés. D’autres données n’étaient fournies que sous forme résumée. Des dizaines de milliers de personnes ont utilisé cet outil pendant la période examinée par le régulateur. La DPC considère que cette présentation ne permettait pas aux utilisateurs de comprendre précisément quelles informations personnelles leur avaient réellement été communiquées.
Graham Doyle, le commissaire adjoint à la protection des données, rappelle que les outils automatisés peuvent faciliter l’exercice des droits prévus par le RGPD. Toutefois, ils doivent clairement informer les utilisateurs de l’étendue des informations fournies. Le règlement n’exige pas nécessairement qu’un outil automatisé fournisse systématiquement une copie complète, mais son fonctionnement doit être transparent par rapport aux données réellement accessibles.
Match Group conteste la sanction
La décision de la DPC comprend une amende administrative de 11 millions d’euros et un avertissement officiel. Le régulateur exige également que MTCH Technology Services Limited, la filiale concernée de Match Group, aligne ses pratiques sur le RGPD dans un délai de trois mois.
Cependant, Match Group n’a pas l’intention d’accepter cette décision et annonce son intention de faire appel. L’entreprise avait déjà indiqué dans son dernier rapport financier qu’elle pensait avoir de solides arguments pour contester les conclusions du régulateur. Elle avait par ailleurs mis de côté 12,6 millions de dollars pour couvrir cette affaire.
Cette procédure d’appel aura également des conséquences sur le calendrier de paiement. Selon la législation irlandaise, une amende infligée par la DPC ne peut être recouvrée tant qu’un appel est en cours. Ainsi, le montant de 11 millions d’euros est susceptible d’être contesté devant le tribunal.
