Le rythme quotidien du deuxième trimestre était donc plus de trois fois supérieur à celui du trimestre précédent. Il faut toutefois interpréter les totaux avec prudence : une ou deux décisions exceptionnellement élevées peuvent peser lourdement sur le résultat d’un trimestre. Ces chiffres ne constituent donc pas une estimation de l’amende moyenne encourue par chaque entreprise.

Les principales sanctions du trimestre

Pays-Bas : 100 millions d’euros pour l’affaire Yango

La plus importante sanction individuelle du trimestre concerne MLU B.V., l’entreprise néerlandaise derrière l’application de VTC Yango. L’autorité néerlandaise de protection des données lui a infligé une amende d’environ 100 millions d’euros et lui a ordonné de mettre fin à certains transferts de données personnelles vers la Russie lorsque les exigences du RGPD n’étaient pas respectées.

Le dossier portait sur des garanties jugées insuffisantes pour les transferts vers un pays tiers. Les informations concernées auraient notamment été celles d’utilisateurs de Yango en Finlande et en Norvège, ce qui confère à la décision une portée importante pour les groupes qui s’appuient sur des flux de données transfrontaliers ou sur des entités situées hors d’Europe.

La leçon opérationnelle est claire : la présence de documents contractuels ne suffit pas, à elle seule, à écarter le risque. L’entreprise doit aussi vérifier que le pays de destination, le destinataire et les mesures techniques et organisationnelles assurent effectivement un niveau de protection adéquat.

France : 42 millions d’euros pour Free Mobile et Free

En France, les autorités ont infligé un total de 42 millions d’euros aux opérateurs Free Mobile et Free. Cette somme comprend notamment une amende de 27 millions d’euros visant Free Mobile, ainsi qu’une sanction distincte contre Free. Des insuffisances en matière de sécurité figuraient parmi les griefs rapportés.

Les opérateurs télécoms concentrent d’importants volumes de données relatives aux abonnés et aux comptes clients. Toute faiblesse dans la protection de ces informations peut donc avoir des conséquences importantes. Les décisions françaises ont également contribué à faire de la France l’un des principaux pays à l’origine des sanctions du premier trimestre : avec le Royaume-Uni, elle représentait alors 94 % du total rapporté.

Italie : 31,8 millions d’euros contre Intesa Sanpaolo

En Italie, Intesa Sanpaolo a reçu une amende de 31,8 millions d’euros en raison de lacunes dans la protection des données bancaires de ses clients, selon le bilan des sanctions du deuxième trimestre.

Cette affaire illustre l’exposition particulière des établissements financiers, qui traitent des données sensibles liées à l’identité, aux transactions et aux comptes dans des environnements informatiques vastes et complexes.

Royaume-Uni : 14,47 millions de livres pour Reddit

L’Information Commissioner’s Office (ICO), l’autorité britannique chargée de la protection des données, a infligé à Reddit une amende de 14,47 millions de livres après avoir conclu que la plateforme utilisait illicitement les données personnelles d’enfants. Selon l’ICO, Reddit ne vérifiait pas correctement l’âge des personnes accédant au service et n’avait pas mis en place de mesures suffisamment robustes pour protéger les mineurs. Reddit a fait appel de la décision fixant l’amende.

Le dossier place la vérification de l’âge et la protection de la vie privée des enfants au cœur des obligations des plateformes en ligne. Ces dispositifs ne peuvent plus être considérés comme un simple complément à une politique générale de confidentialité : les autorités examinent aussi la manière dont les services identifient les utilisateurs mineurs et utilisent leurs données, même en l’absence de violation de données classique.

Quatre risques de conformité reviennent régulièrement

Les affaires du deuxième trimestre font ressortir plusieurs catégories de manquements :

• Des mesures techniques et organisationnelles de sécurité insuffisantes, notamment pour protéger les données des clients ou des abonnés.
• Un traitement sans base légale suffisante, par exemple lorsque le consentement est inadéquat ou qu’une autre base juridique n’est pas étayée.
• Des contrôles insuffisants concernant les mineurs, comme des mécanismes de vérification de l’âge inefficaces ou l’utilisation illicite de données d’enfants.
• Des garanties inadéquates pour les transferts internationaux, en particulier lorsque les données sont envoyées vers un pays n’offrant pas un niveau de protection adéquat.

Ces risques sont souvent liés entre eux. Une entreprise peut disposer d’une politique de confidentialité parfaitement rédigée et néanmoins être sanctionnée si ses contrôles réels, ses informations aux utilisateurs, ses mécanismes de consentement ou ses relations avec ses prestataires ne correspondent pas à cette politique.

Les secteurs de la finance et des médias particulièrement exposés

Le rapport de Finbold indique que les entreprises des secteurs des médias et de la finance représentaient six des dix plus lourdes amendes du deuxième trimestre. Avec les affaires touchant les télécoms et la technologie, cette tendance met en évidence l’exposition accrue des organisations qui associent une large base d’utilisateurs à des données personnelles détaillées, sensibles ou à forte valeur commerciale.

Cela ne signifie pas que les sanctions se limitent à quelques secteurs. Les entreprises qui traitent de grandes quantités de données de consommateurs sont simplement confrontées à davantage de points de défaillance possibles : sécurité, profilage, consentement, conservation, gestion des accès ou transferts internationaux.

Les priorités des entreprises opérant en Europe

Les tendances observées plaident pour une feuille de route concrète :

1. Relier chaque traitement à une base légale. Documenter les raisons pour lesquelles chaque catégorie de données est collectée et utilisée, et vérifier la validité du consentement lorsqu’il est requis.
2. Tester les mesures de sécurité en conditions réelles. Examiner la gestion des accès, l’authentification, le chiffrement, la réponse aux incidents et les contrôles appliqués aux prestataires, plutôt que de s’en remettre aux seules procédures écrites.
3. Mettre en place un véritable dispositif de protection des mineurs. Les services susceptibles d’être utilisés par des enfants doivent évaluer leurs méthodes de vérification de l’âge et appliquer des garanties adaptées à leurs données.
4. Réévaluer les transferts vers des pays tiers. Tenir à jour les analyses de risques, utiliser les garanties contractuelles et techniques appropriées et vérifier que le destinataire peut effectivement respecter ses obligations dans le pays de destination.
5. Faire remonter les traitements à haut risque au niveau de la direction. Les risques liés aux données personnelles doivent être intégrés au suivi des risques opérationnels, cyber et d’entreprise, en particulier dans les médias, la technologie, la finance et les télécoms.

Le principal enseignement du deuxième trimestre tient à l’ampleur du risque financier lorsqu’un contrôle majeur échoue. À elle seule, la décision de 100 millions d’euros liée à Yango représente près de la moitié du montant total des sanctions rapportées pour le trimestre. Le total doit néanmoins être lu avec discernement, car les agrégats de sanctions peuvent être dominés par quelques amendes record.

Le total annoncé pour le deuxième trimestre et sa progression par rapport au premier trimestre sont étayés par les données fournies par Finbold. Certains montants détaillés par entreprise et certaines répartitions sectorielles proviennent toutefois de synthèses secondaires ou publiées par des utilisateurs. Ils doivent donc être considérés comme des éléments rapportés, et non comme un substitut à l’examen des décisions des autorités compétentes.

Le rythme quotidien du deuxième trimestre était donc plus de trois fois supérieur à celui du trimestre précédent. Il faut toutefois interpréter les totaux avec prudence : une ou deux décisions exceptionnellement élevées peuvent peser lourdement sur le résultat d’un trimestre. Ces chiffres ne constituent donc pas une estimation de l’amende moyenne encourue par chaque entreprise.

Les principales sanctions du trimestre

Pays-Bas : 100 millions d’euros pour l’affaire Yango

La plus importante sanction individuelle du trimestre concerne MLU B.V., l’entreprise néerlandaise derrière l’application de VTC Yango. L’autorité néerlandaise de protection des données lui a infligé une amende d’environ 100 millions d’euros et lui a ordonné de mettre fin à certains transferts de données personnelles vers la Russie lorsque les exigences du RGPD n’étaient pas respectées.

Le dossier portait sur des garanties jugées insuffisantes pour les transferts vers un pays tiers. Les informations concernées auraient notamment été celles d’utilisateurs de Yango en Finlande et en Norvège, ce qui confère à la décision une portée importante pour les groupes qui s’appuient sur des flux de données transfrontaliers ou sur des entités situées hors d’Europe.

La leçon opérationnelle est claire : la présence de documents contractuels ne suffit pas, à elle seule, à écarter le risque. L’entreprise doit aussi vérifier que le pays de destination, le destinataire et les mesures techniques et organisationnelles assurent effectivement un niveau de protection adéquat.

France : 42 millions d’euros pour Free Mobile et Free

En France, les autorités ont infligé un total de 42 millions d’euros aux opérateurs Free Mobile et Free. Cette somme comprend notamment une amende de 27 millions d’euros visant Free Mobile, ainsi qu’une sanction distincte contre Free. Des insuffisances en matière de sécurité figuraient parmi les griefs rapportés.

Les opérateurs télécoms concentrent d’importants volumes de données relatives aux abonnés et aux comptes clients. Toute faiblesse dans la protection de ces informations peut donc avoir des conséquences importantes. Les décisions françaises ont également contribué à faire de la France l’un des principaux pays à l’origine des sanctions du premier trimestre : avec le Royaume-Uni, elle représentait alors 94 % du total rapporté.

Italie : 31,8 millions d’euros contre Intesa Sanpaolo

En Italie, Intesa Sanpaolo a reçu une amende de 31,8 millions d’euros en raison de lacunes dans la protection des données bancaires de ses clients, selon le bilan des sanctions du deuxième trimestre.

Cette affaire illustre l’exposition particulière des établissements financiers, qui traitent des données sensibles liées à l’identité, aux transactions et aux comptes dans des environnements informatiques vastes et complexes.

Royaume-Uni : 14,47 millions de livres pour Reddit

L’Information Commissioner’s Office (ICO), l’autorité britannique chargée de la protection des données, a infligé à Reddit une amende de 14,47 millions de livres après avoir conclu que la plateforme utilisait illicitement les données personnelles d’enfants. Selon l’ICO, Reddit ne vérifiait pas correctement l’âge des personnes accédant au service et n’avait pas mis en place de mesures suffisamment robustes pour protéger les mineurs. Reddit a fait appel de la décision fixant l’amende.

Le dossier place la vérification de l’âge et la protection de la vie privée des enfants au cœur des obligations des plateformes en ligne. Ces dispositifs ne peuvent plus être considérés comme un simple complément à une politique générale de confidentialité : les autorités examinent aussi la manière dont les services identifient les utilisateurs mineurs et utilisent leurs données, même en l’absence de violation de données classique.

Quatre risques de conformité reviennent régulièrement

Les affaires du deuxième trimestre font ressortir plusieurs catégories de manquements :

• Des mesures techniques et organisationnelles de sécurité insuffisantes, notamment pour protéger les données des clients ou des abonnés.
• Un traitement sans base légale suffisante, par exemple lorsque le consentement est inadéquat ou qu’une autre base juridique n’est pas étayée.
• Des contrôles insuffisants concernant les mineurs, comme des mécanismes de vérification de l’âge inefficaces ou l’utilisation illicite de données d’enfants.
• Des garanties inadéquates pour les transferts internationaux, en particulier lorsque les données sont envoyées vers un pays n’offrant pas un niveau de protection adéquat.

Ces risques sont souvent liés entre eux. Une entreprise peut disposer d’une politique de confidentialité parfaitement rédigée et néanmoins être sanctionnée si ses contrôles réels, ses informations aux utilisateurs, ses mécanismes de consentement ou ses relations avec ses prestataires ne correspondent pas à cette politique.

Les secteurs de la finance et des médias particulièrement exposés

Le rapport de Finbold indique que les entreprises des secteurs des médias et de la finance représentaient six des dix plus lourdes amendes du deuxième trimestre. Avec les affaires touchant les télécoms et la technologie, cette tendance met en évidence l’exposition accrue des organisations qui associent une large base d’utilisateurs à des données personnelles détaillées, sensibles ou à forte valeur commerciale.

Cela ne signifie pas que les sanctions se limitent à quelques secteurs. Les entreprises qui traitent de grandes quantités de données de consommateurs sont simplement confrontées à davantage de points de défaillance possibles : sécurité, profilage, consentement, conservation, gestion des accès ou transferts internationaux.

Les priorités des entreprises opérant en Europe

Les tendances observées plaident pour une feuille de route concrète :

1. Relier chaque traitement à une base légale. Documenter les raisons pour lesquelles chaque catégorie de données est collectée et utilisée, et vérifier la validité du consentement lorsqu’il est requis.
2. Tester les mesures de sécurité en conditions réelles. Examiner la gestion des accès, l’authentification, le chiffrement, la réponse aux incidents et les contrôles appliqués aux prestataires, plutôt que de s’en remettre aux seules procédures écrites.
3. Mettre en place un véritable dispositif de protection des mineurs. Les services susceptibles d’être utilisés par des enfants doivent évaluer leurs méthodes de vérification de l’âge et appliquer des garanties adaptées à leurs données.
4. Réévaluer les transferts vers des pays tiers. Tenir à jour les analyses de risques, utiliser les garanties contractuelles et techniques appropriées et vérifier que le destinataire peut effectivement respecter ses obligations dans le pays de destination.
5. Faire remonter les traitements à haut risque au niveau de la direction. Les risques liés aux données personnelles doivent être intégrés au suivi des risques opérationnels, cyber et d’entreprise, en particulier dans les médias, la technologie, la finance et les télécoms.

Le principal enseignement du deuxième trimestre tient à l’ampleur du risque financier lorsqu’un contrôle majeur échoue. À elle seule, la décision de 100 millions d’euros liée à Yango représente près de la moitié du montant total des sanctions rapportées pour le trimestre. Le total doit néanmoins être lu avec discernement, car les agrégats de sanctions peuvent être dominés par quelques amendes record.

Le total annoncé pour le deuxième trimestre et sa progression par rapport au premier trimestre sont étayés par les données fournies par Finbold. Certains montants détaillés par entreprise et certaines répartitions sectorielles proviennent toutefois de synthèses secondaires ou publiées par des utilisateurs. Ils doivent donc être considérés comme des éléments rapportés, et non comme un substitut à l’examen des décisions des autorités compétentes.