Tik Tok amendé de 530 millions d’euros : l’UE s’impose face aux transferts de données illégaux

Le 2 mai 2025, la Data Protection Commission (DPC) d’Irlande a infligé une amende de 530 millions d’euros à TikTok. Cette décision s’inscrit dans le cadre d’une enquête menée depuis plusieurs années sur les conditions de transfert des données personnelles des utilisateurs européens vers des pays tiers, en particulier la Chine. Selon la DPC, l’entreprise n’aurait pas mis en place les mesures requises pour se conformer aux exigences du Règlement général sur la protection des données (RGPD), notamment en matière de sécurisation et de supervision des accès.

TikTok, filiale du groupe chinois ByteDance, a annoncé son intention de faire appel de cette décision. L’entreprise considère que la sanction repose sur des faits antérieurs à 2023, année de lancement du projet Clover, son programme de protection des données dédié à la zone européenne.

Le cadre juridique européen au cœur de la décision

L’amende infligée à TikTok est liée à une possible exposition des données personnelles des utilisateurs de l’Union européenne à un accès non encadré depuis la Chine. Selon la DPC, les mesures déployées par TikTok ne garantissaient pas un niveau de protection équivalent à celui prévu par la réglementation européenne, en particulier dans le cadre d’un transfert hors de l’Espace économique européen.

Dans son communiqué, le commissaire adjoint de la DPC, Graham Doyle, a rappelé que « le RGPD exige que le haut niveau de protection garanti au sein de l’Union européenne se poursuive même lorsque les données personnelles sont transférées dans un autre pays ». L’autorité irlandaise souligne également avoir constaté que certaines données avaient été stockées en Chine au mois de février 2025, malgré les assurances antérieures de la plateforme selon lesquelles aucun hébergement n’y était effectué.

La DPC indique que cet épisode, bien que circonscrit, a contribué à motiver sa décision, tout comme l'absence de garanties jugées suffisantes face à des législations nationales potentiellement incompatibles avec le RGPD.

Les arguments avancés par TikTok et les mesures correctives évoquées

TikTok a contesté les conclusions du régulateur et défend sa conformité actuelle avec le droit européen. L’entreprise met en avant le projet Clover, lancé en 2023, comme preuve de sa volonté de renforcer la sécurité des données. Ce programme comprend la construction de centres de données en Europe, le contrôle des flux d’accès transfrontaliers, ainsi qu’un partenariat avec le groupe de cybersécurité britannique NCC pour auditer ces processus.

TikTok précise que l’incident de février 2025, au cours duquel des données européennes ont été temporairement stockées en Chine, a été détecté via ces nouveaux mécanismes, et affirme que les données concernées ont été supprimées. Dans un communiqué, l’entreprise estime que « cette décision risque de créer un précédent aux conséquences considérables pour des entreprises et des secteurs entiers en Europe qui opèrent à l’échelle mondiale ».

Le réseau social rappelle également qu’il n’a reçu aucune demande de transmission de données de la part des autorités chinoises, et qu’il ne leur a jamais fourni d’informations sur ses utilisateurs européens.

Des implications juridiques et politiques au-delà du cas TikTok

La réaction du gouvernement chinois n’a pas tardé. Le ministère des Affaires étrangères a formellement nié tout usage abusif des lois nationales en matière de données, affirmant que « la Chine n’a jamais exigé et n’exigera jamais des entreprises ou des particuliers qu’ils collectent ou stockent des données par des moyens illégaux ». Pour Pékin, la décision européenne constitue un signal négatif susceptible d’affecter les relations commerciales dans le secteur numérique.

Sur le plan européen, cette sanction s’inscrit dans un contexte plus large de renforcement de la régulation des grandes plateformes technologiques. Après Meta (1,2 milliard d’euros en 2023) et Amazon (746 millions en 2021), TikTok devient le troisième acteur à faire l’objet d’une amende de cette ampleur. Le RGPD, entré en vigueur en 2018, continue ainsi d’être mobilisé pour encadrer les transferts internationaux de données et affirmer l’autonomie du cadre juridique européen.

Le réseau social, qui revendique environ 175 millions d’utilisateurs dans l’Union européenne, est également visé par d’autres procédures, notamment liées à la protection des mineurs. En 2023, la DPC avait déjà condamné TikTok à une amende de 345 millions d’euros pour des pratiques jugées non conformes concernant les comptes des utilisateurs adolescents.

TikTok dispose d’un délai de six mois pour se mettre en conformité, sous peine de suspension de ses transferts de données vers la Chine. Le recours annoncé pourrait toutefois retarder la mise en œuvre effective de certaines mesures, en fonction du traitement du dossier par les juridictions compétentes.