Le jugement TikTok qui a redéfini la souveraineté des données
En mai 2025, la Commission irlandaise de protection des données a infligé une amende de 530 millions d'euros à TikTok pour avoir transféré des données d'utilisateurs de l'UE vers la Chine sans protections adéquates.
L'amende est désormais la deuxième plus grande pénalité individuelle GDPR jamais infligée, juste derrière l'amende de 1,2 milliard d'euros infligée à Meta en 2023, également émise par la DPC irlandaise, pour des transferts de données illégaux entre l'UE et les États-Unis vers les serveurs de Facebook aux États-Unis. Ensemble, ces deux affaires établissent un schéma clair d'application : les transferts de données transfrontaliers sans protections adéquates sont une priorité d'application, et la DPC imposera des amendes à une échelle qui force un changement de comportement.
Avec 5,65 milliards d'euros d'amendes cumulées GDPR jusqu'en 2025 (suivi de l'application GDPR.eu), l'application du GDPR n'est plus un risque de conformité en arrière-plan — c'est un coût commercial actif que les régulateurs imposent activement.
Ce que l'affaire TikTok a réellement statué
L'affaire TikTok ne portait pas principalement sur les pratiques de sécurité ou les violations de données. Elle concernait l'emplacement des données et la base légale des transferts internationaux de données.
Les opérations de TikTok dans l'UE stockaient et traitaient les données des utilisateurs de l'UE sur des serveurs accessibles par des employés en Chine. Les articles 44 à 46 du GDPR restreignent les transferts internationaux de données vers des pays sans décision d'adéquation de l'UE, sauf si des mécanismes juridiques spécifiques sont en place. La Chine n'a pas de décision d'adéquation de l'UE. L'argument de TikTok selon lequel elle avait mis en œuvre des mesures techniques adéquates n'a pas été accepté.
La leçon structurelle : "nos serveurs sont dans l'UE" n'est pas suffisant si les données peuvent être accessibles par du personnel en dehors de l'UE, ou si l'organisation est soumise aux lois d'un pays avec des pouvoirs d'accès étatiques qui sont en conflit avec le GDPR.
Cela est directement pertinent pour les organisations évaluant les fournisseurs SaaS. Un fournisseur qui dit "nous hébergeons dans l'UE" mais dont la société mère est basée aux États-Unis, ou dont le personnel de support a accès depuis l'extérieur de l'UE, pourrait faire face au même défi réglementaire que celui auquel TikTok a été confronté — et leurs clients aussi.
Le tableau cumulatif : 5,65 milliards d'euros d'amendes GDPR
| Action d'application | Amende | Année | Motifs |
|---|---|---|---|
| Meta (Facebook) — DPC | 1,2 milliard d'euros | 2023 | Transferts illégaux UE-US |
| TikTok — DPC | 530 millions d'euros | 2025 | Transferts UE-Chine |
| Amazon — CNPD Luxembourg | 746 millions d'euros | 2021 | Ciblage publicitaire |
| WhatsApp — DPC | 225 millions d'euros | 2021 | Échecs de transparence |
| Google — CNIL France | 150 millions d'euros | 2022 | Consentement aux cookies |
Le total cumulé de 5,65 milliards d'euros jusqu'en 2025 reflète une maturation de l'application du GDPR : les régulateurs sont passés de l'établissement de précédents à une application systématique à travers les catégories de violation. Les violations de transferts de données sont désormais la catégorie d'amende la plus élevée, reflétant les priorités réglementaires.
Le problème de la santé en Allemagne
Les articles 44 à 46 du GDPR s'appliquent également à tous les secteurs, mais certains secteurs font face à des exigences souveraines supplémentaires au-delà du GDPR.
Santé allemande : Le Code social livre V (SGB V) restreint le traitement des données de santé aux systèmes contrôlés par l'Allemagne. Un assureur santé allemand utilisant un outil d'anonymisation dans le cloud hébergé à Dublin — qui est techniquement dans l'UE — peut toujours ne pas être conforme au SGB V si l'opérateur de l'outil est une entité non allemande avec des conflits potentiels avec la loi allemande.
Banque suisse : La loi sur le secret bancaire suisse (article 47 de la loi bancaire) interdit la divulgation d'informations sur les clients à des parties non autorisées, y compris les fournisseurs de services cloud non couverts par un consentement explicite du client. Les données des clients d'une banque privée suisse traitées via un outil cloud — même hébergé dans l'UE — peuvent déclencher des obligations de secret bancaire.
Secteur public allemand : Les directives du BfDI (Commission fédérale de protection des données) restreignent les données des agences gouvernementales à l'infrastructure contrôlée par le gouvernement. Un outil d'anonymisation hébergé sur les serveurs d'un fournisseur cloud commercial dans l'UE ne satisfait pas cette exigence.
Ces cas illustrent que la conformité au GDPR est le plancher, pas le plafond. Pour les industries réglementées et les organisations du secteur public, les exigences souveraines en matière de données imposent souvent des restrictions supplémentaires qui vont au-delà de l'emplacement d'hébergement.
Le paysage des décisions d'adéquation
Le cadre de transfert international du GDPR dépend de la Commission européenne émettant des "décisions d'adéquation" pour les pays jugés fournir une protection des données équivalente. Le paysage actuel des décisions d'adéquation :
Pays avec décisions d'adéquation : Andorre, Argentine, Canada (organisations commerciales), Îles Féroé, Guernesey, Israël, Île de Man, Japon, Jersey, Nouvelle-Zélande, Corée du Sud, Suisse, Royaume-Uni, Uruguay, États-Unis (Cadre de protection des données — rétabli après l'invalidation de Schrems II)
Pays sans adéquation : Chine, Inde, Russie, Brésil, la plupart de l'APAC, la plupart du MENA, la plupart de l'Afrique
Le Cadre de protection des données (UE-US) a été rétabli après des négociations politiques, mais il reste contesté sur le plan juridique. Les défenseurs de la vie privée ont déjà signalé des défis juridiques basés sur des arguments de la loi sur la surveillance américaine qui ont invalidé ses prédécesseurs (Safe Harbor dans Schrems I, Privacy Shield dans Schrems II).
Les organisations s'appuyant sur le Cadre de protection des données UE-US comme base légale pour le traitement des données hébergées aux États-Unis devraient avoir des plans de contingence pour une nouvelle invalidation.
Comment les exigences de souveraineté des données se traduisent par le choix des outils
Le tableau cumulatif de TikTok, Meta et le cadre réglementaire sous-jacent crée une hiérarchie d'assurance de conformité pour le choix des outils SaaS :
Niveau 1 — Hébergement dans l'UE : Les données sont traitées et stockées sur des serveurs physiquement situés dans l'UE. Cela satisfait l'exigence de base du GDPR pour les données qui ne nécessitent pas de protection au niveau souverain.
Niveau 2 — Opérateur basé dans l'UE : L'entité contrôlante du fournisseur est basée dans l'UE et n'est pas soumise aux lois d'un pays non adéquat. Cela répond au problème de TikTok où l'hébergement dans l'UE était associé à une exposition aux lois chinoises pour l'entité mère.
Niveau 3 — Architecture à connaissance nulle : Même si le fournisseur est piraté, contraint par les forces de l'ordre, ou obligé de produire des données par un gouvernement étranger, il ne peut pas accéder aux données en clair car les clés de cryptage sont détenues exclusivement par le client. Cela répond au scénario où même un fournisseur entièrement conforme au GDPR reçoit une demande légale.
Niveau 4 — Traitement local : Les données ne quittent jamais l'infrastructure propre de l'organisation. Le traitement se fait sur du matériel local ou des systèmes contrôlés par le gouvernement. C'est la seule approche qui satisfait pleinement le SGB V allemand, le secret bancaire suisse, les exigences du secteur public BfDI, et des mandats de données souveraines similaires.
La conséquence pratique pour les DPIA GDPR
Les évaluations d'impact sur la protection des données (DPIA) requises en vertu de l'article 35 du GDPR pour les traitements à haut risque doivent inclure une évaluation de l'impact des transferts lorsque les données sont partagées avec des processeurs de pays tiers. Suite au jugement TikTok, les DPIA pour les outils d'anonymisation basés sur le cloud doivent explicitement aborder :
-
Juridiction de la société mère : La société mère du fournisseur est-elle soumise à des lois (CLOUD Act, loi sur la cybersécurité chinoise, etc.) qui pourraient exiger la production de données clients de l'UE ?
-
Accès du personnel de support : Le personnel de support ou d'ingénierie dans des pays non adéquats a-t-il accès aux données clients de l'UE dans le cadre des opérations normales ?
-
Base légale pour les transferts : Quel mécanisme spécifique de l'article 46 du GDPR s'applique à tout flux de données vers des pays non adéquats (SCC, BCR, dérogations) ?
-
Analyse de l'impact des violations : Si le fournisseur est piraté ou contraint de produire des données, quelles données clients de l'UE seraient exposées ?
Pour les organisations utilisant des outils d'anonymisation basés sur le cloud, ces questions ont des réponses concrètes qui doivent être documentées. Le jugement TikTok a démontré que "nous avons des contrats en place" n'est pas suffisant si ces contrats n'ont pas été correctement évalués pour leur adéquation.
Ce que cela signifie pour les achats de 2026
Suite au jugement TikTok, les DPO examinant les fournisseurs SaaS pour des outils de traitement des données posent des questions plus spécifiques qu'auparavant :
- Où sont les serveurs ? (UE ?)
- Où la société mère est-elle incorporée ? (UE ? États-Unis ? Autre ?)
- Des employés non-UE ont-ils accès aux données clients de l'UE ?
- Quelle loi s'applique aux demandes de données des forces de l'ordre ?
- Y a-t-il une architecture à connaissance nulle, ou le fournisseur détient-il les clés de cryptage ?
- Existe-t-il une option de traitement local ?
Les réponses à ces questions — et non la présence de signatures de DPA — déterminent la conformité réelle à la souveraineté des données dans l'environnement réglementaire post-TikTok.
La plateforme web d'anonym.legal utilise des centres de données Hetzner basés dans l'UE avec une architecture à connaissance nulle — le serveur ne reçoit jamais de données clients non cryptées, et un compromis complet du serveur ne produit que du texte chiffré AES-256-GCM. Pour les organisations nécessitant un traitement uniquement local, l'application de bureau traite toutes les données sur l'appareil sans communication réseau externe.
Sources :