Pourquoi l'Irlande domine l'application du RGPD
La Commission irlandaise de protection des données (DPC) est l'autorité chef de file pour la plupart des grandes entreprises technologiques de l'UE. Ce n'est pas un hasard.
Le faible taux d'imposition irlandais a attiré Apple, Google, Meta, LinkedIn et TikTok. Toutes ont établi leur siège principal européen là-bas.
L'article 60 du RGPD fait de la DPC l'autorité chef de file pour ces entreprises. Trois conséquences en découlent.
Premièrement, une plainte en Allemagne contre Facebook va à la DPC irlandaise, pas au BfDI allemand. Deuxièmement, la DPC coopère avec d'autres autorités européennes sur les affaires transfrontalières. Troisièmement, une décision de la DPC contre Meta s'applique dans toute l'UE.
Le résultat est clair. La DPC a infligé plus d'amendes que toutes les autres autorités européennes réunies. Consultez notre aperçu conformité RGPD sur l'impact des schémas d'application sur le choix des fournisseurs.
Trois amendes qui définissent 2024–2025
€530M contre TikTok (mai 2025) : Des ingénieurs chinois ont accédé aux données des utilisateurs européens. Cela a violé les articles 44 à 46 du RGPD. Ces règles restreignent les transferts vers des pays sans décision d'adéquation européenne. La Chine n'en a pas. TikTok affirmait avoir des contrôles adéquats. La DPC n'était pas d'accord.
€310M contre LinkedIn (octobre 2024) : LinkedIn s'est appuyé sur l'« intérêt légitime » pour l'analyse comportementale. La DPC a jugé cela invalide. Le traitement n'était pas nécessaire pour l'objectif déclaré. Le test de mise en balance n'a pas favorisé LinkedIn.
€251M contre Meta (novembre 2024) : La violation Facebook de 2018 n'a pas été signalée à la DPC dans les délais. La DPC a aussi constaté que de mauvais journaux d'audit rendaient impossible la mesure de ce qui avait été exposé.
Ces trois affaires s'ajoutent à l'amende antérieure de €1,2 milliard contre Meta en mai 2023. Cette amende venait aussi de la DPC, pour des transferts illégaux UE-États-Unis. Elle reste la plus grande pénalité RGPD jamais imposée.
La DPC a traité plus de 8 500 affaires transfrontalières en 2024. Consultez notre page sécurité et conformité pour voir comment la conception zéro connaissance répond à chaque échec.
Ce que révèle chaque amende
Échecs d'accès transfrontalier
Les trois amendes partagent un problème central. Des données personnelles étaient accessibles à des employés dans des pays sans règles de protection européennes.
L'amende de TikTok était directe. Des fichiers d'utilisateurs européens ont atteint des ingénieurs chinois malgré les contrôles déclarés.
Ce que cela signifie pour le choix des fournisseurs : Demandez si des ingénieurs non européens peuvent accéder aux données hébergées dans l'UE. Un fournisseur peut héberger à Dublin mais exposer des fichiers européens via un support américain. La résidence dans l'UE seule ne suffit pas. Notre guide de traitement des entités montre comment les contrôles d'accès s'appliquent à l'article 46 du RGPD.
Échecs de base juridique
L'amende de LinkedIn ne concernait pas une violation. Elle concernait la façon dont LinkedIn justifiait son traitement.
L'« intérêt légitime » n'est pas un droit général. Les responsables doivent documenter un véritable test de mise en balance. Ce test doit montrer que leur intérêt l'emporte sur les droits des utilisateurs. Notre page conformité explique comment vérifier les bases juridiques des fournisseurs.
Échecs de journalisation et de notification
L'amende de €251M contre Meta a révélé un point clé. De mauvais journaux d'audit rendaient impossible la mesure de l'étendue de la violation.
L'article 33 du RGPD exige une notification de violation à l'autorité dans les 72 heures. Cette notification doit inclure la portée des données concernées. Vous ne pouvez pas signaler ce que vous ne pouvez pas mesurer.
Demandez aux fournisseurs potentiels leur structure de journalisation. Si un fournisseur ne peut pas répondre « quelles données ont été exposées ? » après un incident, il échoue à l'article 33(3)(b).
Le schéma dans les affaires DPC
En examinant les quatre grandes amendes DPC, un schéma apparaît. Les régulateurs sanctionnent les architectures où les ingénieurs des fournisseurs peuvent voir le contenu des utilisateurs. Chaque grande amende impliquait un accès mal contrôlé aux données personnelles.
La conception zéro connaissance répond à la préoccupation centrale dans chaque cas. Le contenu des utilisateurs est chiffré. Le fournisseur ne détient pas les clés de déchiffrement.
Pour les cas de transfert TikTok et Meta, les ingénieurs non européens atteignent le serveur mais ne voient que du texte chiffré. Aucune donnée lisible n'est exposée. Pour la violation Meta, un compromis total du serveur ne donne rien d'utile. La portée de la violation diminue. Pour LinkedIn, un fournisseur qui ne voit jamais le texte clair ne peut pas effectuer d'analyse comportementale.
C'est la réponse directe à chaque action de la DPC. Consultez notre aperçu sécurité pour les détails, ou notre déclaration du fondateur sur la raison pour laquelle anonym.legal a été construit ainsi dès le départ.
Ce que signifie « établissement principal »
Certaines entreprises structurent leur présence européenne pour contrôler quelle autorité est compétente. L'interprétation de la DPC compte ici.
L'« établissement principal » n'est pas seulement une adresse. C'est là où se trouve l'administration centrale européenne. Pour les responsables, c'est là où les décisions sur les objectifs de traitement sont prises.
Une entreprise dont l'équipe de protection des données est basée à Londres peut n'avoir aucun établissement principal dans l'UE. Chaque autorité nationale pourrait alors revendiquer la compétence pour les plaintes locales.
Questions d'évaluation des fournisseurs
Utilisez ces questions pour évaluer les fournisseurs SaaS qui traitent des données personnelles.
Compétence et accès :
- Où est l'établissement principal européen du fournisseur ?
- Des employés non européens peuvent-ils accéder aux données dans le cadre normal du travail ?
- La société mère du fournisseur est-elle soumise au CLOUD Act ou aux lois chinoises sur la sécurité ?
Conception technique :
- Le contenu des utilisateurs européens reste-t-il sur des serveurs hébergés dans l'UE ?
- Le fournisseur détient-il les clés de chiffrement, ou le client ?
- Les journaux d'audit sont-ils assez détaillés pour mesurer la portée d'une violation ?
Documentation des transferts :
- Quel mécanisme de l'article 46 du RGPD couvre les flux UE-États-Unis ?
- Le fournisseur a-t-il réalisé une évaluation d'impact sur les transferts ?
- Quelles mesures techniques supplémentaires sont en place ?
L'application de la DPC est cohérente sur un point. Même des entreprises avec des équipes de protection des données et des DPO reçoivent de lourdes amendes quand leur conception technique ne correspond pas à leurs déclarations. Consultez nos études de cas et notre FAQ pour en savoir plus.
anonym.legal utilise des serveurs Hetzner basés dans l'UE avec une conception zéro connaissance. Les serveurs ne contiennent que du texte chiffré AES-256-GCM. Une violation totale n'expose aucune donnée lisible. L'application de bureau traite tout le contenu localement sans connexions externes.
Sources
- DPC irlandaise — Décisions d'application officielles — VERIFIED-EXTERNAL
- EDPB — Mécanisme de guichet unique — VERIFIED-EXTERNAL
- Texte du RGPD — Articles 33, 44–46, 60 — VERIFIED