L'autorité irlandaise sanctionne l'éditeur de Tinder pour avoir mis à disposition un outil de téléchargement des données qui, bien que présenté comme un moyen d'exercer le droit d'accès, ne fournissait qu'une copie incomplète des données personnelles sans en informer les utilisateurs.

Faits et contexte

L'autorité irlandaise de protection des données (DPC) a aujourd'hui publié une décision de sanction à l'encontre de MTCH Technology Services Limited, comprenant le prononcé d'une amende de 11 000 000 €, pour des manquements en lien avec les demandes d'accès aux données personnelles des utilisateurs de son service Tinder.

L'affaire trouve son origine dans une enquête d'office lancée par la DPC en janvier 2020, en sa qualité d'autorité de contrôle chef de file, concernant l'incapacité de l'entreprise à fournir une copie complète des données personnelles aux utilisateurs qui en faisaient la demande.

Motifs de la décision

L'autorité a retenu le manquement suivant :

• Obligation de fournir une copie des données personnelles (article 15, paragraphe 3, du RGPD) : L'enquête de la DPC a porté sur le fonctionnement d'un outil en libre-service, dénommé « Télécharger mes données », présenté aux utilisateurs comme un moyen d'obtenir une copie de leurs données. L'autorité a constaté que cet outil ne permettait pas de télécharger l'intégralité des données personnelles traitées. En effet, certaines catégories d'informations étaient omises sans que l'utilisateur en soit informé, tandis que d'autres n'étaient fournies que sous une forme résumée. La DPC a donc conclu que les données fournies par cet outil ne satisfaisaient pas aux exigences du droit d'accès.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 11 000 000 € à MTCH Technology Services Limited. Cette sanction est assortie d'un blâme.

En outre, l'autorité a ordonné à l'entreprise de mettre ses traitements en conformité dans un délai de trois mois.

Enseignements

Cette décision rappelle que :

• Les outils automatisés de droit d'accès, bien qu'utiles, doivent être transparents et informer clairement les utilisateurs sur le périmètre exact des données fournies, notamment si la copie n'est pas exhaustive.
• Fournir une copie de données via un outil en libre-service tout en omettant certaines catégories d'informations sans préavis, ou en ne les communiquant que sous forme de résumé, constitue un manquement au droit d'accès.