« Qui ne dit mot consent » : l’Europe pourrait bientôt laisser les IA se nourrir de vos données personnelles sans vous demander votre avis. L’association noyb parle d’« expropriation numérique ».
Sur 2 050 souvenirs enregistrés par ChatGPT chez 65 utilisateurs, 96 % ont été créés par le chatbot sans la moindre demande, d'après une étude présentée à l'ACM Web Conference 2026. Plus de la moitié décrivent la psychologie de la personne.
Qui est le plus mauvais élève d’Europe dans le domaine du respect du RGPD ? Une étude publiée par Surfshark permet de se faire une idée…
L’éditeur de solutions de cybersécurité a recensé les sanctions prononcées depuis 2020 contre dix des plateformes les plus utilisées au monde. A noter que les sanctions inférieures à 200 000 € n’ont pas été comptabilisées.*
En Europe, le total atteint 5,16 milliards $ d’amendes, soit environ un cinquième des plus de 26 milliards recensés à l’échelle mondiale, qui incluent aussi les États-Unis, l’Australie et la Corée du Sud.
L’Irlande, à part
L’Irlande totalise 4,87 milliards $, soit 94 % du montant européen. Une situation qui s’explique par le rôle spécifique de la Data Protection Commission ( DPC). Comme de nombreuses entreprises (Alphabet, Meta, etc.) ont leur siège européen en Irlande, elle agit souvent comme chef de file pour mener les enquêtes et appliquer les sanctions paneuropéennes.
Autrement dit, l’écart tient autant à l’organisation du contrôle qu’à l’ampleur des manquements.
Derrière, la France affiche 245 millions $ de sanctions recensées. Elle devance le Royaume-Uni (36 millions), l’Espagne (11,6 millions) et les Pays-Bas (870 000 dollars).
L’étude, qui couvre les pays soumis au RGPD ou à un cadre national équivalent, ne précise ni les plateformes visées ni les motifs des sanctions françaises.
Les transferts hors de l’Union, première source de sanctions
Les deux plus lourdes sanctions européennes visent des transferts internationaux de données.
Facebook a écopé de 1,39 milliard $ pour avoir transféré des données d’utilisateurs européens vers les États-Unis. TikTok a été sanctionné à hauteur de 615 millions pour des transferts vers la Chine. Ensemble, ces deux dossiers représentent environ 2 milliards $, soit près de 40 % du total européen.
Les autres sanctions se répartissent comme suit :
Traitement des données : 1,22 milliard $, dont 401 millions pour TikTok, 360 millions pour LinkedIn, 244 millions pour Facebook, 209 millions pour Instagram et 11,6 millions pour YouTube.
Violations de données : 1,09 milliard, dont 618 millions pour Facebook, 470 millions pour Instagram et 522 000 dollars pour X.
Sécurité insuffisante : 594 millions, dont 452 millions pour Facebook, 106 millions pour Instagram, 19,3 millions pour Reddit et 16,8 millions pour TikTok.
Consentement aux cookies : 243,6 millions, dont 174 millions pour YouTube et 69,6 millions pour Facebook.
Conservation des données : 928 000 dollars pour Discord, soit la plus modeste des catégories.
Facebook figure dans presque toutes les catégories et LinkedIn n’apparaît que sur le traitement des données.
*Méthodologie Seules les sanctions d’au moins 200 000 € ont été retenues pour l’Europe, converties en dollars au taux de 1 dollar pour 0,87 euro. Les données viennent du GDPR Enforcement Tracker, de Violation Tracker, de Violation Tracker Global et de l’outil d’Osano, complétés par des annonces de régulateurs, des décisions de justice et la presse.
C’est une méthode bien connue des équipes commerciales et des professionnels du marketing. Vous connaissez le nom d’un décideur, son prénom ainsi que l’entreprise dans laquelle il travaille. En observant la syntaxe habituelle des courriels de cette société, par exemple prenom.nom@entreprise.fr , il devient un jeu d’enfant de déduire son adresse directe, même si celle-ci n’a jamais été publiée explicitement sur Internet.
Pourtant, comme le souligne la CNIL (Commission Nationale de l’Informatique et des Libertés), le fait qu’une information soit accessible en ligne ne signifie pas qu’elle soit librement exploitable. Reconstituer une adresse électronique professionnelle constitue un traitement de données personnelles à part entière, soumis à des règles strictes.
Entre intérêt légitime et respect de la vie privée
Pour justifier cette pratique sans avoir à demander un accord préalable, les organismes s’appuient généralement sur la notion d’« intérêt légitime » prévue par le RGPD. Mais la CNIL avertit que ce fondement juridique n’est pas un chèque en blanc. L’entreprise doit impérativement prouver que son besoin de contact est réel et qu’il ne porte pas une atteinte excessive aux droits de l’interlocuteur.
Toute la question repose sur ce que le professionnel peut « raisonnablement s’attendre » à recevoir. Une personne très active sur les réseaux professionnels ou dont les fonctions impliquent d’être jointe facilement sera davantage exposée.
À l’inverse, si un collaborateur n’a aucune présence identifiable sur le Web ou s’il a configuré des paramètres stricts pour masquer ses coordonnées ou privilégier un formulaire de contact ; la CNIL estime qu’il exprime une volonté claire de protection. Dans ce cas de figure, reconstituer et utiliser son adresse mail devient illégal, à moins d’avoir obtenu son consentement explicite.
Pour les administrations et organismes publics, le cadre est légèrement différent. La reconstitution peut s’inscrire dans leur mission d’intérêt public mais les exigences de protection restent identiques.
Des garanties indispensables et un droit de retrait immédiat
Pour éviter les abus, la NIL préconise aux professionnels de mettre en place des garde-fous rigoureux. Par exemple, si une adresse mail est reconstituée mais qu’aucun contact effectif n’est établi dans un délai raisonnable, la donnée ne devrait pas être conservée.
Par ailleurs, la transparence demeure une obligation centrale. Dès le tout premier message envoyé, l’expéditeur doit indiquer clairement au destinataire la finalité de sa démarche, la manière dont son adresse a été obtenue, ainsi que les modalités pour s’y opposer.
Si le professionnel sollicité exprime son désaccord ou demande à ne plus être contacté, l’organisme a l’obligation de retirer immédiatement son adresse de ses fichiers de prospection, sans lui réclamer la moindre justification.
En cas de silence de l’expéditeur pendant plus d’un mois ou de réponse insatisfaisante, le destinataire conserve le droit de saisir directement la CNIL d’une réclamation.
Connexion
Journal du Geek
Frandroid
