L’ Agence espagnole de protection des données (AEPD) a de nouveau exprimé ses inquiétudes concernant le réseau social de vidéos courtes TikTok : la plateforme continue d’envoyer des données personnelles d’utilisateurs européens vers des pays tiers , dont la Chine, malgré le fait que les autorités de régulation de l’UE aient déjà conclu que ces pratiques contreviennent au Règlement général sur la protection des données (RGPD).
Cette situation place des millions d'utilisateurs en Espagne et dans le reste de l'Europe dans une position délicate : leurs données continuent de quitter l'Espace économique européen tandis que la bataille juridique entre TikTok et les autorités de protection des données se déroule devant les tribunaux irlandais. Le service fonctionne normalement, mais son modèle de traitement des données fait l'objet d'un examen de plus en plus minutieux.
Une amende record de 530 millions et une enquête en cours
Le conflit a débuté par une enquête coordonnée par les autorités européennes de protection des données, sous l'égide de la Commission irlandaise de protection des données (DPC) , qui fait office de principal autorité de régulation de TikTok en Europe, le siège européen de l'entreprise étant situé à Dublin. Après des années d'analyse des flux internationaux de données, les autorités ont conclu que les transferts vers des pays tiers n'étaient pas conformes au RGPD.
En conséquence, en avril 2025, la CNIL a infligé à la plateforme une amende de 530 millions d'euros et lui a ordonné de mettre en œuvre une série de mesures correctives. Celles-ci incluaient l'obligation de suspendre les transferts de données d'utilisateurs européens vers la Chine et d'autres territoires situés hors de l'Espace économique européen si TikTok ne garantissait pas un niveau de protection comparable à celui de l'Europe dans un délai imparti.
L’Agence espagnole de protection des données (AEPD), qui a activement participé à ce processus par l’intermédiaire du Comité européen de la protection des données, souligne que la décision irlandaise n’était pas isolée, mais bien le fruit d’une analyse conjointe . Les autorités de régulation ont convenu que les garanties offertes par l’entreprise ne permettaient pas d’atténuer suffisamment les risques liés à la législation de pays comme la Chine.
La résolution mettait principalement en lumière l'accès à distance, depuis la Chine, aux données des utilisateurs au sein de l'Espace économique européen pendant plusieurs années, sans cadre de garanties jugé suffisant par les autorités de régulation européennes. Cet accès potentiel par des employés situés hors de l'UE est au cœur du conflit avec le RGPD.
Le recours devant les tribunaux irlandais et la suspension temporaire du blocus
Loin de se contenter de se conformer à la décision de la DPC, TikTok a décidé de faire appel de la sanction et des mesures imposées devant les tribunaux irlandais. L'entreprise affirme avoir utilisé les mécanismes juridiques de l'UE pour permettre un accès à distance limité et contrôlé aux données, et que son système offre des garanties suffisantes.
En novembre 2025, le tribunal irlandais compétent a suspendu provisoirement l'ordonnance de blocage des transferts de données, dans l'attente de la décision de justice. Concrètement, cela signifie que, malgré le maintien de l'évaluation des autorités de surveillance, TikTok peut continuer à envoyer des données vers des pays tiers , dont la Chine, jusqu'à ce qu'une décision définitive soit rendue.
Cette suspension préventive n'invalide ni la résolution de la DPC ni la position des autres autorités de régulation, mais elle suspend certaines des mesures les plus strictes, telles que le blocage des transferts de données. L'Agence espagnole de protection des données (AEPD) souligne que la légalité de ces flux de données reste soumise à un contrôle juridictionnel et que la décision irlandaise demeure pleinement valable dans ses conclusions.
En contrepartie, la levée temporaire de l'interdiction est conditionnée au respect par l'entreprise d'obligations de transparence supplémentaires . En réponse à cette exigence, TikTok a commencé à afficher des notifications spécifiques dans l'application à destination des utilisateurs européens, expliquant qu'une enquête est en cours et que les transferts de données vers la Chine peuvent se poursuivre pendant le traitement de l'appel.
En Espagne et dans le reste de l'Espace économique européen, de nombreux internautes ont déjà vu apparaître un message intitulé, par exemple, « Transfert de données d'utilisateurs de l'EEE vers la Chine via un accès à distance », récapitulant l' amende de 530 millions d'euros, la suspension du service et le recours devant la juridiction irlandaise . La plateforme a confirmé que ces notifications s'inscrivent dans le cadre de sa démarche de transparence.
Quelles données peuvent quitter l'Europe et pourquoi cela inquiète-t-il les autorités de régulation ?
Le cœur du problème réside non seulement dans l'existence d'un accès à distance depuis la Chine ou d'autres pays, mais aussi dans le cadre juridique auquel les données sont soumises une fois qu'elles quittent l'environnement européen . Le RGPD exige que, lorsque des données personnelles sont transférées vers des pays tiers, ces derniers offrent un niveau de protection essentiellement équivalent à celui de l'Europe ou mettent en place des garanties robustes au moyen de clauses et de mécanismes spécifiques.
Dans le cas de la Chine, les autorités européennes de protection des données soulignent que les lois relatives à la sécurité nationale, à la lutte contre le terrorisme et au contre-espionnage leur permettent d'exiger l'accès aux informations gérées par les entreprises technologiques si elles le jugent nécessaire. Cette prérogative légale, de l'avis des régulateurs, entre directement en conflit avec le cadre européen et compromet la garantie de la confidentialité des données des citoyens de l'Union européenne.
Au cours de l'enquête, TikTok a maintenu ne pas stocker systématiquement les données des utilisateurs de l'Espace économique européen sur des serveurs physiques situés en Chine. Cependant, au fil de l'enquête, l'entreprise a dû reconnaître que certaines données avaient transité par des systèmes chinois en raison d'erreurs internes ou d'incidents isolés, ce qui a renforcé les inquiétudes des autorités de régulation.
Les autorités européennes affirment n'avoir fourni aucune preuve publique que le gouvernement chinois ait effectivement accédé aux données des utilisateurs de TikTok en Europe. Elles soulignent toutefois que le risque dépend non seulement des accès déjà constatés, mais aussi du cadre juridique qui permettrait un tel accès sans contrôles comparables à ceux exigés par le RGPD.
Pour l'utilisateur lambda, ce cadre juridique se traduit plus simplement par ceci : si vous utilisez TikTok en Europe, certaines de vos données peuvent être accessibles depuis la Chine et d'autres pays hors de l'EEE tant que l'injonction contre l'interdiction est en vigueur et que la procédure judiciaire est en cours. Il s'agit notamment d'informations techniques, de données sur l'utilisation de l'application et, selon les autorisations accordées, de données potentiellement sensibles.
La réponse de l'Agence espagnole de protection des données (AEPD) et des autres autorités européennes
Face aux inquiétudes suscitées par les avertissements intégrés à l'application, l'Agence espagnole de protection des données (AEPD) a publié plusieurs communiqués réaffirmant que l'appréciation juridique des autorités européennes demeure inchangée . Selon elle, TikTok continue de transférer les données personnelles des utilisateurs européens vers des pays tiers, dont la Chine, dans des conditions non conformes au RGPD.
L'agence espagnole souligne que les mesures correctives approuvées par la DPC, bien que suspendues temporairement par décision de justice, restent fondées sur une enquête et une analyse conjointes du Comité européen de la protection des données. Autrement dit, le bien-fondé de la sanction et des restrictions proposées demeure valable aux yeux des autorités de régulation.
Par ailleurs, l’Agence espagnole de protection des données (AEPD) souligne que TikTok a désigné l’Irlande comme son principal établissement en Europe , faisant de la Commission irlandaise de protection des données (DPC) l’autorité de contrôle principale, toujours en coordination avec ses homologues nationaux. L’agence espagnole participe aux mécanismes de coopération et de cohérence mis en place par le RGPD et confirme suivre de près l’évolution de cette affaire relevant de sa compétence.
L'une des principales préoccupations de l'Agence espagnole de protection des données (AEPD) concerne l'impact de ces pratiques sur les jeunes utilisateurs, qui représentent une part importante du public de TikTok . L'autorité de régulation estime essentiel que les enfants et les adolescents reçoivent des informations claires et compréhensibles sur l'utilisation de leurs données, dans un langage adapté à leur âge et sans jargon technique inutile.
Parallèlement, l'agence espagnole a tenu à adresser un message clair : si la suspension de certaines mesures est temporaire, le risque, lui, persiste . Elle estime donc essentiel que les citoyens européens ne se contentent pas d'attendre la décision de justice, mais prennent des mesures concrètes pour mieux protéger leur vie privée.
Le discours de TikTok : projets de sécurité et promesses de conformité
Alors que les autorités de régulation soulignent les lacunes, TikTok a choisi de renforcer son message public concernant la protection de la vie privée. L'entreprise affirme prendre très au sérieux la protection des données des utilisateurs européens et avoir réalisé d'importants investissements ces dernières années dans ses infrastructures et ses systèmes de contrôle.
Parmi ces initiatives, son célèbre projet Clover se distingue , un plan qui, selon l'entreprise, mobilise des milliards d'euros pour localiser et sécuriser les données des utilisateurs de l'Espace économique européen dans des centres de données situés en Irlande, en Norvège, dans d'autres pays européens et dans certains centres externes comme le Brésil ou les États-Unis, sous des systèmes d'accès restreints et supervisés.
La plateforme affirme que les employés basés en Chine ne peuvent pas accéder à certains types de données sensibles , comme les numéros de téléphone ou les adresses IP complètes, et que des techniques telles que la pseudonymisation et un contrôle strict des autorisations sont utilisées pour limiter autant que possible le risque d'accès non autorisé.
Du point de vue de l'entreprise, ces mesures offrent des garanties solides et sont compatibles avec le cadre européen . TikTok affirme s'être appuyée sur les outils juridiques du RGPD — tels que les clauses contractuelles types et les analyses d'impact — pour autoriser des accès à distance spécifiques et justifiés à des tâches comme le support technique, la modération des contenus et la maintenance générale du service.
Malgré cela, les autorités de régulation restent prudentes. L'Agence espagnole de protection des données (AEPD) et d'autres autorités reconnaissent que ces mesures constituent un pas dans la bonne direction, mais soulignent que, tant que la législation chinoise autorisera des exigences d'accès potentiellement très larges , les mesures de protection internes des entreprises ne suffiront pas à éliminer totalement les risques pour les droits et libertés des utilisateurs européens.
Conseils de l'Agence espagnole de protection des données (AEPD) : vérifiez les autorisations et envisagez de continuer à utiliser l'application.
Au-delà du cas spécifique de TikTok, l’Agence espagnole de protection des données (AEPD) a profité de la notoriété de l’affaire pour réitérer une série de recommandations qui peuvent s’appliquer à tout service numérique , mais qui sont particulièrement pertinentes sur les plateformes qui utilisent intensivement les données personnelles et qui ont une base d’utilisateurs très jeunes.
L’agence conseille tout d’abord aux utilisateurs de lire attentivement les mentions légales et les politiques de confidentialité qui s’affichent lors de l’inscription ou de l’acceptation des modifications des conditions d’utilisation. Bien que parfois longues, elles contiennent des informations essentielles sur les données collectées, leurs finalités et les pays vers lesquels elles peuvent être transférées . Dans le cas de TikTok, ces mentions font déjà explicitement référence à la situation avec la Chine et aux procédures judiciaires en cours.
Deuxièmement, l'agence souligne l'importance de vérifier régulièrement les paramètres de confidentialité des applications . Il s'agit notamment de contrôler les autorisations accordées (accès à la caméra, au microphone, aux contacts, à la localisation, au stockage, etc.) et de déterminer si elles sont réellement nécessaires à votre utilisation du service. Limiter ces autorisations permet de réduire la quantité d'informations transmises aux serveurs de la plateforme.
L’Agence espagnole de protection des données (AEPD) recommande également la prudence quant aux contenus partagés sur les réseaux sociaux et les applications vidéo. Elle conseille d’éviter la diffusion de données particulièrement sensibles, telles que des informations médicales, des données financières, des documents officiels ou des éléments de la vie privée, qui pourraient poser problème s’ils tombaient entre de mauvaises mains ou étaient réutilisés hors contexte.
Enfin, l'autorité de régulation adresse un message clair, quoique moins direct : elle invite les utilisateurs à bien réfléchir avant de continuer à utiliser des services qui transfèrent des informations vers des pays dont le niveau de protection des données n'est pas comparable à celui de l'Europe. Concrètement, cela revient à envisager de cesser d'utiliser TikTok ou d'autres applications similaires si l'on craint que ses données ne soient soumises à une législation plus intrusive.
Ce débat s'inscrit dans une controverse européenne plus large concernant les transferts internationaux de données vers des juridictions telles que les États-Unis ou la Chine, où les garanties offertes par les lois locales ne sont pas toujours jugées suffisantes par la Cour de justice de l'UE et les autorités de protection de la vie privée.
L’affaire TikTok est ainsi devenue un exemple particulièrement frappant des tensions entre les plateformes mondiales, les autorités européennes et les cadres juridiques des pays tiers. Tandis que les tribunaux irlandais statuent sur le maintien ou non de l’amende et des restrictions , le réseau social continue de fonctionner normalement en Espagne et dans le reste de l’Europe, ses transferts de données vers des pays tiers restant sous le feu des projecteurs, tant publics que réglementaires. Dans ce contexte, l’Agence espagnole de protection des données (AEPD) rappelle aux utilisateurs qu’ils ne sont pas de simples spectateurs : ils ont la possibilité de modifier les paramètres de leur compte, de restreindre les autorisations et de décider s’il est pertinent de continuer à utiliser un service dont les méthodes de gestion des données personnelles demeurent controversées.
