Le RGPD bute sur Dublin

Helen Dixon, qui a dirigé l’autorité irlandaise chargée du RGPD, reconnaît que le dispositif européen peine face aux abus systémiques des géants technologiques. Le problème tient moins aux amendes qu’au canal unique qui concentre l’application du droit à Dublin.

Quand un Européen dépose une plainte contre Facebook, Instagram, WhatsApp ou TikTok, elle ne part pas vers son régulateur national. Elle part, le plus souvent, à Dublin. La Commission irlandaise de protection des données, la DPC, traite l’essentiel des grands dossiers RGPD visant les plateformes mondiales. Son ancienne dirigeante, Helen Dixon, a reconnu ce mois-ci devant la Law Society of Ireland que le règlement n’était « pas toujours utile pour les questions systémiques » (Law Society of Ireland).

L’aveu compte parce qu’il vient de la responsable qui a piloté l’application irlandaise du RGPD pendant ses années les plus actives. Il résume une tension installée depuis huit ans : l’Europe a bâti un droit très ambitieux sur la protection des données, mais elle l’a fait appliquer, pour une grande partie de l’économie numérique, par une autorité nationale de taille moyenne.

Comment Dublin est devenue la capitale européenne de la vie privée

Le RGPD a créé, à l’article 56, un mécanisme de « guichet unique » (EUR-Lex). L’idée était simple : éviter qu’une entreprise opérant dans toute l’Union doive répondre à 27 régulateurs différents. L’autorité compétente devient celle du pays où l’entreprise a son principal établissement européen. Apple, Google, Meta, TikTok, LinkedIn et Microsoft ont tous installé leur siège européen en Irlande. La DPC est ainsi devenue, de fait, le régulateur européen de la vie privée pour une large part de l’industrie technologique (anonym.community).

La mécanique passe ensuite par l’article 60, qui organise la coopération entre autorités. La DPC, en tant qu’autorité chef de file, instruit la plainte et rédige un projet de décision. Elle le transmet aux autres autorités nationales concernées. Si celles-ci objectent, ce qui arrive souvent, le différend remonte au Comité européen de la protection des données, le CEPD, qui tranche par une décision contraignante (EUR-Lex). Dublin écrit donc le premier verdict, mais les autres régulateurs disposent d’un droit de contestation.

Ce système devait empêcher les entreprises de choisir le régulateur le plus conciliant. Il a produit un autre déséquilibre : une seule agence nationale est devenue le point de passage obligé pour des dossiers qui concernent tout le continent.

De grosses amendes, une collecte lente

La DPC a prononcé environ 80 % des grandes amendes européennes visant la technologie au titre du RGPD (anonym.community). Les sanctions les plus visibles sont lourdes : 1,2 milliard d’euros contre Meta pour des transferts illégaux de données d’utilisateurs européens vers les États-Unis, 530 millions d’euros contre TikTok pour avoir permis à des ingénieurs en Chine d’accéder à des données européennes, et 310 millions d’euros contre LinkedIn pour profilage comportemental illégal (anonym.legal).

Mais infliger une amende et la recouvrer sont deux opérations différentes. Les entreprises contestent presque toutes les grandes décisions, et les juridictions irlandaises peuvent suspendre le paiement pendant la procédure. L’écart reste donc important entre les montants annoncés et l’argent effectivement encaissé. Les autres autorités nationales sont, elles aussi, contraintes par le système : elles peuvent formuler des objections dans le cadre de l’article 60, mais elles ne peuvent pas agir seules sur les dossiers transfrontaliers visant ces entreprises. Elles regardent Dublin décider.

Une réforme sous délai

Un nouveau règlement procédural sur le RGPD, qui doit entrer en vigueur en avril 2027, introduit un délai de 15 mois pour que les autorités chefs de file rendent leurs projets de décision dans les dossiers transfrontaliers (Netguardia). Aujourd’hui, certaines enquêtes s’étirent sur des années. L’amende de 1,2 milliard d’euros infligée à Meta a pris cinq ans entre la plainte initiale et la décision finale. La réforme fixe aussi des calendriers plus clairs pour les objections des autorités concernées et pour la saisine du CEPD (Netguardia).

La réforme traite la lenteur. Elle ne traite pas l’asymétrie de fond : une autorité nationale, responsable devant les tribunaux irlandais et soumise au droit administratif irlandais, porte une responsabilité réglementaire qui touche des entreprises servant 450 millions d’Européens. La remarque de Helen Dixon sur les limites du RGPD face aux problèmes systémiques (Law Society of Ireland) vise précisément ce que la réforme de 2027 ne change pas. Les décisions iront plus vite, mais elles passeront toujours par le même canal étroit. La vraie question est donc institutionnelle : l’Europe veut-elle seulement accélérer Dublin, ou repenser la manière dont elle fait appliquer son propre droit numérique ?