Qui est auditionné
Audition tenue à huis clos de Mme Marie-Laure Denis, présidente de la Commission nationale de l’informatique et des libertés (CNIL), accompagnée de M. Mathias Moulin, secrétaire général adjoint, et de Mme Chirine Berrichi, conseillère pour les questions parlementaires (assermentée, elle n’intervient pas dans le verbatim). Les trois prêtent serment ; Marie-Laure Denis déclare n’avoir « aucun intérêt susceptible d’influencer ma position sur TikTok ». Le profil commande la position : la CNIL est un régulateur de la donnée, pas des contenus ni de la santé mentale, et sa présidente le pose d’emblée — « La Cnil n’a pas d’expertise en matière psychologique ». Toute l’audition se joue sur cet écart entre ce que la CNIL sait décrire et ce qu’elle a le pouvoir de faire.
La substance
Denis décrit d’abord le mécanisme. Le point de départ est « la collecte massive de données personnelles », combinées puis soumises à un algorithme de personnalisation en temps réel. La singularité de TikTok tiendrait au flux : « TikTok mêle les caractéristiques traditionnelles de la télévision – un flux continu unilatéral qu’on ne contrôle pas – et les caractéristiques des médias les plus contemporains – un algorithme dont l’objectif est de maintenir le plus longtemps possible les utilisateurs sur la plateforme. » En croisant temps passé, partages et likes, « le réseau social peut déduire ce à quoi l’utilisateur est sensible, voire son état émotionnel ». Elle en tire une lecture économique : « Le modèle économique repose donc sur l’exploitation des données personnelles des utilisateurs. »
Sur les risques, la formulation reste prudente et systématiquement attribuée. Les algorithmes « favorisent l’enfermement des jeunes dans une bulle de filtre », ce qui « peut contribuer à leur isolement et à leur radicalisation ». La vitesse d’adaptation de l’algorithme (étude du Wall Street Journal, 2021) « peut créer une spirale infernale – ce que la littérature scientifique appelle le rabbit hole effect – et pousser des personnes à des tentatives de suicide, des scarifications, des comportements anorexiques ». Le chiffre le plus frappant est explicitement adossé à un tiers : un rapport 2022 du Center for Countering Digital Hate, « une ONG anglo-saxonne », selon lequel « il fallait moins de dix minutes en moyenne pour que TikTok propose des contenus relatifs au suicide ou à des troubles du comportement alimentaire ». Le collectif Algos Victima est cité comme regroupant des familles « ayant lancé une action en justice contre TikTok qu’elles accusent d’être responsable de la dégradation de la santé d’adolescents » — accusation rapportée, procédure en cours. Autres chiffres avancés : « Il semblerait que 45 % des Français de 11 à 12 ans soient inscrits sur TikTok » ; et, issus de l’enquête CNIL 2024, « Deux tiers des utilisateurs que nous avons interrogés se sentent piégés par l’application ».
Sur l’âge : « En ce qui concerne TikTok, la mention de l’âge est purement déclarative », et les mesures associées (blocage sous 13 ans, alertes, analyse de profil) « restent insuffisantes à l’épreuve de la réalité ». La doctrine défendue est le tiers vérificateur indépendant plus le double anonymat, repris dans le référentiel Arcom issu de la loi SREN — « il ne s’agit pas de communiquer les cartes d’identité des jeunes voire de leurs parents à un réseau social » —, référentiel qui ne vise que les sites pornographiques mais « pourrait utilement être dupliqué » pour les réseaux sociaux, en complément du contrôle parental. À terme, le portefeuille européen (eIDAS) et ses attributs sélectifs : « je peux prouver mon âge sans avoir à donner mon identité ».
Les enjeux et les confrontations
L’audition n’est pas conflictuelle avec les auditionnés : elle est structurée par un aveu d’impuissance que les députés viennent creuser. Depuis juillet 2020, TikTok a son établissement principal à Dublin — « Attiré par le climat irlandais » — et l’autorité cheffe de file est la DPC irlandaise. La CNIL n’est compétente ni sur les contenus (Arcom) ni sur les pratiques commerciales (DGCCRF). La rapporteure Laure Miller pousse sur trois fronts : la contribution réelle de la CNIL aux lignes directrices européennes (Denis préfère « vérifier » avant de répondre), la singularité de TikTok, et l’existence d’un interlocuteur dédié. C’est là que le président Arthur Delaporte obtient le point le plus net : « Ce point de contact est-il une adresse e-mail ou une personne identifiée ? » — « C’est une adresse e-mail, sauf erreur de ma part » (Moulin). Denis nuance ensuite, sans trancher : « Je serais étonnée que nous n’ayons pas un interlocuteur chez TikTok […] mais je ne peux pas l’affirmer. »
Anne Genetet (EPR) attaque la causalité du différentiel de coopération : pourquoi Google répond-il et pas TikTok, alors que la CNIL n’est compétente pour aucun des deux ? Réponse de Moulin : le canal direct relève du « gentlemen’s agreement », il « fonctionne plutôt bien avec Google […] ainsi qu’avec Microsoft. TikTok nous fait entrer dans un cadre formel, avec des procédures plus longues ». Denis s’en tient au constat : « les plateformes ont des stratégies relationnelles différentes vis-à-vis du régulateur français », et reconnaît : « TikTok n’est pas tenu de nous répondre. Nous n’avons aucun moyen de le contraindre. » Genetet pousse aussi l’alternative France Identité contre l’attente du wallet européen ; Denis oppose un « frein psychologique » (un site « estampillé bleu blanc rouge » pour la pornographie), des doutes techniques sur la gestion des attributs et la nécessité d’une API côté TikTok, tout en s’abstenant d’affirmer — « N’étant pas experte, je me garderai de l’affirmer » — et en proposant de transmettre des éléments. Sur l’effectivité des sanctions, Genetet demande si l’on pourrait sanctionner chaque année ; Denis répond que oui en cas de manquement persistant, et relativise le pouvoir de l’amende : « Les injonctions faites aux plateformes de se mettre en conformité avec le RGPD importent encore davantage. »
Ce que l’audition apporte
Un éclairage institutionnel plutôt que clinique : la cartographie des compétences (CNIL/Arcom/DGCCRF, convention de juin 2024) et le mécanisme du guichet unique qui déporte la régulation vers Dublin. Des faits chiffrés : amendes DPC de 345 M€ (septembre 2023, données des mineurs) et 530 M€ (transferts hors UE, avec injonction sous six mois), amende CNIL de 5 M€ sur les cookies ; environ 150 plaintes reçues depuis la création du réseau, dont 25 de sociétés contestant des transferts que « l’outil TikTok Analytics […] engendrerait » vers la Chine, la Malaisie, les États-Unis, Singapour, le Brésil, l’Australie (allégation des plaignants), et 8 demandes d’effacement — « une seule d’entre elles concerne les données d’un mineur ». Une doctrine assumée : concilier protection des mineurs et vie privée, d’où la critique adressée à Bruxelles — « nous regrettons que les lignes directrices de la Commission européenne soient moins protectrices que le référentiel de l’Arcom ». Et une projection : le RIA, qui interdit les IA « reposant sur des techniques subliminales ou manipulatrices » et obligera TikTok à « démontrer que ses algorithmes ne manipulent pas indûment les utilisateurs ». Moulin, enfin, ouvre une question juridique laissée sans réponse : la base légale de l’inscription étant le contrat, « Il reste à savoir si la souscription contractuelle à un réseau social relève de la vie courante ».