CNIL et guichet unique irlandais
Le guichet unique du RGPD retire à la CNIL toute compétence directe sur TikTok au profit de la Data Protection Commission irlandaise — un fait de droit que la CNIL assume, et que plusieurs auditionnés convertissent en accusation de défaillance structurelle, quand la CNIL elle-même oppose des sanctions à neuf chiffres et un circuit court fonctionnel.
Le point de départ n'est contesté par personne : il est mécanique. Marie-Laure Denis (CNIL, cr20a) rappelle que TikTok ayant installé son siège européen à Dublin — « Attiré par le climat irlandais » —, c'est « l'autorité de protection des données irlandaises – la Data Protection Commission (DPC) – qui est compétente, en application du système de guichet unique prévu par le RGPD ». Elle borne d'ailleurs deux fois le périmètre de sa maison : la CNIL « n'est donc pas compétente » ni sur les contenus, qui relèvent de l'Arcom, ni sur les pratiques commerciales, qui relèvent de la DGCCRF. Ce cadrage est répété au point de devenir la colonne vertébrale de l'audition, et il porte un présupposé rarement formulé : sur TikTok, la question française n'est pas la CNIL fait-elle son travail ? mais qui, en France, a réellement prise ?.
C'est là que la tension s'ouvre. Pour Rayna Stamboliyska (RS Strategy, cr04a), le chef de file irlandais « a tendance à se montrer conciliante » envers les grandes plateformes — appréciation de l'auditionnée, pas fait établi. Claude Malhuret (Sénat, cr06a) durcit le trait et déplace la cause vers la fiscalité : « Le premier problème est que l'Irlande est le paradis des plateformes : elles s'y sont toutes installées pour des raisons fiscales. » L'argument le plus lourd vient pourtant du régulateur français lui-même, quand Denis reconnaît que la coopération hors guichet unique repose sur du vide juridique : « Ce fonctionnement est toutefois informel, et TikTok n'est pas tenu de nous répondre. Nous n'avons aucun moyen de le contraindre, même si nous coopérons avec la DPC. »
La CNIL apporte pourtant les éléments qui contredisent la thèse du régulateur captif — et ce sont ses propres chiffres. Denis rappelle deux sanctions de la DPC : « une amende de 345 millions d'euros » en septembre 2023, puis « une amende de 530 millions d'euros ». Mathias Moulin (CNIL, cr20a) décrit un mécanisme de contournement négocié, le « preliminary vetting », « pour travailler en circuit court », et concède immédiatement le point de comparaison qui abîme sa propre démonstration : « Avec Google cette procédure fonctionne très bien » — le silence sur TikTok en dit long.
Reste l'ordre de grandeur du contentieux français, que Denis livre sans en tirer de conclusion : « environ 150 plaintes » depuis la création du réseau, « huit plaintes […] en cours d'instruction et une seule d'entre elles concerne les données d'un mineur ». Sur les vingt-cinq plaintes de sociétés contestant les transferts vers la Chine, elle maintient le conditionnel — l'outil TikTok Analytics « engendrerait » des transferts hors UE : allégation des plaignants, non constat de la CNIL. Océane Herrero (cr04b) ajoute, d'après Bloomberg, qu'« une sanction devrait être prononcée au sujet du transfert de données vers la Chine ».
Qui en parle
- Marie-Laure Denis (CNIL, cr20a) — pivot du sujet : martèle l'incompétence de la CNIL sur TikTok depuis le guichet unique, avoue n'avoir « aucun moyen de le contraindre », mais chiffre les sanctions irlandaises (345 puis 530 M€) et l'activité de plainte (150 plaintes, une seule sur un mineur).
- Mathias Moulin (CNIL, cr20a) — décrit le circuit court « preliminary vetting » avec la DPC, et son fonctionnement « très bien » avec Google.
- Rayna Stamboliyska (RS Strategy, cr04a) — critique le chef de file irlandais « conciliant » et plaide, selon la fiche, une réforme permettant de saisir l'autorité de son pays de résidence.
- Claude Malhuret (Sénat, cr06a) — thèse du « paradis des plateformes » : implantation fiscale, donc régulateur structurellement faible.
- Océane Herrero (cr04b) — rapporte, d'après Bloomberg, une sanction annoncée sur les transferts vers la Chine.