...DEPUIS DUBLIN... Après l’annonce du ministère de la Jeunesse et de l’Enfance d’ouvrir un dossier visant à bloquer temporairement les services de TikTok en Espagne, après qu’une enquête de Maldita.es a été connue, l’Agence espagnole de protection des données (AEPD) a transmis l’affaire aux autorités irlandaises. La décision remet sur la table l’une des principales particularités du modèle réglementaire européen : la supervision d’une grande partie des grandes plateformes numériques se concentre dans le pays où elles ont établi leur siège principal au sein de l’Union européenne, indépendamment de l’endroit où des infractions éventuelles peuvent être commises.
En situant TikTok son siège européen à Dublin, la Commission irlandaise de protection des données (DPC, pour ses sigles en anglais) est l’autorité de contrôle principale chargée de superviser le respect par l’entreprise de la réglementation européenne en matière de protection des données. Il s’agit donc de l’institution qui doit traiter les actions liées au traitement d’informations personnelles susceptibles de découler des plaintes déposées dans d’autres États membres.
Moncloa a même envisagé la possibilité de bloquer l’accès à certains liens et contenus précis de la plateforme pouvant impliquer un traitement illicite de données de mineurs. L’Exécutif a fait valoir qu’il s’agirait d’une intervention limitée et justifiée par la gravité des faits. « Une mesure concrète, proportionnée et adéquate, avec plein respect des libertés d’expression », ont indiqué des sources gouvernementales.
Sans toutefois, l’Agence espagnole de protection des données a rappelé que ses compétences ne lui permettent pas de décider unilatéralement d’une restriction générale d’accès à une plateforme dont l’autorité principale de supervision se trouve dans un autre État membre. « Il appartient au ministère public et aux organes judiciaires, qui constituent également le siège naturel pour proposer et, le cas échéant, décider judiciairement, de manière générale, le retrait de contenus pénalement illicites et toute restriction d’accès à un service », ajoute l’organisme espagnol.
La distinction s’avère particulièrement pertinente à un moment où les gouvernements nationaux cherchent des réponses plus rapides face aux risques que les plateformes numériques peuvent générer pour les utilisateurs les plus jeunes. La protection des mineurs, le retrait de contenus illicites et le traitement des données personnelles relèvent de domaines liés, mais soumis à des instruments juridiques et à des autorités de contrôle différents. Une circonstance qui oblige à coordonner les actions nationales et communautaires avant d’adopter des mesures susceptibles d’affecter le fonctionnement de ces services.
La guichet unique qui mène à Dublin
Le droit européen établit un cadre harmonisé de protection des données pour l’ensemble du bloc communautaire. Sa mise en œuvre s’articule, en bonne partie, au moyen du mécanisme de guichet unique, conçu pour éviter qu’une même entreprise ait à répondre à des procédures indépendantes et potentiellement contradictoires dans chacun des États membres où elle opère.
De cette manière, lorsqu’une entreprise mène des activités de traitement de données dans plusieurs pays de l’Union, l’autorité de protection des données de l’État où se trouve son établissement principal assume la fonction d’autorité de contrôle principale. Cette institution coordonne les enquêtes et les décisions, même si elle doit maintenir une coopération étroite avec les autorités nationales concernées.
Dans le cas de TikTok, l’Irlande devient ainsi la porte d’entrée institutionnelle pour une large part des réclamations européennes liées à la protection des données de la plateforme. Cela ne signifie pas que les autorités espagnoles soient complètement mises à l’écart. L’AEPD peut enquêter sur des questions relevant de ses compétences, recueillir des informations et transmettre ses conclusions à l’autorité irlandaise, qui devra coordonner la réponse avec le reste des organismes impliqués.
Le système prévoit également des mécanismes pour résoudre les divergences entre les autorités nationales. S’il n’y a pas de consensus sur une proposition de résolution, le Comité européen de la protection des données (CEPD) peut intervenir au moyen d’une procédure de cohérence et adopter une décision contraignante. L’objectif est d’empêcher que l’application d’une même norme européenne dépende exclusivement de l’appréciation de l’autorité du pays où une multinationale a décidé d’établir son siège.
À ce montage s’ajoute la Loi sur les services numériques (DSA, pour ses sigles en anglais), qui introduit des obligations spécifiques pour les plateformes en matière de transparence, de modération des contenus, de gestion des risques et de protection des utilisateurs. Le texte exige des intermédiaires qu’ils disposent de mécanismes leur permettant d’agir face à des contenus illicites lorsqu’ils en ont connaissance, conformément aux obligations qui correspondent à chaque catégorie de service.
Dans le cas des plateformes de très grande taille (VLOP, pour ses sigles en anglais), comme TikTok, la supervision des obligations systémiques prévues par la DSA relève directement de la Commission européenne. Bruxelles dispose de compétences pour enquêter sur d’éventuels manquements, exiger des informations, ordonner des mesures correctrices et imposer des sanctions lorsque cela s’avère nécessaire. Pour cette raison, l’AEPD prévoit également de transférer les informations recueillies à l’institution communautaire afin qu’elle puisse agir dans le cadre de ses compétences numériques.
Le cas met donc en évidence qu’une même controverse peut activer simultanément plusieurs niveaux de supervision européenne : la protection des données, la régulation des services numériques et, le cas échéant, l’intervention des autorités judiciaires nationales.
Le refuge européen des grandes technologiques
La particularité de l’Irlande ne s’explique pas uniquement par le fonctionnement de la législation communautaire. Depuis des décennies, le pays a structuré une grande partie de son modèle économique autour de l’attraction d’investissements étrangers et des grandes multinationales technologiques. Dublin est devenu l’un des principaux centres technologiques et fiscaux d’Europe, avec la présence de sociétés comme Google, Meta, Apple, TikTok ou Microsoft, qui y ont établi leurs sièges européens ou des centres d’opérations importants.
La stratégie irlandaise a historiquement combiné une fiscalité des entreprises compétitive avec un environnement favorable à l’investissement international, une politique qui a permis au pays d’attirer certaines des plus grandes entreprises du monde. Le résultat est une forte concentration d’activité économique, d’emploi qualifié et d’opérations corporatives liées au secteur technologique.
Cette position a également des conséquences réglementaires. La concentration des sièges européens des grandes plateformes en Irlande a transféré à ses autorités une responsabilité de supervision qui dépasse largement la taille de son marché national. La Commission irlandaise de protection des données doit gérer des enquêtes qui concernent des centaines de millions d’utilisateurs européens et certaines des entreprises les plus importantes du monde sur le plan économique et technologique.
Bruxelles a maintenu un débat récurrent au sujet des risques que cette concentration de compétences implique. Une supervision excessivement lente ou une application trop peu exigeante des normes peut engendrer des différences dans le niveau de protection des citoyens européens. Dans le même temps, les décisions des autorités nationales peuvent avoir des répercussions économiques considérables, en particulier dans des pays où l’activité de ces multinationales représente une part importante de l’emploi, de l’investissement et des recettes fiscales.
Pour l’Irlande, la présence de ces entreprises constitue l’un des piliers de son modèle économique. Un éventuel transfert de leurs activités vers d’autres territoires aurait des conséquences sur l’emploi, la perception des impôts et le poids du secteur technologique dans son produit intérieur brut. Cette dépendance introduit une tension institutionnelle difficile à résoudre : le pays doit garantir le respect d’une législation européenne qui peut exiger des mesures énergiques contre certaines des principales entreprises établies sur son territoire, tout en maintenant un modèle économique étroitement lié à leur présence.
Une autorité débordée par les grandes plateformes
À cette équation s’ajoute un problème de capacité administrative. La concentration, au sein de la Commission irlandaise de protection des données, d’une partie substantielle des grandes enquêtes européennes a suscité pendant des années des critiques concernant la disponibilité des ressources et la vitesse des procédures. Des sources communautaires ont à maintes reprises mis en question les délais des enquêtes irlandaises, qui peuvent s’étendre sur plusieurs années avant d’aboutir à une résolution définitive. Des divergences ont également existé au sujet de la proportionnalité des sanctions initialement proposées et sur la capacité des autorités à imposer des mesures correctives avec suffisamment de rapidité.
La difficulté n’est pas exclusivement technique. Les enquêtes contre les grandes plateformes exigent d’analyser d’énormes volumes d’informations, des structures d’entreprise complexes et des traitements de données qui affectent simultanément différents marchés. En outre, les entreprises disposent d’importantes équipes juridiques et réglementaires pour défendre leurs positions lors des procédures administratives. La jurisprudence et la pratique de supervision irlandaises ont, dans certains dossiers, donné la priorité aux accords de conformité et aux procédures d’enquête prolongées plutôt qu’à des interventions conservatoires plus immédiates. Une approche qui a parfois heurté la position d’autres autorités nationales, dont l’espagnole, favorables à des réponses plus rapides face à certains risques pour les citoyens.
Le système européen prévoit toutefois des mécanismes pour empêcher que ces différences finissent par affaiblir l’application des règles. Lorsqu’une autorité nationale présente une proposition de résolution que d’autres institutions jugent insuffisante, le Comité Européen de Protection des Données peut intervenir afin de résoudre les divergences et d’adopter des décisions contraignantes. Cela permet, entre autres choses, d’exiger des modifications des résolutions et d’ajuster les mesures ou les sanctions prévues lorsqu’il n’existe pas d’accord entre les organismes concernés.
Le dossier concernant TikTok remet à l’épreuve cet équilibre entre la compétence nationale, la supervision communautaire et la capacité de réaction des institutions européennes. L’Espagne réclame une réponse face aux risques possibles qui touchent les mineurs, mais la décision relative à une grande partie des obligations de protection des données de la plateforme passe par une autorité située à plus de 1 500 kilomètres de Madrid.
Depuis Dublin, où se concentre une partie substantielle du pouvoir technologique européen, la question dépasse déjà le cas concret de TikTok. L’Union européenne a construit un cadre réglementaire commun pour contrôler les grandes plateformes, mais son application continue de dépendre d’une architecture institutionnelle dans laquelle les compétences et les ressources ne sont pas toujours réparties de manière équilibrée. Et c’est précisément cette distance entre l’ambition réglementaire de Bruxelles et la capacité effective de ses autorités nationales qui se retrouve à nouveau sous examen.