Le 25 septembre 2026, un jury de Santa Fe, au Nouveau-Mexique, a conclu que Meta avait trompé les consommateurs dans le dossier né du scandale Cambridge Analytica. Sur les 29 déclarations publiques contestées par l’État, 26 ont été jugées trompeuses, et le jury a retenu plus de 43 millions d’infractions potentielles, selon Reuters. Le 21 octobre, le juge Francis Mathew a fixé la sanction à 25 milliards de dollars, d’après l’Associated Press ; Meta conteste et annonce un appel. L’affaire porte sur une question que tout DPO connaît : une politique de confidentialité trompeuse engage l’organisme autant qu’une faille technique.
Des promesses de contrôle jugées contraires aux pratiques
La plainte avait été déposée en 2021 par le procureur général Raúl Torrez. L’État visait des propos de Mark Zuckerberg et des billets de blog laissant entendre que les utilisateurs gardaient la main sur leurs informations personnelles, alors que des applications tierces y accédaient. Meta nie avoir vendu les données de ses utilisateurs. Le jury a écarté trois griefs, notamment ceux qui portaient sur le retrait des contenus nuisibles et la vérification des faits, selon le compte rendu publié par GV Wire.
Le fondement est le droit de la consommation de l’État, qui prévoit une amende par infraction. Le raisonnement transpose pourtant sans effort en Europe : une phrase rassurante sur la protection des données, publiée par l’entreprise, se compare à ce que ses systèmes font réellement. Si les deux divergent, la phrase devient la preuve du manquement.
Politique de confidentialité trompeuse et RGPD
L’article 5, paragraphe 1, point a, du RGPD impose un traitement licite, loyal et transparent. Les articles 12 à 14 précisent le contenu : finalités, bases juridiques, destinataires, transferts hors de l’Union, durées de conservation, droits, possibilité de saisir la CNIL. L’information doit être concise, compréhensible et facile d’accès. Une politique de confidentialité trompeuse peut donc tomber sous plusieurs griefs à la fois : défaut d’information, déloyauté, et parfois absence de base valable si le consentement a été recueilli sur une description inexacte.
Le risque ne se limite pas au document intitulé « politique de confidentialité ». Une plaquette commerciale qui affirme « vos données ne quittent jamais la France », une page d’accueil qui promet « aucun partage avec des tiers », une réponse type du service client : tout cela constitue une information donnée aux personnes. En audit, je retrouve régulièrement des formules héritées d’une ancienne version du site, rédigées avant l’arrivée d’un outil de mesure d’audience, d’un hébergeur américain ou d’un prestataire de messagerie.
Confronter le texte au registre
La méthode la plus sûre consiste à partir du registre des traitements et à relire la politique ligne par ligne. Chaque affirmation doit renvoyer à une réalité vérifiable.
- Les destinataires annoncés correspondent-ils aux sous-traitants réellement liés par un contrat article 28 ?
- Les transferts hors Union sont-ils tous mentionnés, y compris ceux des sous-traitants ultérieurs de l’hébergeur ou de l’outil de messagerie ?
- Les traceurs déposés par le site sont-ils ceux que décrit la page cookies ?
- Les durées affichées sont-elles appliquées par une purge effective ?
- Les applications et extensions tierces connectées à vos outils ont-elles accès à plus de données que ce que vous annoncez ?
La relecture doit aussi porter sur les déclarations publiques des dirigeants. À Santa Fe, une partie des propos retenus venait d’interventions et de billets de blog, et non du texte contractuel. Une direction de la communication qui annonce un engagement sur la protection des données doit pouvoir s’appuyer sur une vérification préalable du DPO et de la DSI. Une phrase approximative peut coûter ensuite des années de contentieux.
Ce dernier point renvoie directement à Cambridge Analytica : l’accès accordé à des applications tierces était au cœur du dossier. Un organisme qui ouvre ses données à des connecteurs, à des API ou à des modules d’intelligence artificielle doit savoir qui lit quoi, et l’écrire.
Garder l’historique des versions
Le procès de Santa Fe a porté sur des déclarations parfois anciennes de plusieurs années. Conserver l’historique des versions de la politique de confidentialité, avec leurs dates de mise en ligne, permet de montrer ce qui était dit à quel moment. La même logique vaut pour les mentions d’information des formulaires et pour les notices remises aux salariés.
Les autorités européennes ont déjà sanctionné cet écart. La CNIL, comme ses homologues, retient régulièrement le manquement aux articles 12 et 13 quand l’information est incomplète, dispersée ou contredite par les traceurs effectivement déposés. Le montant prononcé au Nouveau-Mexique dépasse de loin les plafonds du RGPD, mais la logique de preuve est identique : l’autorité compare le texte publié aux constatations techniques.
Une revue annuelle, conduite par le DPO avec les services qui font évoluer les outils (informatique, communication, achats), suffit souvent à éviter l’écart. Le cœur du travail tient dans une question posée à chaque nouveau projet : qu’avons-nous promis aux personnes sur ce point, et est-ce encore vrai ?
Les DPO indépendants du réseau DPO FRANCE réalisent ces revues de cohérence entre politique de confidentialité, registre et pratiques réelles. Avec DPO SUITE, le registre, les sous-traitants et les preuves de mise à jour restent rassemblés au même endroit, ce qui facilite la relecture des mentions d’information à chaque changement d’outil.
