Localiser les données de TikTok en Europe, une protection absolue contre les ingérences étrangères ?

Pour Jean-Noël Barrot, le ministre délégué chargé du Numérique, c'est une victoire : "TikTok s'est engagé à conserver les données des Européens dans des centres de données basés en Europe", a-t-il déclaré au micro deSud Radio le 4 janvier. Un engagement pris à la suite de révélations de" fuites avérées de données des Européens vers des pays avec lesquels nous n'avons pas d'accords de transfert de données, comme la Chine". 

Nom de code : Clover

Cet engagement s'inscrit dans le projet "Clover" présenté en mars 2023 par Theo Bertram, vice-président en charge des relations gouvernementales et des affaires publiques en Europe de TikTok, filiale du géant chinois ByteDance. Il s'agit de "créer une enclave autonome et sécurisée pour les données des utilisateurs européens de TikTok", expliquait-il. En pratique, une enveloppe de 12 milliards d'euros a été engagée pour stocker l'ensemble des données dans des centres de données situés en Irlande et en Norvège (pays qui n'est pas membre de l'Union européenne).

Dans les détails, deux centres de données seront situés en Irlande et un dans la région d'Hamar en Norvège. Tous sont "des colocations exploitées par des fournisseurs de services tiers de confiance". L'un des data centers irlandais est opérationnel depuis novembre 2023. La migration des données a commencé "au début de cette année [2023]". En Norvège, "le premier des trois bâtiments prévus sur le site" a été livré en novembre 2023 également. Au même moment, TikTok a annoncé y débuter "l'installation puis le test des serveurs". Les deux autres bâtiments norvégiens devraient être livrés "au cours du second semestre 2024". Vers la fin de 2024, la migration des données devrait commencer. "Une fois achevé, ce centre de données sera le plus grand d'Europe", détaille l'entreprise. 

Les données des Européens ont bien été consultés par des employés 

Pour le ministre du Numérique, les délais sont "trop longs". Mais il ajoute d'emblée qu'il faut quand même admettre que la construction (...) [induit] des investissements assez lourds, assez considérables". L'objectif du projet "Clover" ? Que les données ne sortent plus de l'Espace économique européen (EEE) et ne soient donc plus à la portée de pays étrangers, en particulier la Chine. Ce qui fut déjà le cas, a reconnu la plateforme elle-même en novembre 2022 dans un billet de blog.

A propos de sa politique de confidentialité, Elaine Fox, responsable de la protection de la vie privée pour le continent, écrivait : "nous autorisons certains employés de notre groupe situés au Brésil, au Canada, en Chine, en Israël, au Japon, en Malaisie, aux Philippines, à Singapour, en Corée du Sud et aux États-Unis à accéder à distance aux données des utilisateurs européens de TikTok”. Elle évoquait à cette époque un "besoin avéré" de s'assurer que l'expérience des utilisateurs soit "uniforme, agréable et sûre". Ce faisant, elle relançait les inquiétudes autour d'un possible accès des données des Européens par le régime autoritaire de Pékin. Des craintes similaires ont été formulées aux Etats-Unis. 

Il faut ici rappeler la quantité assez astronomique de données que collecte TikTok sur ses utilisateurs, justifiant les craintes qu'elles soient consultées par n'importe qui. D'après sa politique de confidentialité, il s'agit "des informations relatives à votre profil, le contenu utilisateur (photos, vidéo, enregistrements audio, flux en direct, commentaires, hashtags, avis, évaluation, métadonnées associées), les messages directs, les contacts, les informations sur les achats, les enquêtes, études et promotions, les informations lorsque vous nous contactez" ainsi que "les informations provenant des formulaires et fonctions que vous utilisez".

L'entreprise ajoute recueillir "automatiquement" : "les informations techniques (relatives aux appareils et à la connexion réseau)", "les informations de localisation", "les informations sur l'utilisation", "les caractéristiques et particularités du contenu", "les informations déduites (attributs et intérêts sur la base des informations dont nous disposons à votre sujet)". 

Le doute est permis

Alors faut-il désormais croire TikTok quand il affirme que les données des Européens ne seront plus consultées car situées en Europe ? Le doute est permis pour au moins deux raisons. En premier lieu, le lieu de stockage des données compte peu en réalité. C'est l'origine de l'entité stockant les données qu'il faut prendre en compte. En second lieu, TikTok n'avait pas le choix de montrer patte blanche – chose faite avec l'installation de data centers – puisque les interdictions d'utilisation commençaient à pleuvoir.

C'est ainsi qu'en mars 2023, le gouvernement français a interdit à ses fonctionnaires d'installer des "applications récréatives", tel que TikTok, sur leurs téléphones professionnels. Il évoquait "un risque sur la protection des données des administrations et de leurs agents publics". Quelques semaines plus tôt, c'était la Commission européenne, suivie par le Parlement européen, les gouvernements allemand, danois et belge, de demander à ses employés de supprimer TikTok. 

Depuis ces interdictions et dans un contexte réglementaire de plus en plus fort avec le paquet DSA/DMA, TikTok est en mode "opération séduction" auprès des dirigeants européens. Shou Chew, son PDG, a ainsi rencontré le président de la République Emmanuel Macron en novembre dernier afin de pouvoir "l'informer du travail et des investissements significatifs en matière de sécurité des données en Europe (...)". Il a également pu échanger avec les ministres allemands et des commissaires européens.

Dans le viseur de la Cnil irlandaise

TikTok va également devoir convaincre la Data Protection Commission (DPC). En septembre 2021, l'autorité irlandaise de protection des données a ouvert deux enquêtes sur l'entreprise : l'une sur la protection des données des mineurs qui a donné lieu à une amende de 345 millions d'euros et l'autre sur les transferts de données vers la Chine. L'issue de cette seconde procédure, toujours en cours, sera particulièrement importante pour l'avenir de la plateforme en Europe où elle dit comptabiliser 150 millions d'utilisateurs chaque mois, dont 21,4 millions en France.