Meta : 23 jours suffisent à payer 15 ans de sanctions

Le 21 août 2026, le ministère américain de la Justice annonce un accord de 400 millions de dollars avec TikTok et ByteDance, pour clore des poursuites engagées en 2024 sur la protection des données d'enfants. Le communiqué officiel précise la mécanique : 300 millions payables immédiatement, et 100 millions supplémentaires uniquement si une ordonnance vient annuler un décret de 2019 conclu avec Musical.ly, le prédécesseur de TikTok. Un quart du montant annoncé est suspendu à une condition. Aucune reconnaissance de faute.

Cette structure n'a rien d'exceptionnel. Elle est la règle.

Ce décompte ne porte que sur un type de manquement : ceux qui lèsent leurs propres utilisateurs — vie privée, données de mineurs, sécurité, conception manipulatrice, modération défaillante.

Les sanctions pour abus de position dominante, les redressements fiscaux, les litiges de droit d'auteur et les contentieux du travail n'y figurent pas. Elles opposent la plateforme à un marché, à un État ou à un ayant droit, pas à ses usagers. Les inclure gonflerait le total sans rien dire de plus sur le traitement réservé aux personnes.

Quinze ans de sanctions valent vingt-trois jours d'activité

Cinquante-deux décisions de ce type ont été prononcées entre mars 2011 et août 2026, dans quatorze juridictions, contre Meta, ByteDance, Alphabet, X Corp., Snap et Amazon. Total, toutes devises converties : 14,40 milliards de dollars.

Rapporté aux comptes déposés à la Securities and Exchange Commission, ce total change de nature. Sur la période 2018-2025, Meta a encaissé 947 milliards de dollars de chiffre d'affaires et dégagé 294 milliards de résultat net. Les 12,47 milliards de sanctions qui la visent représentent 1,32 % de son chiffre d'affaires cumulé et 4,24 % de son résultat net. En 2025, l'entreprise réalise 551 millions de dollars par jour. Quinze ans de sanctions mondiales équivalent donc à 22,7 jours de son activité.

L'écart entre les groupes interdit pourtant de parler d'eux au pluriel. Alphabet totalise 233 millions de dollars, soit 0,011 % de son chiffre d'affaires — cent fois moins que Meta. Snap a versé 100 000 dollars en quinze ans, au terme d'un accord de 2014 avec le procureur général du Maryland. Une seule décision assortie d'une pénalité, pour l'ensemble de son existence.

L'ordre de grandeur se lit mieux encore en remontant le temps. En octobre 2018, l'autorité britannique de protection des données inflige à Facebook 500 000 livres pour l'affaire Cambridge Analytica. C'était le plafond légal absolu sous le régime antérieur au RGPD : moins de trois heures du chiffre d'affaires de l'entreprise à cette date.

Le compteur ci-dessous rassemble ces décisions, une par une, avec pour chacune la source qui l'établit. Il est mis à jour à chaque nouvelle décision définitive.

Cette base restera la référence des prochaines analyses : les décisions à venir feront l'objet d'articles distincts, qui renverront ici pour le décompte actualisé.

Le montant prononcé n'est pas le montant payé

Une difficulté méthodologique traverse tout ce travail : aucune plateforme ne publie ses virements. Le versement d'une amende n'est établi que dans trois cas — un rapport financier qui mentionne le décaissement, un régulateur qui confirme la réception, ou un fonds d'indemnisation effectivement distribué. Hors de là, on connaît le montant de la décision, pas son encaissement.

Appliquée au corpus, cette exigence donne un résultat sévère. Sur les 14,40 milliards prononcés, 45 % seulement ont une sortie de caisse documentée. Et 26 % sont contestés en recours : cet argent n'a jamais quitté les caisses, et le montant peut encore bouger.

La plus lourde amende jamais prononcée au titre du RGPD illustre le décalage. En mai 2023, l'autorité irlandaise inflige 1,2 milliard d'euros à Meta pour avoir maintenu ses transferts de données vers les États-Unis après l'arrêt Schrems II. Trois ans plus tard, la décision est toujours contestée devant le Tribunal de l'Union européenne. En droit irlandais, la confirmation d'une amende par la Circuit Court la rend exécutoire — elle n'atteste pas son paiement, et ces deux choses sont régulièrement confondues.

Quand l'argent sort vraiment, sa dilution est un sujet en soi. Le règlement de l'affaire Cambridge Analytica devant la justice californienne portait sur 725 millions de dollars, la plus grosse indemnisation jamais obtenue dans un contentieux collectif de protection des données. Dix-neuf millions de demandes ont été validées, sur environ 250 millions de personnes éligibles. Montant moyen effectivement versé : 29,43 dollars.

À l'inverse, le versement le mieux documenté du corpus est aussi l'un des plus petits. Les 500 000 livres de l'autorité britannique ont bien été payées, en octobre 2019 — après que Facebook a d'abord attaqué la décision en invoquant partialité et irrégularité de procédure, puis conclu un accord où les deux parties retirent leurs recours. L'entreprise paie sans reconnaître sa responsabilité.

Les décisions qui ont changé quelque chose ne sont pas les plus lourdes

Le corpus fait apparaître une dissociation que les montants masquent : les sanctions qui ont effectivement modifié une pratique ne sont pas celles qui ont coûté le plus cher.

En décembre 2021, la CNIL sanctionne Facebook de 60 millions d'euros pour avoir rendu le refus des cookies plus difficile que leur acceptation. La sanction est assortie d'une injonction sous astreinte de 100 000 euros par jour. Sept mois plus tard, un bouton « Autoriser uniquement les cookies essentiels » est en place et l'autorité clôt l'injonction. Ce n'est pas l'amende qui a produit ce résultat, c'est le compteur journalier.

En février 2019, l'autorité allemande de la concurrence interdit à Facebook de croiser sans consentement les données issues de ses propres services et de sites tiers. Aucune amende — une interdiction sèche, confirmée ensuite par la Cour fédérale de justice puis, en 2023, par la Cour de justice de l'Union européenne. Zéro euro, et une doctrine européenne durablement modifiée.

En février 2023, l'autorité coréenne de protection des données sanctionne Meta pour avoir rendu Facebook et Instagram inutilisables en cas de refus de fournir ses données comportementales. Montant : 6,6 millions de wons, environ 5 000 dollars. Le communiqué coréen cite lui-même, dans le même passage, les 390 millions d'euros prononcés au même moment par l'autorité irlandaise sur un grief voisin. Deux régulateurs, un manquement comparable, un rapport de un à quatre-vingt mille. Ce qui distingue la décision coréenne n'est pas son montant : c'est l'injonction qui l'accompagne.

Enfin, après la décision de la Commission européenne d'avril 2025 au titre du règlement sur les marchés numériques, Meta a abandonné son modèle « consentir ou payer » et introduit une publicité moins personnalisée. Le changement de modèle publicitaire en Europe pèse incomparablement plus lourd que les 200 millions d'euros de l'amende — que l'entreprise conteste d'ailleurs depuis juillet 2025.

Quatre décisions, quatre effets réels, et aucune corrélation avec les sommes en jeu. La lecture qu'on peut en tirer : ce sont les obligations de faire, assorties d'un contrôle, qui déplacent les pratiques. Pas les montants.

L'Europe agit à trois niveaux, dont deux restent invisibles

La répartition géographique des sanctions déforme la perception. Les États-Unis et l'Irlande concentrent 94 % du total prononcé. Les douze autres juridictions se partagent le reste.

La place de l'Irlande n'est pas une singularité nationale. Le RGPD organise un guichet unique : une plateforme établie dans un État membre y est supervisée pour toute l'Union. Les sièges européens de Meta, TikTok et X étant à Dublin, c'est l'autorité irlandaise qui instruit — et ses décisions s'appliquent à tous les utilisateurs européens.

Un deuxième échelon n'apparaît dans aucun total, alors qu'il a produit certains des plus gros montants. Le Comité européen de la protection des données ne prononce aucune amende, mais l'article 65 du RGPD lui permet d'imposer sa décision à une autorité nationale. Il s'en est servi pour alourdir : les 225 millions d'euros infligés à WhatsApp en 2021 résultent d'une instruction de réévaluer à la hausse le chiffrage irlandais initial ; et le grief de manquement au principe d'équité visant les interfaces trompeuses, dans les 345 millions d'euros infligés à TikTok en 2023, ne figurait pas dans le projet irlandais — il a été ajouté sur objection de l'autorité berlinoise.

Le troisième échelon est récent. Depuis 2025, la Commission européenne sanctionne directement : 200 millions d'euros contre Meta au titre du règlement sur les marchés numériques en avril, puis 120 millions contre X en décembre, pour le design trompeur de sa coche bleue, l'opacité de son registre publicitaire et l'entrave à l'accès des chercheurs. Cette dernière est la première décision de non-conformité jamais prononcée au titre du règlement sur les services numériques — un texte qui autorise pourtant des amendes allant jusqu'à 6 % du chiffre d'affaires mondial.

Deux juridictions européennes, en revanche, ne peuvent rien ajouter à ce compteur. La Cour européenne des droits de l'homme juge les États, pas les entreprises : une plateforme ne peut pas y être défenderesse. Et la Cour de justice de l'Union ne prononce pas d'amende — elle tranche les recours. Leur influence sur les montants est considérable, leur contribution directe est nulle.

Hors de ces deux pôles, le vide est presque complet. Un balayage systématique de l'Asie et de l'Amérique latine n'a permis de retrouver aucune sanction financière définitive contre ces six groupes — ce qui ne prouve pas qu'il n'en existe aucune, seulement qu'aucune n'a été trouvée. Les causes diffèrent : au Japon, l'autorité de protection des données ne dispose pas du pouvoir d'infliger des amendes ; en Inde, le régime de sanctions du texte sur les données personnelles n'entre en vigueur qu'en 2027 ; au Brésil et en Colombie, les autorités ont ordonné des mises en conformité sans sanction pécuniaire.

Quatre mécanismes qui n'agissent pas par le montant

Si les sommes ne sont pas le levier, quels mécanismes le sont ? Quatre pistes ont des précédents documentés — y compris leurs échecs.

🤘 Substituer l'astreinte journalière à l'amende forfaitaire

C'est le seul dispositif du corpus dont l'efficacité ait été mesurée par un régulateur. La CNIL a évalué l'impact de son plan d'action sur les cookies, mené par 94 mises en demeure et 8 sanctions totalisant 421 millions d'euros, en observant 1 000 sites français à forte audience entre janvier 2021 et août 2022. La part des sites déposant plus de six cookies tiers est passée de 24 % à 12 % ; celle des sites n'en déposant aucun, de 20 % à 29 %. En 2022, l'autorité a prononcé sept injonctions sous astreinte et liquidé effectivement l'astreinte dans deux cas — la menace est crédible parce qu'elle est exécutée. Or les textes européens récents autorisent des astreintes allant jusqu'à 5 % du chiffre d'affaires journalier mondial. Appliqué à Meta, ce plafond représenterait de l'ordre de 27 millions de dollars par jour : l'équivalent de l'amende d'avril 2025 serait atteint en une huitaine de jours. Ce niveau n'a jamais été approché. La différence avec une amende forfaitaire tient en une phrase : un montant fixe se provisionne à l'avance et devient un coût d'exploitation, un compteur journalier ne se provisionne pas.

On saura que ça marche quand une autorité européenne appliquera ce plafond à un manquement persistant, et publiera le décompte des jours.

✊ Retirer l'actif produit par l'infraction

La doctrine existe déjà. Depuis 2019, la Federal Trade Commission américaine impose la destruction non seulement des données illicitement collectées, mais des modèles et algorithmes qui en dérivent — dans l'affaire Cambridge Analytica, puis contre Everalbum en 2021, contre WW et Kurbo en 2022, et contre Amazon en 2023. Ce dernier cas est le plus parlant. L'entreprise verse 25 millions de dollars, somme dérisoire à son échelle, mais se voit interdire d'utiliser les enregistrements vocaux d'enfants pour entraîner ses algorithmes. Le régulateur y nomme précisément le mécanisme d'extraction : les schémas d'élocution des enfants différant de ceux des adultes, les enregistrements illicitement conservés constituaient une base précieuse pour entraîner le système à les comprendre, au bénéfice du résultat de l'entreprise et au détriment de la vie privée des mineurs. La limite du dispositif tient à sa vérification — dans l'affaire Everalbum, la destruction effective repose sur un rapport de conformité produit par l'entreprise elle-même.

On saura que ça marche quand une destruction de modèle sera vérifiée par un tiers, et non attestée par celui qui devait la réaliser.

🤘 Confier la supervision à un contrôleur que le contrôlé ne rémunère pas

Sous sa forme la plus répandue, ce levier a échoué. L'ordonnance américaine de 2011 imposait à Facebook des audits biennaux de son programme de confidentialité par un tiers indépendant. Ces évaluations, conduites par PricewaterhouseCoopers et portant sur 2013, 2015 et 2017, ont certifié que les contrôles fonctionnaient avec une efficacité suffisante — pendant toute la période où se déroulait l'affaire Cambridge Analytica. L'organisation EPIC a dû assigner l'autorité américaine pour en obtenir communication. Le vice est structurel : l'auditeur est choisi et rémunéré par l'entreprise auditée. Une variante échappe à cette critique — la décision du Nouveau-Mexique d'août 2026 confie cinq ans de supervision des réformes à un tribunal, non à un prestataire privé. Son efficacité reste à établir : la décision est en appel.

On saura que ça marche quand un rapport de supervision contredira publiquement l'entreprise supervisée.

💪 Baisser le coût de sortie pour rendre le départ possible

C'est la piste la plus séduisante et la plus fragile. L'interopérabilité imposée par le règlement européen sur les marchés numériques a conduit WhatsApp à ouvrir ses conversations aux services tiers en Europe en novembre 2025. Les deux premiers services interconnectés sont BirdyChat et Haiket, largement inconnus. Les messageries qui auraient donné son sens au dispositif refusent d'y entrer : Signal considère qu'une telle interconnexion dégraderait ses standards de protection des données, et Threema invoque une incompatibilité de fond entre modèles de sécurité — identifiants anonymes d'un côté, numéros de téléphone de l'autre. Cette dernière avance surtout une objection qui retourne le levier contre lui-même : l'interopérabilité réduit l'incitation à installer une application alternative, puisqu'on peut joindre ses contacts sans quitter le service dominant. Le précédent historique invite à la même prudence. La littérature économique consacrée à la portabilité du numéro de téléphone mobile documente une baisse des prix, d'autant plus nette que le délai de portage est court — mais aux États-Unis, la première année, 7,8 millions d'abonnés seulement ont changé d'opérateur, et la part de marché s'est déplacée vers les plus grands, qui avaient baissé leurs prix plus agressivement. Réduire le coût de sortie n'affaiblit pas mécaniquement le dominant.

On saura que ça marche quand une messagerie significative acceptera de s'interconnecter sans y perdre ses garanties.

Ce qui sépare les dispositifs qui fonctionnent des autres

Mis côte à côte, ces quatre mécanismes ont un point commun qui n'est pas leur nature juridique. Ceux qui produisent des effets sont ceux où le contrôleur ne dépend ni financièrement ni pratiquement du contrôlé. La CNIL fixe elle-même l'astreinte et constate elle-même la conformité. L'autorité américaine ordonne la destruction et exige un rapport. À l'inverse, l'auditeur rémunéré par Facebook a certifié sept années de contrôles défaillants, et l'interopérabilité dépend du bon vouloir de ceux qui refusent de s'y brancher.

Ce critère éclaire deux propositions souvent avancées. L'incitation fiscale à la conception respectueuse déléguerait l'évaluation à un dispositif de certification, donc à un tiers que l'entreprise finance ou influence — et l'obligation existe déjà : l'article 25 du RGPD impose la protection des données dès la conception, et deux des plus lourdes amendes irlandaises se fondent précisément sur cet article. Quant au blocage pur et simple du service en cas de condamnation, il figure déjà dans le règlement européen sur les services numériques, en dernier recours. Il n'a jamais été utilisé. Une sanction si lourde qu'aucune autorité ne l'actionne n'exerce aucune dissuasion — et elle frapperait d'abord les utilisateurs qu'elle prétend protéger.

L'astreinte, elle, satisfait ce critère : graduée, immédiate, entièrement entre les mains du régulateur, et déjà inscrite dans le droit européen à un niveau que personne n'a encore osé appliquer.

Ce que ce travail ne démontre pas

Trois limites méritent d'être posées, parce qu'elles bornent tout ce qui précède.

Ce corpus mesure des sanctions, pas la valeur extraite des utilisateurs. Affirmer que protéger rapporterait moins que capter suppose de chiffrer les deux termes — seul le premier l'est ici.

Rien dans ce travail ne démontre qu'un des quatre leviers fonctionnerait à l'échelle. Deux évaluations d'efficacité existent, l'une portant sur des sites français et l'autre sur des entreprises pour la plupart petites. C'est peu pour en tirer une politique.

Enfin, Meta représente 31 des 52 décisions recensées. Cet écart reflète autant l'ancienneté du groupe et l'attention que lui portent les régulateurs que son comportement propre. Le compteur mesure aussi, et peut-être d'abord, l'activité de ceux qui sanctionnent.

La base de données complète, sa méthodologie, ses exclusions documentées et le détail des sources de chaque décision sont publiés séparément et mis à jour à chaque nouvelle décision définitive.

à propos

Je m'appelle Damien Van Achter, Je suis journaliste, prof et consultant en innovation et en entrepreneuriat média. Depuis 2005, j'analyse comment fonctionnent nos systèmes informationnels et les enjeux démocratiques qu'ils engendrent.

Au cours du temps, j'ai développé des outils d'analyse qui repèrent les pièges tendus par les entreprises de la tech et certains états, et j'explore des pistes pour en sortir, de manière constructive et avec discernement.

J'explique ici ma démarche, inspirée notamment des travaux de l'historien Timothy Snyder, comment ces analyses sont produites techniquement et humainement, ainsi que leurs limites.

On t'a transféré ce mail ? Tu peux t'abonner en 1 clic pour recevoir mes prochains articles. L'accès est gratuit, je te demande juste ton mail pour pouvoir commenter et poursuivre la conversation.

Tu as des remarques, des suggestions, ou tu veux discuter d'une idée pour avancer dans tes propres projets ?

Jette un oeil à mon agenda 📆
Tu peux aussi te connecter sur LinkedIn, Instagram, Bluesky, Mastodon ou Facebook.

@davanac