Cette sanction fait suite à l'adoption début décembre de trois décisions contraignantes du comité européen de la protection des données (CEPD), le régulateur européen du secteur.

Les deux premières concernaient des infractions liées aux réseaux sociaux Facebook, pour lequel l'amende s'élève à 210 millions d'euros, et Instagram, autre filiale de Meta, visée par 180 millions d'euros.

La troisième décision, concernant WhatsApp, a été notifiée plus tard au régulateur irlandais et fera l'objet d'une décision séparée la semaine prochaine.

L'association de défense de la vie privée Noyb, à l'origine des trois plaintes contre le groupe, déposées le 25 mai 2018, date d'entrée en vigueur du RGPD, avait accusé Meta de réinterpréter le consentement "comme un simple contrat de droit civil", qui ne permet pas de refuser la publicité ciblée.

En octobre 2021, l'autorité irlandaise avait proposé à l'origine un projet de décision qui validait la base juridique utilisée par Facebook et suggérait une amende de 26 à 36 millions d'euros pour défaut de transparence.

La Cnil française et d'autres régulateurs étaient montés au créneau face à ce montant jugé largement insuffisant. Ils avaient demandé au CEPD de juger le différend, et ce dernier leur a donné raison sur la question de la base juridique.

"Au lieu d'avoir une option 'oui/non' pour les publicités personnalisées, (Meta) a simplement déplacé la clause de consentement dans les termes et conditions. Ce n'est pas seulement injuste mais clairement illégal", a commenté le juriste autrichien Max Schrems, fondateur de Noyb, dans un communiqué.

"Nous ne connaissons aucune autre entreprise qui a tenté d'ignorer le RGPD d'une manière si arrogante", a-t-il ajouté mercredi.

David contre Goliath

La Noyb s'est félicitée d'une décision qui, estime-t-elle, forcera Meta à mettre en place "une option de consentement" pour l'utilisation des données personnelles, faute de quoi l'entreprise ne pourra pas les utiliser pour de la publicité personnalisée.

Tel un David ayant vaincu Goliath, Max Schrems s'est aussi réjoui sur Twitter: "Noyb (...) a gagné contre Meta" et "la CEPD a forcé la DPC à changer sa décision".

Meta dispose de trois mois pour "mettre ses opérations de traitement de données en conformité", a précisé la DPC.

Meta se dit "déçu" et entend faire appel, selon une déclaration transmise à l'AFP.

"Le débat autour des bases juridiques" pour le traitement des données personnelles "dure depuis un certain temps et les entreprises sont confrontées à un manque de certitudes réglementaires sur la question", estime l'entreprise.

"Ces décisions n'empêchent pas la publicité ciblée ou personnalisée" et "les annonceurs peuvent continuer à utiliser nos plateformes pour atteindre des clients potentiels", ajoute Meta.

Le géant californien estime en outre que la DPC ne lui impose pas de mettre en place une option de consentement et dit évaluer une variété de solutions pour changer la base légale du traitement des données.

Le gendarme irlandais a déjà condamné le géant californien en septembre à une amende de 405 millions d'euros pour des manquements dans le traitement des données de mineurs, et en novembre à hauteur de 265 millions d'euros pour ne pas avoir protégé suffisamment les données de ses utilisateurs.

Pour Dan Ives, de Wedbush, cette nouvelle amende et les entraves à l'utilisation des données personnelles de ses usagers par Meta pourrait lui infliger "un gros coup dans l'estomac avec 5% à 7% de ses recettes publicitaires menacées".

"Cela ajoute de la difficulté à un environnement déjà compliqué pour la publicité numérique pour" Mark Zuckerberg, le fondateur de Facebook et Meta, poursuit l'analyste qui souligne toutefois que Wall Street mise sur la procédure d'appel, qui va encore "repousser" les conséquences concrètes des décisions des régulateurs européens.