Amende DPC de 11 M€ pour Tinder : un téléchargement de données en libre-service doit dire ce qu'il omet

Si votre site ou votre application permet aux personnes de télécharger leurs propres données, ou les leur affiche dans un portail de confidentialité ou un centre de préférences, vérifiez ce que cet outil laisse de côté. Le 13 novembre 2026, la Data Protection Commission (DPC) irlandaise a annoncé une amende de 11 millions d'euros contre MTCH Technology Services Limited, la société de Match Group qui exploite Tinder. L'outil « Download My Data » de Tinder ne fournissait aux utilisateurs qu'une partie de leurs données personnelles, sans le leur dire.

Amende DPC de 11 M€ pour Tinder : un téléchargement de données en libre-service doit dire ce qu'il omet

La décision de la DPC

La DPC a ouvert l'enquête de sa propre initiative en janvier 2020, en tant qu'autorité de contrôle chef de file pour MTCH dans l'UE. Elle a examiné la façon dont Tinder répondait aux utilisateurs qui demandaient une copie de leurs données.

Tinder traitait ces demandes au moyen d'un outil automatisé appelé « Download My Data ». La DPC a constaté que l'outil ne fournissait pas aux utilisateurs toutes leurs données personnelles. Certaines catégories d'informations étaient omises sans que l'utilisateur en soit informé, ou fournies uniquement sous forme résumée. Cela enfreint l'article 15, paragraphe 3, du RGPD, qui donne à toute personne le droit d'obtenir une copie des données personnelles qu'une entreprise traite à son sujet.

Le communiqué de la DPC ne précise pas les catégories manquantes. RTÉ, rapportant les propos de la commissaire Niamh Sweeney, indique qu'une partie de l'activité était restituée sous forme de totaux quotidiens, comme le nombre de swipes ou de matchs un jour donné, et que des données analytiques pouvant inclure le genre et la localisation n'étaient pas incluses.

La décision comporte trois volets :

• Un rappel à l'ordre
• Une amende de 11 millions d'euros
• Une injonction de mettre le traitement en conformité dans un délai de trois mois

Match Group a annoncé qu'il ferait appel et affirme que Tinder a coopéré avec la DPC tout au long de l'enquête. La DPC publiera la décision complète ultérieurement.

Un téléchargement partiel est permis, un téléchargement qui le tait ne l'est pas

La DPC n'a pas dit qu'un outil en libre-service devait tout restituer. Le commissaire adjoint Graham Doyle a déclaré que les outils d'accès automatisés peuvent être un moyen utile et efficace de donner accès aux données personnelles, et a ajouté, en substance :

Ces outils n'ont pas à fournir une copie complète des données personnelles, mais ils doivent être loyaux et transparents envers les personnes quant à l'étendue des données fournies.

Les utilisateurs de Tinder n'avaient aucun moyen de savoir que le fichier était incomplet. Une personne qui télécharge ses données et n'y voit aucun historique de localisation en conclut qu'aucun n'est conservé. Elle ne fera pas de seconde demande pour des données dont elle ignore l'existence, et le droit d'accès s'arrête à ce que l'outil sait exporter.

Cela rejoint les lignes directrices du CEPD sur le droit d'accès. Un outil en libre-service est un moyen admis de répondre à une demande et, lorsque les données sont volumineuses, l'entreprise peut les fournir par niveaux, à condition que la personne puisse obtenir chaque niveau si elle le demande.

Selon la DPC, des dizaines de milliers d'utilisateurs ont utilisé l'outil pendant la période examinée.

Vérifier votre propre outil

Le même test s'applique à tout outil qui montre aux personnes leurs propres données : un export de compte, une page « mes données », un portail de confidentialité ou un centre de préférences.

Recensez tous les systèmes qui contiennent des données personnelles

Un export est généralement construit à partir de la base de données principale du produit. Les événements d'analyse, les audiences des plateformes publicitaires, les tickets de support, les notes du CRM, les preuves de consentement et les attributs déduits, comme les segments ou les scores, se trouvent ailleurs et sont oubliés. Comparez l'export à votre registre des activités de traitement, et non à la base de données dont il est tiré.

Dites ce que couvre le téléchargement

Si l'outil ne restitue qu'une partie des données, dites-le sur l'écran où la personne lance le téléchargement et dans le fichier lui-même. Nommez les catégories qui ne sont pas incluses.

Proposez un moyen d'obtenir le reste

À côté du téléchargement, ajoutez un lien vers un formulaire de demande de copie complète. La personne qui passe par ce formulaire fait une demande d'accès ordinaire, et le délai d'un mois s'applique.

Ne remplacez pas les données par des résumés

Tinder ne fournissait certaines données que sous forme résumée. Un nombre d'événements n'est pas une copie des événements. Si vous conservez les enregistrements détaillés, la personne y a droit.

Revoyez l'outil quand le produit change

Une nouvelle fonctionnalité, un nouveau SDK ou un nouvel outil d'analyse apporte souvent une nouvelle catégorie de données personnelles. Ajoutez l'export à votre liste de contrôle de mise en production pour qu'il ne prenne pas de retard sur le produit.

Les centres de préférences ont la même lacune

Un centre de préférences fait une promesse comparable : voici ce que vous avez accepté. S'il affiche le choix concernant la newsletter mais pas le consentement aux SMS, les choix de cookies faits dans la bannière ou le réglage de personnalisation de l'application, la personne voit une image partielle et n'a aucune raison d'en douter.

La solution est la même. Affichez tous les consentements sur lesquels vous vous appuyez, ou indiquez lesquels sont gérés ailleurs et ajoutez un lien vers eux.

Les demandes de données dans UniConsent

Le Privacy Portal d'UniConsent offre à vos utilisateurs une page, sur votre propre domaine, pour gérer leur consentement et leurs préférences marketing et pour déposer des demandes d'accès, d'effacement, de rectification et de portabilité. Chaque demande est suivie par rapport à son délai légal, et chaque étape est journalisée avec un horodatage.

Vous pouvez placer le formulaire de demande à côté de votre propre outil de téléchargement. Un utilisateur qui a besoin de plus que ce que l'outil fournit dispose ainsi d'un moyen clair de le demander.

Les choix de consentement issus de la bannière cookies, de vos formulaires et de vos applications sont conservés ensemble avec leur historique, de sorte que la partie consentement d'une réponse à une demande d'accès est complète. Voir la piste d'audit du consentement.

Inscrivez-vous et mettez en place un portail de confidentialité pour votre site.

Pour d'autres décisions récentes, consultez le panorama des amendes RGPD de 2026.

Références

• Data Protection Commission fines MTCH €11 million following Inquiry into Tinder users' personal data requests - DPC
• Tinder owner fined €11m by Data Protection Commission - RTÉ
• Data Protection Commission fines Tinder owner €11m - Irish Examiner
• Guidelines 01/2022 on data subject rights - Right of access - EDPB