Le régulateur irlandais des données personnelles a infligé à Tinder une amende de 11 millions d’euros : l’outil qui permet aux utilisateurs de télécharger leurs données ne leur remettait pas tout ce que l’application conserve sur eux.
- La Data Protection Commission (DPC) irlandaise a annoncé sa décision le 13 novembre 2026.
- Elle vise MTCH Technology Services, la société qui exploite Tinder en Europe.
- Le reproche : un outil « Download My Data » incomplet, sans prévenir l’utilisateur.
- Match Group, maison mère de Tinder, annonce son intention de faire appel.
Que reproche exactement le régulateur à Tinder ?
La DPC ne reproche pas une fuite ni un piratage. Le problème porte sur le droit d’accès, c’est-à-dire la possibilité pour chaque membre d’obtenir une copie complète des informations que l’application détient sur lui. Ce droit est inscrit à l’article 15 du RGPD.
Tinder propose pour cela un outil en libre-service, appelé Download My Data, qui génère une archive téléchargeable. Selon le communiqué officiel de la DPC, cet outil était présenté aux utilisateurs comme le moyen d’obtenir une copie de leurs données. En pratique, certaines catégories d’informations étaient omises sans que l’utilisateur en soit averti, ou fournies seulement sous forme de résumé.
Le régulateur en conclut que les données remises par l’outil ne respectaient pas les exigences du droit d’accès. La décision comprend un rappel à l’ordre et l’amende de 11 millions d’euros. Elle a été prise par les trois commissaires de l’autorité.
Combien de célibataires sont concernés ?
La DPC ne donne pas de chiffre précis. Son commissaire adjoint, Graham Doyle, indique dans le communiqué que des dizaines de milliers d’utilisateurs se sont servis de l’outil pendant la période examinée par l’enquête.
Il précise aussi que ces outils automatiques peuvent être utiles et efficaces, et qu’ils n’ont pas l’obligation de fournir une copie complète des données. En revanche, ils doivent être loyaux et transparents sur l’étendue de ce qui est réellement transmis. C’est ce point qui a fait défaut : l’archive donnait l’impression d’être complète alors qu’elle ne l’était pas.
Au-delà de l’amende, la DPC a ordonné à l’exploitant de Tinder de mettre ses traitements en conformité dans un délai de trois mois. La décision complète doit être publiée plus tard.
Pourquoi c’est l’Irlande qui sanctionne, et pas la CNIL ?
Le RGPD prévoit un système de guichet unique. Quand une entreprise a son établissement principal européen dans un pays, l’autorité de ce pays prend la tête des enquêtes, en coopération avec ses homologues. MTCH Technology Services est basée en Irlande : la DPC agit donc comme autorité chef de file, et elle remercie d’ailleurs les autres autorités européennes pour leur coopération.
L’affaire a pris du temps. L’enquête a été ouverte par la DPC de sa propre initiative début 2020. D’après le rapport trimestriel déposé par Match Group auprès du gendarme boursier américain, le groupe a reçu la lettre d’ouverture le 3 février 2020. Elle portait sur le traitement des demandes d’accès et d’effacement, ainsi que sur la durée de conservation des données.
Le même document retrace les étapes suivantes : un projet de décision préliminaire le 8 janvier 2024, une réponse de Match Group le 15 mars 2024, un projet de décision le 9 juillet 2026, puis la décision finale le 13 octobre 2026. L’annonce publique, elle, est intervenue un mois plus tard.
Comment réagit Match Group ?
La maison mère de Tinder, Hinge et Meetic conteste. Dans ce même rapport trimestriel, le groupe affirme disposer de solides arguments de défense et indique son intention de faire appel.
Le groupe précise que les politiques d’accès et de conservation visées étaient, selon lui, largement liées à la protection de la sécurité et de la vie privée de ses membres. Il a passé dans ses comptes une provision de 12,6 millions de dollars pour couvrir cette sanction sur les neuf premiers mois de 2026.
Tant que l’appel n’est pas tranché, la sanction reste contestée. L’ordre de mise en conformité, lui, fixe une échéance claire pour revoir l’outil.
Ce que vous pouvez demander à une appli de rencontre
Une appli de rencontre en sait souvent beaucoup : photos, messages échangés, préférences, localisation, historique des matchs. Le droit d’accès vous permet de savoir ce qu’elle conserve réellement, et c’est gratuit.
Selon la fiche pratique de la CNIL sur le droit d’accès, l’organisme doit vous fournir une copie des données et plusieurs informations : à quoi elles servent, quelles catégories sont collectées, à qui elles sont transmises. Il doit répondre au plus tard dans un délai d’un mois, porté à trois mois si la demande est complexe, à condition de vous prévenir.
Les bons réflexes
Commencez par l’outil de téléchargement proposé dans les réglages de l’appli. Si l’archive vous semble incomplète, écrivez au service dédié à la vie privée ou au délégué à la protection des données, en précisant ce qui manque. La CNIL met à disposition un modèle de courrier.
Gardez une trace de chaque démarche : date de la demande, captures d’écran, réponses reçues. Sans réponse satisfaisante dans le délai, vous pouvez adresser une plainte à la CNIL, qui transmettra si besoin à l’autorité chef de file. Pour une situation sensible, comme un litige ou un harcèlement, un juriste ou une association spécialisée pourra vous orienter.
Questions fréquentes
Mon compte Tinder est-il en danger ?
Rien dans la décision n’évoque une fuite de données. Le reproche porte sur la copie remise aux utilisateurs qui la demandaient, jugée incomplète.
Vais-je toucher une indemnisation ?
Pas automatiquement. Une amende administrative sanctionne l’entreprise, elle ne dédommage pas les membres. Une demande de réparation individuelle relève d’une autre procédure, sur laquelle un juriste pourra vous conseiller.
Puis-je refaire une demande de mes données ?
Oui, à tout moment et gratuitement. Si l’outil évolue après l’ordre de mise en conformité, une nouvelle demande permettra de comparer les deux archives.
