Applications de rencontres, sites internet, réseaux sociaux : quid des données personnelles ?

En février, notre cœur bat la chamade : chocolats, fleurs, Saint-Valentin… Les couples s’offrent des cadeaux et les célibataires se tournent massivement vers les sites et applications de rencontre pour trouver leur moitié. 

Mais derrière les profils, les likes et les « matchs », une autre réalité se joue : ces plateformes collectent et traitent une grande quantité de données personnelles, parfois très intimes. La recherche de l’amour peut alors devenir périlleuse… surtout pour les données personnelles !

De nombreuses applications mobiles, sites Internet et réseaux sociaux traitent des données personnelles sensibles… le saviez-vous ?

1. Définition des données personnelles (RGPD)

Une donnée personnelle, au sens du RGPD[1] (Règlement Général pour la Protection des Données), est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Concrètement, sur un site de rencontre : des données telles que le nom, le prénom, l’âge, l’adresse mail, le numéro de téléphone ou la localisation sont des données personnelles et font l’objet d’un traitement.

Au sein des données personnelles, il existe une catégorie de données particulières : les données sensibles. Le RGPD définit certaines catégories particulières de données dites « sensibles » (article 9) : notamment les données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que les données génétiques, biométriques, relatives à la santé, à la vie sexuelle ou à l’orientation sexuelle d’une personne.

Les éditeurs des sites et applications et/ou réseaux sociaux sont des « responsables de traitement » au sens du RGPD. À ce titre, ils doivent respecter un ensemble d’obligations encadrant la collecte et l’utilisation des données personnelles.

1. Principe de licéité, loyauté et transparence

Les traitements doivent reposer sur une base légale (par exemple l’exécution du contrat, le consentement, l’intérêt légitime) et les utilisateurs doivent être clairement informés. Des politiques de confidentialité compréhensibles, accessibles et non noyées dans un langage juridique opaque sont attendues.

2. Minimisation, pertinence et limitation de la conservation

Les sites ne doivent collecter que les données strictement nécessaires à la finalité poursuivie (« minimisation ») et ne pas conserver ces données plus longtemps que nécessaire : La CNIL a d’ores et déjà relevé des durées de conservation excessives et l’absence de suppression automatique des comptes inactifs sur certains sites de rencontre.

Lesdits éditeurs ne doivent pas exiger d’informations excessives ou sans lien avec la finalité poursuivie (par exemple des détails trop intrusifs sur la vie sexuelle, l’orientation politique ou religieuse non justifiées ne peuvent être traitées). 

3. Sécurité, confidentialité et responsabilité

Les responsables de traitement doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données 

Plus le responsable de traitement traite des données sensibles, plus ses obligations de sécurité seront importantes. Le 22 janvier 2026, la CNIL a sanctionné FRANCE TRAVAIL (anciennement Pôle Emploi) d’une amende de 5 millions d’euros pour ne pas avoir assuré la sécurité des données des personnes en recherche d’emploi. Ici, aucune donnée de santé n’a, dans les faits été usurpées, mais la CNIL a été sensible à la faiblesse des mesures de sécurité mise en place versus le type de données sensibles traitées. Un mois avant c’était la société NEXPUBLICA qui était condamnée pour des défauts de sécurité à 1.7 millions d’euros.

La CNIL a déjà relevé, lors de contrôles, des défauts importants de sécurité sur certains sites de rencontre, conduisant à des mises en demeure et sanctions.

4. Traitement des données sensibles et consentement explicite

Les traitements portant sur des données sensibles, notamment l’orientation sexuelle, sont en principe interdits, sauf exceptions strictes, comme le consentement explicite de la personne concernée ou certaines finalités spécifiques prévues par la loi. 

Pour les sites de rencontre, la CNIL a insisté sur la nécessité d’un consentement clair, spécifique et distinct pour la collecte de ces données sensibles et pour certaines réutilisations (comme la prospection commerciale). Certains de ces sites ou de ces applications ont fait l’objet de signalements d’utilisateurs pour collecte excessive de données ou fuite de données, conduisant la CNIL à mener des contrôles. Par exemple, une application de rencontres a déjà transmis les données personnelles de ses utilisateurs à d’autres entreprises pour du marketing, sans leur accord. Dans un autre cas, un site de rencontres a subi une violation de données, exposant certaines données de ses utilisateurs à des tiers. (CNIL, Sites et applications de rencontres : comment protéger votre intimité, 25 novembre 2025).

L’usage d’une seule case à cocher pour accepter à la fois les conditions générales, certifier sa majorité et autoriser le traitement de données sensibles a déjà été sanctionné comme insuffisant. 

Il est donc indispensable de s’assurer d’un véritable consentement lors du traitement de toute donnée sensible au sein de vos sites Internet, application mobile ou réseau social.

5. Respect des droits des utilisateurs

Les éditeurs doivent également permettre l’exercice effectif des droits prévus par le RGPD :

• Droit d’accès, rectification, effacement (droit à l’oubli).
• Droit d’opposition (par exemple à la prospection ou à certains ciblages).
• Droit à la portabilité des données (récupérer ses données dans un format structuré).
• Droit à la limitation et à l’information en cas de profilage.

En pratique, cela implique la mise en place de procédures simples (formulaires, adresses électroniques dédiées, rubriques dans les paramètres du compte, etc.) pour permettre aux utilisateurs d’exercer leurs droits.

Le non-respect du RGPD peut entrainer des sanctions pécuniaires importantes pouvant s’élever jusqu’à 20 millions d’euros ou dans le cas d’une entreprise jusqu’à 4 % du chiffre d’affaires annuel mondial. Ces sanctions peuvent être rendues publiques.

À la suite de contrôles menés dès 2014 (avant l’application du RGPD), la CNIL avait mis en demeure 13 sites de rencontres français, dont certains leaders du marché comme Meetic, AdopteUnMec ou Attractive World, en raison de manquements à la loi Informatique et Libertés. La CNIL leur reprochait notamment :

• Collecte de données sensibles (orientation sexuelle, éventuellement opinions, appartenances religieuses) sans garanties suffisantes ni consentement explicite.
• Conservation excessive des données, y compris des profils inactifs ou des messages anciens.
• Défauts d’information des utilisateurs sur l’utilisation de leurs données.
• Sécurité insuffisante, exposant les utilisateurs à des risques de fuite ou d’accès non autorisé.

Ces mises en demeure ont été rendues publiques afin de sensibiliser à la fois les éditeurs de sites et les utilisateurs à la sensibilité des données traitées dans le cadre des rencontres en ligne. 

Quelques années plus tard : La CNIL a prononcé, en 2016 (toujours avant l’entrée en vigueur du RGPD), des sanctions pécuniaires à l’encontre de deux sites de rencontre : Les manquements principaux concernaient le défaut de consentement à la collecte et au traitement. Au sein des deux délibérations, la CNIL considère « qu’en recueillant le consentement des personnes par le biais d’une seule et unique case à cocher relative à trois informations distinctes (la majorité, l’acceptation des CGU et l’acceptation du traitement des données relatives à l’orientation sexuelle) diluant ainsi l’information portant sur les données relatives à l’orientation sexuelle parmi d’autres, la société n’a pas recueilli le consentement exprès des utilisateurs du site internet de la société au traitement de leurs données sensibles [1]».

Le 30 avril 2025, une SOCIETE EDITANT UN SITE WEB DE RENCONTRES DESTINE AUX PERSONNES PARTAGEANT DES CONVICTIONS POLITIQUES SIMILAIRES (procédure simplifiée) a été condamnée à une amende de 20.000 euros pour non-respect des durées de conservation, absence de consentement des personnes sur les données sensibles, et défaut de sécurité.

Avant la mise en ligne d’une application mobile, d’un site Internet et/ou d’un réseau social :

• Identifier les données traitées et les qualifier (données personnelles ? Données sensibles ?)
• S’assurer de la licéité du traitement (base légale, minimisation, légitimation, durée limitée)
• S’assurer d’un réel consentement des personnes concernées
• Informer les personnes concernées
• Sécuriser lesdites données (y compris avec ses propres sous-traitants, tels qu’hébergeur, prestataires informatiques …)
• Documenter sa conformité

La plupart des Sites, Applications ou Réseaux sociaux regorgent de données sensibles…, ce qui implique des obligations importantes.

L’ensemble de l’équipe est à votre disposition pour auditer vos sites, afin de les rendre respectueux du RGPD.