Quand Meta détruit des preuves : le signal que les DSI européennes attendaient sans le savoir

# Quand Meta détruit des preuves : le signal que les DSI européennes attendaient sans le savoir

En 2026, la sanction judiciaire infligée à Meta pour destruction de preuves dans le cadre d'une procédure antitrust aux États-Unis n'est pas qu'un fait divers juridique américain. Pour les directions des systèmes d'information européennes, c'est un révélateur brutal de ce que signifie, concrètement, dépendre d'un acteur dont les pratiques de gouvernance interne vous sont entièrement opaques — et sur lesquelles vous n'avez aucune prise.

Le cas de terrain : une ETI industrielle face à l'injonction du silence

Une ETI industrielle de 800 salariés, implantée dans plusieurs pays d'Europe centrale et occidentale, utilise depuis plusieurs années les outils collaboratifs et publicitaires d'un acteur américain dominant — dont les solutions de messagerie professionnelle et de gestion de communautés internes sont profondément intégrées dans ses processus RH et commerciaux.

Fin 2025, cette entreprise est impliquée dans un litige commercial avec un partenaire. Son service juridique demande à la DSI de produire un historique complet des échanges passés sur les plateformes concernées. Résultat : une partie des données n'est plus accessible. Non parce qu'elles ont été supprimées par l'entreprise elle-même, mais parce que les règles de rétention par défaut de la plateforme avaient été modifiées unilatéralement plusieurs mois auparavant, sans notification explicite à l'administrateur système.

La DSI se retrouve dans une situation kafkaïenne : elle ne peut ni prouver que les données ont existé, ni prouver qu'elles ont disparu de bonne foi. Le contrat de service ne lui accordait aucun droit d'audit sur les politiques internes de conservation. Le support juridique de l'éditeur renvoie vers des clauses de limitation de responsabilité rédigées en droit de l'État de Californie.

Ce cas n'est pas exceptionnel. Il est structurel.

Ce que la sanction contre Meta révèle du modèle

La décision judiciaire concernant Meta — sanctionnée pour avoir fait disparaître des éléments dans le cadre d'une procédure antitrust — met en lumière un enjeu que les juristes européens désignent sous le terme d'*obligations de conservation de preuves* (ou *litigation hold* dans la terminologie anglo-saxonne). Lorsqu'une procédure est ouverte, toute partie concernée est censée geler ses données pertinentes. Le fait qu'un acteur de cette taille ait failli à cette obligation — volontairement ou non — n'est pas anodin.

Pour une ETI européenne, la question n'est pas morale. Elle est opérationnelle et juridique : si l'acteur qui héberge vos communications internes, vos workflows, vos données RH ou commerciales est lui-même incapable — ou peu disposé — à respecter ses propres obligations de conservation dans un contexte judiciaire, que vaut votre propre conformité RGPD ? Que vaut votre capacité à répondre à une injonction d'un tribunal européen ?

La réponse est inconfortable : elle dépend entièrement de la bonne volonté d'un tiers dont le siège social est à l'autre bout de l'Atlantique, dont les obligations légales premières ne sont pas envers vous, et dont les priorités en situation de crise sont d'abord les siennes.

Trois verrouillages que cet épisode met en évidence

1. Le verrouillage de la gouvernance des données

Les contrats de services cloud grand public ou semi-professionnels des acteurs américains dominants sont rédigés pour protéger l'éditeur, pas l'utilisateur. Les clauses de rétention des données, de suppression, de modification unilatérale des conditions de service sont légion. En pratique, une DSI qui n'a pas négocié de contrat entreprise spécifique — et beaucoup de PME/ETI ne le font pas — n'a aucun contrôle réel sur ce qui se passe côté plateforme.

La sanction contre Meta pose la question suivante : si l'éditeur lui-même ne respecte pas ses obligations de conservation dans un cadre judiciaire, comment une ETI cliente pourrait-elle s'appuyer sur cet éditeur pour honorer ses propres obligations légales en Europe ?

2. Le verrouillage de l'auditabilité

Une caractéristique structurelle des plateformes américaines dominantes : elles ne sont pas auditables par leurs clients entreprises. Vous pouvez consulter vos données. Vous ne pouvez pas auditer les politiques internes qui régissent leur traitement, leur durée de vie réelle, leur accessibilité en cas de litige. C'est une asymétrie d'information totale.

En Europe, le cadre RGPD impose en théorie des obligations de transparence aux sous-traitants. Mais l'application de ces obligations à des acteurs non-européens reste, en pratique, une bataille juridique que peu d'ETI ont les moyens de mener.

3. Le verrouillage de la sortie

L'ETI industrielle citée en exemple a envisagé, à la suite de cet incident, de migrer une partie de ses outils collaboratifs vers une solution hébergée en Europe. Elle s'est heurtée à un problème classique : plusieurs années d'historique de communications, de documents partagés, de workflows automatisés construits autour des APIs de la plateforme dominante. La migration n'est pas impossible, mais elle représente un chantier de plusieurs mois, mobilisant des ressources internes déjà sous tension.

C'est précisément la logique du verrouillage par l'historique : plus vous attendez, plus le coût de sortie augmente. La dépendance n'est pas seulement technique. Elle est temporelle.

Ce que les DSI peuvent faire — sans liste miracle

L'enjeu n'est pas de remplacer demain l'ensemble des outils en place. C'est d'adopter une posture de lucidité contractuelle et architecturale.

Premièrement, cartographier les données à forte valeur juridique ou stratégique et identifier lesquelles sont aujourd'hui hébergées chez des tiers sans garantie contractuelle de conservation et d'auditabilité. Cette cartographie est souvent absente dans les PME/ETI.

Deuxièmement, distinguer ce qui relève du confort opérationnel (un outil de messagerie grand public pour des échanges informels) de ce qui relève de la traçabilité obligatoire (communications liées à des décisions contractuelles, données RH, échanges avec des tiers dans un contexte réglementé). Ces deux catégories n'appellent pas la même politique d'hébergement.

Troisièmement, poser la question du droit d'audit lors de tout renouvellement contractuel. Un éditeur qui refuse toute clause d'auditabilité — même partielle — envoie un signal clair sur la nature de la relation qu'il entend avoir avec ses clients.

Enfin, et c'est peut-être le point le plus stratégique : commencer à construire des alternatives de secours, même partielles, chez des acteurs soumis au droit européen. Non pas pour tout migrer immédiatement, mais pour ne plus être en situation de dépendance absolue le jour où une crise juridique, réglementaire ou géopolitique rend la dépendance exclusive intenable.

La conclusion que l'événement impose

La sanction contre Meta pour destruction de preuves n'est pas, pour les DSI européennes, un sujet américain à suivre de loin. C'est un cas d'école sur ce que signifie déléguer la gouvernance de ses données à un acteur dont la priorité, en situation de stress judiciaire ou réglementaire, n'est pas votre conformité.

En 2026, le cadre légal européen — entre le Data Act, le renforcement du RGPD et les premières applications de l'AI Act — crée des obligations croissantes pour les entreprises sur la traçabilité et la conservation de leurs données. Ces obligations ne peuvent pas être honorées si les infrastructures sous-jacentes sont gérées par des tiers opaques, non auditables, et soumis à un droit étranger.

Ce n'est pas une question idéologique. C'est une question de gestion du risque juridique et opérationnel. Et c'est précisément ce type de risque que les acteurs européens du cloud et de la collaboration — ceux qui acceptent d'être audités, ceux dont les centres de données sont sur le sol européen, ceux dont les contrats sont soumis au droit français ou allemand — ont la capacité de couvrir différemment.

La dépendance n'est jamais gratuite. Parfois, c'est un tribunal qui présente la facture.