Facebook, le réseau datavore

En août, Facebook se faisait épingler par deux autorités régionales allemandes de protection des données. L’une estimait que son système de reconnaissance faciale était illégal. L’autre lui demandait de supprimer le bouton « J’aime ». Associé à un cookie qui semblerait rester actif même quand l’utilisateur est déconnecté, il permet de savoir quels sites et quelles pages il visite.

Deux mois plus tard, le réseau social, qui revendique 800 millions d’utilisateurs, est à nouveau dans le collimateur, accusé une fois de plus de conserver et d’utiliser abusivement les données personnelles de ses membres. L’attaque est cette fois-ci le fait d’un particulier, Max Schrems, étudiant en droit viennois. S’appuyant sur une directive européenne qui garantit à chacun un droit d’accès à ses données personnelles informatisées, il a demandé à Facebook de lui fournir toutes les informations le concernant.

En retour, il a reçu sur CD un dossier de 1 222 pages, plus de trois ans de vie 2.0. Tout y est, ses statuts, ses images et ses documents, ses demandes d’amis, les « j’aime » et les « pokes » qu’il a envoyés, tous ses échanges et ses discussions, les événements Facebook auxquels il a participé, etc. Il a également eu la surprise d’y retrouver quantité d’informations qu’il avait effacées mais qui sont restées gravées dans les mémoires du réseau.

Facebook ayant un siège en Irlande, et étant de ce fait tenu de respecter le droit européen, il a déposé 22 plaintes auprès de l’autorité de protection des données irlandaise. Plainte pour non-effacement de messages ou de tags, pour conservation de données – via le bouton « J’aime » ou la synchronisation du carnet d’adresses ou du téléphone – sans le consentement de l’utilisateur, ou encore pour constitution de « profils fantômes » de membres ou de non-membres.

Un « profil fantôme », c’est, par exemple, votre adresse e-mail associée à celles de toutes les personnes qui vous ont invité à les rejoindre sur le réseau. Que vous soyez inscrit ou non, Facebook sait que vous connaissez un tel et une telle. Et rien ne garantit que lorsqu’un nouvel inscrit synchronise son carnet d’adresses la totalité de ses contacts ne soient pas aspirés et conservés.

Face à la médiatisation de l’affaire, Facebook tente de justifier la persistance de certaines données. Selon le réseau, certains messages n’auraient été que « supprimés » et pas « effacés ». D’autres auraient été effacés du compte de l’émetteur mais pas du destinataire. Des arguments mensongers pour Max Schrems, qui fait remarquer que les règles de confidentialité stipulent noir sur blanc que les messages, même effacés des deux côtés, seront conservés. Il se plaint également que Facebook ne lui ait pas transmis la totalité des données. Il ignore, par exemple, si son visage – une donnée on ne peut plus personnelle – figure dans leur base de données de reconnaissance faciale.

Max Schrems a ouvert un site, Europe versus Facebook, où il donne les procédures à suivre pour réclamer ses données personnelles. 10 000 demandes auraient été enregistrées. Et, au fait, qu’en dit notre Cnil ? Sa nouvelle présidente, Isabelle Falque-Pierrotin, ne semble pas pressée de sévir, comme elle l’explique au Monde  : «  Facebook collecte-t-il des informations sur les personnes, même si elles ne sont pas membres du réseau ? Notre objectif est d’abord d’élucider qui fait quoi et de dialoguer avec Facebook  ». Il est urgent d’attendre.