Tir groupé contre Facebook

La Commission nationale informatique et libertés (CNIL) vient en effet de mettre en demeure les sociétés Facebook Inc. et Facebook Ireland de se conformer à la loi sur la protection des données personnelles dans un délai de trois mois. Pour bien montrer sa détermination elle a décidé de publier l’intégralité de sa décision, un document de 17 pages qui énumère les manquements reprochés au géant du net.

Dans le viseur de la CNIL en premier lieu sa « Politique d’utilisation des données » qui justifie la combinaison des informations à sa disposition sur les utilisateurs par « le besoin d’améliorer nos systèmes de publicité et de mesure ». La liste des données va des informations fournies lors de la création du compte aux cookies provenant de sites partenaires, en passant par tous les contenus partagés ou consultés, les données des terminaux de connection utilisés ou celles des sites visités « intégrant notamment des boutons J’aime ou Se connecter ». Pour la CNIL, seules trois conditions autoriseraient Facebook à procéder à un tel traitement de données : si celui-ci relève de l’exécution d’un contrat souscrit, ce qui n’est pas le cas; si il ne porte pas atteinte au droit au respect de la vie privée des utilisateurs, ce qui n’est pas le cas non plus. La société devrait donc se conformer à la troisième condition : obtenir leur consentement éclairé. Ce qu’elle ne fait pas.

La CNIL se penche ensuite sur la nature des données collectées. Facebook accepte par exemple les dossiers médicaux comme justificatif d’identité. Données trop sensibles et non pertinentes fait remarquer la Commission. Idem pour les préférences sexuelles, politiques et religieuses qui figurent dans les informations renseignées dans les profils sans qu’aucune information sur leur utilisation ni aucune demande de consentement ne soient apportées. Plus généralement, rien ne permet aux internautes d’exercer leur droit de rectification ou d’opposition aux traitements ou au transfert de leurs données vers les Etats Unis. La récente invalidation du protocole Safe Harbor (qui encadrait les échanges transfrontaliers de données ) par la Cour de justice européenne enlève par ailleurs toute base légale à ces transferts. Enfin, comme son homologue belge, la CNIL pointe le traçage des internautes non inscrits au réseau social via le fameux cookie « datr », déposé à chaque passage sur une page où figurent les boutons J’aime ou Se connecter (comme celles des articles du Monde, de Politis, des communiqués du ministère de la Culture ou… de la CNIL et de la DGCCRF). L’argument de la sécurisation des connections et de la détection des spams ou des robots chercheurs (bots) avancé par Facebook ne saurait justifier ce qui ressemble à un espionnage massif, et la CNIL lui demande de mettre fin à cette pratique ou a minima d’en informer les internautes.

Parallèlement, le réseau social fait l’objet d’une injonction de la Direction générale de la répression des Fraudes. Celle-ci lui demande, dans un délai de deux mois, de « supprimer ou modifier les clauses contractuelles considérées comme interdites à l’égard des utilisateurs non-professionnels » de ses conditions générales d’utilisation. Parmi ces clauses abusives, « le pouvoir discrétionnaire de retirer des contenus ou informations publiées par l’internaute sur le réseau », voire de supprimer son compte, ou celui de « modifier unilatéralement ses conditions d’utilisation sans que l’internaute en soit informé préalablement ou en présumant son accord ».