Données personnelles, cookies : La CNIL condamne Facebook à 150 000 euros d’amende

Cette condamnation n’a rien d’une surprise. Rappelé à l’ordre à de multiples reprises l’an passé, Facebook avait même bénéficié d’un sursis de trois mois pour se mettre en conformité.

Las, le réseau social n’a pas répondu aux exigences de la Commission concernant ses méthodes de collecte et d’utilisation des données personnelles des utilisateurs français. Le 16 mai, la CNIL l’a donc condamné à 150 000 euros d’amende pour « de nombreux manquements à la Loi informatique et libertés ». Parmi les griefs, « il a notamment été constaté que Facebook procédait à la combinaison massive des données personnelles des internautes à des fins de ciblage publicitaire. Il a aussi été constaté qu’il traçait à leur insu les internautes, avec ou sans compte, sur des sites tiers via un cookie ».

Rappelé à l’ordre à de multiple reprises

Les cookies sont de petits fichiers installés par un site sur le disque dur d’un internaute. Ils recueillent ses données de navigation, c’est-à-dire son activité en ligne (les sites visités, etc.) et certains paramètres (comme les mots de passe ou un panier d’achats), et ce, afin de faciliter sa navigation. Facebook utilise notamment ces cookies pour proposer des publicités ciblées. Nerfs de la guerre du réseau social puisqu’il en tire plus de 90% de ses revenus.

Une pratique déjà dénoncée par la CNIL belge et pour laquelle Facebook a été condamné en 2015. Toutefois, le réseau social rechigne toujours à y renoncer. En cause, le cookie « Datr ». La collecte massive de données effectuée via ce cookie est « déloyale en l’absence d’information claire et précise », indique la CNIL dans un communiqué.

Cookies et collecte des données en cause

En effet, « le bandeau d’information relatif aux cookies est imprécise » en ce qu’il « ne permet pas aux internautes d’être clairement informés et de comprendre que leurs données sont systématiquement collectées dès lors qu’ils naviguent sur un site tiers comportant un module social. »
Par ailleurs, la combinaison de données dont font l’objet les utilisateurs de Facebook se fait « en l’absence de base légale ».

« En effet, si les utilisateurs disposent de moyens pour maitriser l’affichage de la publicité ciblée, ils ne consentent pas à la combinaison massive de leurs données et ne peuvent s’y opposer, que ce soit lors de la création de leur compte ou a posteriori. Ils sont donc dépourvus de tout contrôle sur cette combinaison. »

Défaut de consentement et d’information

La CNIL reproche également à Facebook un manque d’information sur le traitement qui est fait des données collectées, notamment sur le formulaire d’inscription du site, mais également un défaut de consentement exprès des internautes lorsqu’ils renseignent des données sensibles dans leurs profils. Les informations collectées touchent aux opinions politiques, religieuses et même à l’orientation sexuelle. Des données collectées et stockées sans limite de temps. Facebook ne permet pas aux internautes de « s’opposer valablement aux cookies déposés sur leur équipement terminal ».
En outre, « les sociétés ne démontrent pas en quoi la conservation de l’intégralité des adresses IP des internautes pendant toute la durée de vie de leur compte est nécessaire. »

Alors oui, 150 000 euros d’amende, pour Facebook et ses 1,2 milliard d’utilisateurs, c’est une paille, 0,005% du dernier bénéfice trimestriel de Facebook, précise Le Figaro. Cela représente 7 minutes de gain grâce à la publicité, la firme pèse aujourd’hui 435 milliards de dollars en bourse.

Une amende amenée à peser des milliards

« Nous prenons acte de la décision de la Cnil, avec laquelle nous sommes respectueusement en désaccord », a tout de même annoncé Facebook, sans préciser s’il faisait appel de la décision devant le Conseil d’Etat. Menlo Park a 4 mois pour le faire.

« Facebook respecte depuis longtemps la loi européenne sur la protection des données, depuis que nous avons choisi de nous établir en Irlande. Nous restons disponibles pour travailler avec la Cnil autour de ces questions, alors que nous nous préparons pour la nouvelle réglementation européenne sur la protection des données en 2018 ».

Et la firme ferait mieux de s’y préparer puisque les choses pourraient prendre une tout autre tournure : le règlement européen en préparation jouira d’un arsenal de sanctions des plus dissuasifs : en cas de manquement, le montant de l’amende pourrait atteindre 4% de son chiffre d’affaires mondial, soit des milliards d’euros. Une somme qui laissera sans doute à réfléchir…