Commission de protection de la vie privée v. Facebook : 1-0 ?
Publié le 15/06/2015 par Thierry Léonard, Camille Bourguignon, Hervé Jacquemin
La Commission belge de protection de la vie privée a-t-elle déclaré la guerre à Facebook ? Elle s’intéresse en tout cas de très près au respect de la législation sur la protection des données par le géant mondial des réseaux sociaux. Le 13 mai 2015, elle a émis une recommandation d’initiative concernant Facebook, faisant suite aux récentes modifications des conditions générales d’utilisation du réseau social et à la procédure de contrôle qu’elles ont suscitée auprès de l’autorité belge.
Cette recommandation se focalise sur la problématique spécifique du traçage dont font l’objet les utilisateurs de Facebook, jugée contraire aux dispositions légales de protection des données. Une seconde recommandation, portant sur d’autres thématiques, est annoncée dans le courant 2015.
Sans surprise, Facebook conteste la compétence de la Commission, ainsi que l’application de la législation belge, considérant qu’elle est soumise aux lois et autorités irlandaises (Facebook Ireland Ltd étant d’après elle le responsable du traitement). Aussi la Commission s’emploie-t-elle à démontrer que tel n’est pas le cas, en se fondant notamment sur les enseignements de l’arrêt Google Spain de la Cour de justice de l’Union européenne (rendu le 13 mai 2014). Elle estime que la sprl Facebook Belgium est un « établissement » dont les activités sont indissociablement liées à celles du responsable du traitement (que celui-ci soit la société californienne ou irlandaise), ce qui rend la loi belge applicable. On peut espérer que l’adoption du nouveau règlement sur la protection des données –en discussion au Parlement européen- permette une soumission moins discutable des géants du web à la réglementation vie privée européenne.
Sur le fond, le principal grief développé concerne le traçage réalisé au moyen des modules sociaux (social plug-ins). Ces modules sont conçus pour partager le contenu d’une source externe (une page d’un site internet) avec le réseau social et ainsi assurer sa promotion dans le réseau. On vise par exemple l’emploi des boutons « j’aime » ou « partager », qui peuvent être actionnés sur de nombreux sites de tiers. Or, leur utilisation – liée à la technique des cookies – permet de communiquer à Facebook diverses informations sur les sites web qui ont été visités par l’utilisateur mais aussi, de suivre les habitudes de navigation de l’utilisateur sur un grand nombre de sites internet.
La Commission constate ainsi que le réseau social prévoit dans ses conditions d’utilisation que toutes les informations collectées par le réseau sont utilisés à des fins publicitaires. Peu importe par ailleurs que les utilisateurs soient -au moment de l’utilisation du module social- connectés ou non à Facebook, aient leur compte désactivé ou soient même désinscrits de la réception de publicités ciblées de Facebook. Elle note aussi que Facebook est en mesure de connaître les habitudes de navigation des personnes qui ne sont pas utilisateurs du réseau mais qui, par exemple, visitent une page internet du domaine Facebook.com (une page fan ou la page d’un événement) ou des sites intégrant des modules sociaux. La Commission relève que ce système de traçage implique divers manquements aux lois sur la protection des données : il s’opère sans le consentement préalable libre, spécifique et informé de la personne concernée, par exemple. Il permet la collecte d’informations sur des non-utilisateurs Facebook -ce qui n’est pas pertinent- ou de données d’utilisateurs qui surfent sur des sites tiers sans interagir avec les modules sociaux -ce qui est excessif. La Commission formule diverses recommandations à l’attention du réseau social, des titulaires de sites internet et des utilisateurs finaux. Parmi d’autres, la Commission juge que Facebook doit « renoncer à la collecte et à l’utilisation des données d’utilisateurs par l’intermédiaire des cookies et de modules sociaux », sauf, notamment, moyennant le consentement indubitable des personnes concernées.
Sans se lancer ici dans une discussion des arguments avancés, on doit saluer l’initiative de la Commission, tout en regrettant immédiatement que le moyen choisi -la recommandation- soit dénué de toute force contraignante. D’autres mesures pourraient toutefois être prises (transmission du dossier au tribunal de première instance ou au Parquet, la violation des règles en cause étant passible de sanctions pénales assorties, le cas échéant, de l’interdiction de gérer des traitements de données à caractère personnel), sans compter les procédures diligentées par les utilisateurs (action en cessation ou action en réparation collective, par exemple).
Garantir une réelle effectivité aux règles de protection de la vie privée est une tâche compliquée, d’autant que l’arsenal législatif est très certainement perfectible. Et la Commission belge joue le rôle de David face au Goliath numérique qu’est Facebook. Néanmoins, il offre des moyens coercitifs qu’il convient de mettre en œuvre si l’on veut espérer marquer quelques points en vue de garantir une protection qui apparaît de plus en plus chimérique, face aux capacités de traitements de l’information par les gestionnaires de réseaux sociaux. La Commission belge osera-t-elle se lancer dans cette voie ?
Info de dernière minute
Nous apprenons ce 16 juin 2015 que la Commission a finalement décidé d’aller en justice. Nous vous tiendrons informés.
