Par une décision du 26 janvier 2016, le réseau social Facebook a été mis en demeure par la CNIL de régulariser sa politique de traitement de données personnelles, et notamment sa politique de collecte de données de navigation. Cette mise en demeure a été rendue publique en raison de la gravité des manquements constatés et du nombre considérable d’utilisateurs du service. Un délai supplémentaire a été accordé à Facebook pour fournir un argumentaire étayant sa défense.
Un contexte de coopération des autorités de contrôle contre le fonctionnement de Facebook
En mars 2015, après une modification par Facebook de sa politique de confidentialité, un groupe a été créé au sein du G29. La procédure amorcée par cinq autorités nationales (France, Belgique, Pays-Bas, Espagne et Land d’Hambourg) a pour objectif d’organiser une action concertée des autorités de contrôle européennes face à Facebook. Après Google, c’est au tour du réseau social de se retrouver au cœur des préoccupations.
En effet, aux termes des investigations menées, les manquements de Facebook au regard du droit européen en matière de protection des données personnelles s’avèrent très nombreux. Par la mise en demeure adressée par la CNIL il y a six mois, cette dernière souhaite contraindre Facebook à corriger sa politique en matière de vie privée.
De nombreux manquements à la Loi Informatique et Libertés
La mise en demeure adressée par la CNIL n’a pas pour objet de se substituer à Facebook pour déterminer les mesures concrètes à mettre en œuvre, mais de relever les manquements devant faire l’objet de correctifs. Plusieurs aspects du fonctionnement de Facebook sont critiqués par l’autorité de contrôle, et en particulier sa politique de collecte de cookies à des fins de traçage des non membres, la durée et la proportionnalité de la collecte des données personnelles, le recueil insuffisant du consentement des internautes, le manque d’information des internautes, l’absence d’outils permettant aux internautes de faire obstacle à la combinaison de leurs données personnelles et le transfert des données aux Etats-Unis.
L’argumentaire en défense de Facebook n’a pas été rendu public mais il est certain que, dès lors que ce sont la maison-mère américaine et la filiale irlandaise qui sont visées, la compétence de l’autorité de contrôle française sera contestée en premier lieu, risquant de faire échapper le réseau social au joug de la CNIL.
Une tentative de régulation de la politique menée par Facebook
Cette première tentative de régulation de l’activité de Facebook, si elle n’était pas suivie de mesures concrètes tendant à mettre en conformité le service, ouvrirait la voie d’une procédure de sanction. Toutefois, la portée des sanctions prononcées par la CNIL resterait insuffisante compte tenu de la puissance financière dont dispose le réseau social. En effet, les sanctions pécuniaires sont plafonnées à un montant maximal de 150.000 €, et, en cas de récidive, jusqu’à 300.000 €.
Pour autant, si celles-ci devaient être prononcées, elles ne suffiraient sans doute pas à s’assurer à terme que le réseau social respecte l’ensemble des règles de protection relatives à la collecte et au traitement de données à caractère personnel. Si le Projet de loi pour une République numérique prévoit de renforcer les pouvoirs de sanction de la CNIL, cette dernière éprouve pour l’instant bien des difficultés à contraindre les Géants du net à respecter la réglementation en vigueur.
Les pratiques de Facebook continuent donc de susciter de vives critiques. En effet, pour mémoire, certaines clauses contenues dans les conditions générales d’utilisation ont été supprimées car déclarées abusives en février dernier par la Direction générale de la concurrence, de la consommation et de la répression des fraudes et la Cour d’appel de Paris. Désormais, c’est sur le terrain du respect de la vie privée que Facebook doit se défendre.