Facebook sanctionné par la CNIL pour de nombreux manquements à la loi Informatique et Libertés

Un article de la Grande Bibliothèque du Droit, le droit partagé.


France >

Fr flag.png


Auteur: Thierry Vallat, Avocat au Barreau de Paris


Mai 2017



Ainsi qu'il fallait s'y attendre, la CNIL nous informe ce 16 mai 2017 que Facebook a été sanctionné pour de nombreux manquements à la loi Informatique et Libertés


La formation restreinte de la CNIL a en effet prononcé une sanction de 150.000 €, rendue publique ce jour , à l’encontre des sociétés Facebook INC et Facebook Ireland.


Suite à une mise en demeure de février 2016 (lire notre article La CNIL met publiquement en demeure Facebook ), la Présidente de la CNIL avait fait injonction à Facebook de collecter loyalement les données de navigation des internautes ne disposant pas de comptes Facebook. Elle demandait aussi que les membres puissent s’opposer à la combinaison de l’ensemble de leurs données à des fins publicitaires.


La CNIL a été déçue sur le retour de Facebook qui n'a pas apporté de réponse satisfaisante à ces manquements.


Rappelons que la CNIL avait procédé à des contrôles sur place, sur pièces et en ligne afin de vérifier la conformité du réseau social à la loi Informatique et Libertés.


Ces actions s’inscrivent dans une démarche européenne à laquelle participent cinq autorités de protection ayant également décidé de mener des investigations (France, Belgique, Pays-Bas, Espagne et Land d’Hambourg) sur les pratiques de FACEBOOK.


Les contrôles conduits par la CNIL ont permis de relever l’existence de nombreux manquements à la loi Informatique et Libertés. Il a notamment été constaté que FACEBOOK procédait à la combinaison massive des données personnelles des internautes à des fins de ciblage publicitaire. Il a aussi été constaté que FACEBOOK traçait à leur insu les internautes, avec ou sans compte, sur des sites tiers via un cookie (cookie « datr »).


Au regard des manquements constatés, la Présidente de la CNIL a décidé, le 26 janvier 2016, de mettre en demeure les sociétés FACEBOOK INC. et FACEBOOK IRELAND de se conformer à la loi Informatique et Libertés, dans un délai de trois mois (renouvelé une fois à la demande de FACEBOOK).


Les deux sociétés ayant adressé à la CNIL des réponses insatisfaisantes à un certain nombre de manquements de cette mise en demeure, la Présidente de la CNIL a désigné un rapporteur afin que soit engagée une procédure de sanction à leur encontre. La formation restreinte, chargée de prononcer les sanctions, s’est donc réunie le 23 mars 2017 et elle a considéré que :


Concernant la combinaison de données dont font l’objet les utilisateurs de FACEBOOK, les sociétés FACEBOOK INC. et FACEBOOK IRELAND effectuent ce traitement en l’absence de base légale. En effet, si les utilisateurs disposent de moyens pour maitriser l’affichage de la publicité ciblée, ils ne consentent pas à la combinaison massive de leurs données et ne peuvent s’y opposer, que ce soit lors de la création de leur compte ou a posteriori. Ils sont donc dépourvus de tout contrôle sur cette combinaison.


Concernant la collecte des données de navigation des internautes, via le cookie « datr », l’information dispensée via le bandeau d’information relatif aux cookies est imprécise. En effet, cette mention ne fait qu’indiquer que des informations sont collectées « [...] sur et en dehors de Facebook via les cookies », ce qui ne permet pas aux internautes d’être clairement informés et de comprendre que leurs données sont systématiquement collectées dès lors qu’ils naviguent sur un site tiers comportant un module social.


Cette collecte massive de données effectuée via le cookie « datr » est déloyale en l’absence d’information claire et précise.


Sur les autres manquements, la formation restreinte considère que :


Les sociétés ne délivrent aucune information immédiate aux internautes sur leurs droits et sur l’utilisation qui sera faite de leurs données notamment sur le formulaire d’inscription au service.


Les sociétés ne recueillent pas le consentement exprès des internautes lorsqu’ils renseignent des données sensibles dans leurs profils (ex : leurs opinions politiques, religieuses ou leur orientation sexuelle). En effet, aucune information spécifique sur leur caractère sensible n’est délivrée lorsque les internautes complètent leurs profils et renseignent de telles données.


En renvoyant au paramétrage du navigateur, les sociétés ne permettent pas aux utilisateurs de s’opposer valablement aux cookies déposés sur leur équipement terminal.


Les sociétés ne démontrent pas en quoi la conservation de l’intégralité des adresses IP des internautes pendant toute la durée de vie de leur compte est nécessaire.


En conséquence, la formation restreinte de la CNIL a décidé de prononcer une sanction de 150.000 € rendue publique à l'encontre des sociétés Facebook INC et Facebook Ireland.


Le montant et la publicité de cette sanction se justifient par le nombre des manquements (6 au total), leur gravité et le nombre important d’utilisateurs en France (33 millions).


La décision de la formation restreinte s’inscrit dans le prolongement des travaux conduits de manière concertée avec les autorités de protection des données de Belgique, d'Allemagne (Land d’Hambourg), d'Espagne, et des Pays-Bas. Ces autorités partagent de nombreux constats même si que leurs procédures portent sur des périmètres parfois différents et s’inscrivent dans des calendriers distincts.


Pour ceux qui s'étonneraient de la modicité de la sanction de 150.000 euros, précisons que ce montant constituait le maximum alors applicable par l'article 47. Mais la loi pour une République numérique du 7 octobre 2016 a augmenté désormais ce plafond maximal des sanctions de la CNIL qui passe de 150.000€ à 3 millions € (anticipation sur l’augmentation du plafond du montant des sanctions par le règlement européen qui sera applicable le 25 mai 2018 et prévoit un plafond pouvant aller jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, 4% du chiffre d’affaires mondial).


La formation restreinte de la CNIL peut également désormais ordonner que les organismes sanctionnés informent individuellement de cette sanction et à leur frais, chacune des personnes concernées.


Retrouvez la délibération de la CNIL du 27 avril 2017 https://www.cnil.fr/sites/default/files/atoms/files/san-2017-006.pdf


(Source: CNIL)