Dans une décision du 27 avril 2017 (Cnil, délibération n° SAN-2017-006, 27 avril 2017
N° Lexbase : X5559AT3), la Cnil a prononcé une sanction de 150 000 euros, rendue publique le 16 mai 2017, à l'encontre de Facebook pour de nombreux manquements à la loi "Informatique et Libertés" (loi n° 78-17 du 6 janvier 2017
N° Lexbase : L8794AGS).
Concernant la combinaison de données dont font l'objet les utilisateurs de Facebook, elle a considéré que ce traitement est effectué en l'absence de base légale. En effet, si les utilisateurs disposent de moyens pour maîtriser l'affichage de la publicité ciblée, ils ne consentent pas à la combinaison massive de leurs données et ne peuvent s'y opposer, que ce soit lors de la création de leur compte ou
a posteriori. Ils sont donc dépourvus de tout contrôle sur cette combinaison.
Concernant la collecte des données de navigation des internautes,
via le
cookie "datr", l'information dispensée
via le bandeau d'information relatif aux
cookies est jugée imprécise. En effet, cette mention ne fait qu'indiquer que des informations sont collectées "[...]
sur et en dehors de Facebook via
les cookies", ce qui ne permet pas aux internautes d'être clairement informés et de comprendre que leurs données sont systématiquement collectées dès lors qu'ils naviguent sur un site tiers comportant un module social. Cette collecte massive de données effectuée
via le
cookie "datr" est jugée déloyale par la Cnil, en l'absence d'information claire et précise. Sur les autres manquements, la formation restreinte considère que :
- les sociétés ne délivrent aucune information immédiate aux internautes sur leurs droits et sur l'utilisation qui sera faite de leurs données notamment sur le formulaire d'inscription au service ;
- les sociétés ne recueillent pas le consentement exprès des internautes lorsqu'ils renseignent des données sensibles dans leurs profils (ex : leurs opinions politiques, religieuses ou leur orientation sexuelle), puisqu'aucune information spécifique sur leur caractère sensible n'est délivrée lorsque les internautes complètent leurs profils et renseignent de telles données ;
- en renvoyant au paramétrage du navigateur, les sociétés ne permettent pas aux utilisateurs de s'opposer valablement aux
cookies déposés sur leur équipement terminal ;
- les sociétés ne démontrent pas en quoi la conservation de l'intégralité des adresses IP des internautes pendant toute la durée de vie de leur compte est nécessaire.
© Reproduction interdite, sauf autorisation écrite préalable
