[Brèves] Transmission de données de Whatsapp à Facebook : mise en demeure publique pour absence de base légale

Dans une décision du 27 novembre 2017, publiée le 18 décembre 2017, la présidente de la CNIL a mis la société Whatsapp en demeure de procéder légalement à la transmission des données de ses utilisateurs à Facebook, notamment en obtenant leur consentement (CNIL, 27 novembre 2017, délibération n° MED 2017-075 N° Lexbase : X0036AUU).

A la suite du rachat de la société Whatsapp par la société Facebook, les données des utilisateurs de la première ont été transmises à la seconde pour trois finalités : le ciblage publicitaire, la sécurité et l'évaluation et l'amélioration des services ("business intelligence"). La CNIL a mené des investigations qui ont permis de constater plusieurs manquements à loi "Informatique et Libertés" (loi n° 78-17 N° Lexbase : L8794AGS).

Selon la CNIL, si la finalité de sécurité peut être regardée comme essentielle au bon fonctionnement de l'application, il en va différemment de la finalité de "business intelligence" qui via l'analyse du comportement des utilisateurs de l'application, vise à améliorer ses performances et à optimiser son exploitation. La transmission de données de Whatsapp vers Facebook pour cette finalité de "business intelligence" ne reposait sur aucune des bases légales qu'exige, pour tout traitement, la loi informatique et libertés. En particulier, ni le consentement des utilisateurs ni l'intérêt légitime de Whatsapp ne peuvent être invoqués dans les circonstances de l'espèce. En effet, d'une part, le consentement des utilisateurs n'est pas valablement recueilli car il n'est pas spécifique à cette finalité et il n'est pas libre (le seul moyen de s'opposer à la transmission des données pour la finalité accessoires de "business intelligence" est de désinstaller l'application.

Par ailleurs, les services de la CNIL ont demandé à plusieurs reprises à la société Whatsapp de leur communiquer un échantillon des données des utilisateurs français transmises à la société Facebook. Elle a indiqué ne pas être en mesure de fournir ces informations dans la mesure où, étant installée aux Etats-Unis, elle s'estime uniquement soumise à la législation de ce pays. La CNIL, qui est compétente dès lors qu'un opérateur met en oeuvre des moyens de traitement situés en France, n'a donc pas été en mesure d'examiner pleinement la conformité des traitements mis en oeuvre par la société, en raison du manquement de celle-ci à son obligation de coopérer avec la Commission résultant de l'article 21 de la loi "Informatique et Libertés". La Présidente de la CNIL a donc décidé de mettre en demeure la société Whatsapp de se conformer à la loi dans un délai d'un mois.

© Reproduction interdite, sauf autorisation écrite préalable