Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Décembre 2015 - n°408 - 409

magazine

ous astreinte de 250 000 € par jour
de non-respect, le président du
tribunal de première instance de
Bruxelles a ordonné, le 9 novembre
dernier, à Facebook Inc., Facebook Ireland
Ltd. et Facebook Belgium de cesser l'enregistrement, via des cookies dits « datr » et
des plug-ins sociaux, des habitudes de navigation des internautes belges ne disposant
pas d'un compte Facebook. Si la décision est
spectaculaire et fortement symbolique, son
impact réel doit être relativisé. En effet, elle ne
concerne que les personnes qui n'ont pas de
compte Facebook, ce qui devient rare. Mais
elle a le grand mérite de révéler au public
la face cachée des boutons « partager »
ou « j'aime » de Facebook qui figurent sur
beaucoup de sites internet. Grâce au cookie
Datr, Facebook peut tracer la navigation
des internautes, sans qu'ils cliquent sur ces
boutons, qu'ils disposent ou non d'un compte
Facebook, que les membres de Facebook
soient connectés ou non au réseau social.
Si l'internaute n'est pas identifié avec son
compte Facebook, l'information que celuici a visité une page web est enregistré sur
un cookie avec un numéro d'identifiant
unique à chaque navigateur. La Cnil belge,
à l'origine de cette action en justice, explique
que « Facebook se trouve ainsi dans une
position unique, étant donné qu'elle peut
facilement relier les habitudes de navigation de ses utilisateurs à leur identité réelle,
à leurs interactions sur les réseaux sociaux
et à des données sensibles telles que des
informations médicales, des préférences
religieuses, sexuelles et politiques ».
Tout a commencé avec la mise à jour de
la Déclaration des droits et responsabilités, mais aussi de sa politique relative aux
données et aux cookies de Facebook, qui
a fâché la commission belge de protection de la vie privée. Celle-ci a commandé
une étude à des chercheurs de l'université
catholique de Louvain et l'université libre
de Bruxelles qui lui ont remis, en février
dernier, un rapport très critique concluant
que Facebook collectait des informations
sur les internautes membres, mais aussi
non-membres sans leur consentement.
Le cookie Datr incriminé serait utilisé à des
fins de sécurité informatique et non publicitaires, selon le réseau social. Il permettrait
de protéger les utilisateurs et de détecter notamment des tentatives d'utilisation
frauduleuse de comptes Facebook. «Le
cookie Datr protège notamment les utilisateurs de Facebook contre les tentatives
de s'approprier leur compte, contre celles

Facebook interdit de tracer
les Belges non-membres
Une ordonnance de référé d'un tribunal belge met en
lumière le rôle joué par les boutons J'aime et Like des
sites internet et impose à Facebook de respecter la
protection des données personnelles.
de leur voler des données ou encore contre les
attaques de robots», explique Alex Stamos,
le responsable en chef de la sécurité de
Facebook. « Nous sommes quotidiennement
confrontés à 400 000 tentatives d'attaques
contre des comptes. Si nous ne pouvons plus
disposer du cookie datr pour les non-utilisateurs de Facebook, nous devrons considérer
tous leurs navigateurs comme dangereux
et la sécurité des données de nos utilisateurs en Belgique s'en trouvera menacée. ».
La Cnil belge n'a pas été sensible à ces
arguments. Le 13 mai dernier, elle a recommandé à Facebook de « renoncer au placement systématique de cookies d'identification unique de longue durée chez les
non-utilisateurs de Facebook, ainsi qu'à
toute collecte et utilisation de données par le
biais de cookies et de modules sociaux, sauf
si elle obtient à cet effet le consentement
indubitable et spécifique des personnes
concernées via un opt-in et dans la mesure
où cela est strictement nécessaire pour
des finalités légitimes. Tant les utilisateurs
déconnectés ou désactivés doivent dans
ce cadre être assimilés à des non-utilisateurs. » Elle lui a également demandé
de « renoncer à la collecte et à l'utilisation
des données d'utilisateurs par l'intermédiaire de cookies et de modules sociaux,
sauf lorsque (et seulement dans la mesure
où) cela est strictement nécessaire pour
un service expressément demandé par
l'utilisateur ou si elle obtient à cet effet le
consentement indubitable et spécifique des
personnes concernées via opt-in. Le fait de
travailler avec un opt-out ne génère en effet
pas un consentement indubitable ». Le texte
de la Commission s'adresse également aux
sites internet auxquels elle rappelle leur
obligation d'information et aux internautes
auxquels elles conseillent de se protéger, en
utilisant notamment les modules add-ons
des navigateurs. Mais Facebook n'a pas
modifié ses pratiques. Face à l'inertie de
Facebook qui juge que l'autorité de contrôle

EXPERTISES DÉCEMBRE 2015

irlandaise est seule compétente - autorité qui
avait du reste approuvé ses conditions générales -, la Commission a assigné le réseau
social en référé. Le 9 novembre 2015, le
tribunal de première instance de Bruxelles
a rendu une ordonnance de référé donnant
tort à Facebook, une première décision sur
cette problématique.
Le tribunal a commencé par affirmer sa
compétence, en référence à l'arrêt Google
Spain rendu par la CJUE le 13 mai 2014.
Par ailleurs, il a estimé que la condition
de l'urgence était remplie, vu l'ampleur
du phénomène (la plupart des sites populaires ont de tels boutons) qui touchent à
la vie privée des personnes. Par le biais
de ces plug-in sociaux, Facebook traite les
adresses IP et l'identifiant unique contenus
dans le cookie « datr ». Le tribunal estime
qu'il s'agit de données à caractère personnel et que leur collecte constitue un traitement de données. Et pour ce qui concerne
les internautes ne disposant pas d'un
compte Facebook, cette collecte constitue,
selon le tribunal, une violation « manifeste »
de la loi du 8 décembre 1992 relative à
la protection de la vie privée à l'égard
des traitements de données à caractère
personnel (LVP). A cela plusieurs motifs :
Facebook n'a pas obtenu de consentement,
il ne peut invoquer un contrat ni se fonder
sur une obligation légale, et le respect de
la vie privée des personnes non-membres
du réseau social prévaut sur ses intérêts de
sécurité. Enfin, cette collecte n'est ni loyale ni
légitime car les données sont traitées avant
toute information.
Depuis cette ordonnance de référé, la
commission belge de protection des
données et Facebook sont en pourparlers
pour trouver une solution afin que Facebook
respecte la décision, sans avoir à supprimer
les cookies indispensables selon lui à la
sécurité du réseau.
Sylvie ROZENFELD

409

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Décembre 2015 - n°408