En demi-teinte. Tel est le qualificatif qui peut s’appliquer au rapport de l’autorité irlandaise de protection des données après trois mois d’audit sur le plus célèbre des réseaux sociaux. Dans son document de 150 pages, le régulateur relève les progrès de Facebook en matière de protection des informations personnelles. Et ce, pour se conformer à la loi irlandaise ainsi qu'à la directive européenne 95/46/EC. Il estime légitime que le réseau social utilise certaines informations personnelles de ses membres, dans la mesure où leur monétisation constitue l’essentiel de son modèle économique. « La question est de savoir où se situe le niveau d’informations nécessaire à Facebook [pour assurer son business, NDLR]. »
Ainsi, utiliser certaines informations comme l’âge, le sexe ou la localisation de l'internaute à des fins de publicités ciblées ferait « partie du deal ». En revanche, l’autorité estime que Facebook doit grandement améliorer la communication sur l’utilisation des données de ses utilisateurs. Il doit surtout simplifier les outils de gestion de confidentialité. Le régulateur a en ce sens effectué quelques recommandations, que le réseau social s'est engagé à suivre.
Un rapport complaisant ?
Mais cette bonne volonté ne saurait faire oublier que l’audit confirme un certain nombre de faits reprochés à Facebook. Tant au niveau de l’agrégation de données que de leur conservation sur les serveurs de la société. Ainsi, l'étudiant Max Schrems – après avoir reçu de Facebook un disque contenant quelque 1 200 pages d’informations personnelles –, soupçonnait le réseau social de collecter des données concernant des internautes non-inscrits dans le but de créer des profils fantômes. Le régulateur balaie cette dernière affirmation. « Il n’existe aucun profil formé d’un non-utilisateur qui pourrait être attribué à une personne qui deviendrait un utilisateur », mais il confirme par là même la collecte de données de non-membres, notamment par la synchronisation des carnets d’adresses des utilisateurs ou la recherche par e-mail d'amis, sans y trouver à redire.
Concernant les données conservées par Facebook (messages, invitations, pokes) malgré leur suppression par l’internaute, le rapport souligne que le réseau social s’est engagé « à aller plus loin dans la gestion des données des utilisateurs en leur donnant la possibilité, si cela s’avère approprié, d’effacer non pas toutes, mais la plupart d'entre elles ». En clair, la firme de Mark Zuckerberg ne prend aucun engagement sur la suppression de toutes les données d'un internaute lorsque celui-ci voudra les supprimer voire effacer son compte.
Pourtant la Commission européenne ne le voit pas de cet œil. Dans un communiqué, Viviane Reding et la ministre fédérael allemande pour la Protection des consommateurs, Ilse Aigne, déclaraient le 29 novembre dernier : « Les utilisateurs devraient avoir le contrôle de leurs données. C’est pourquoi, la loi européenne devrait exiger que les consommateurs donnent leur consentement avant que [celles-ci] ne soient utilisées. Ils devraient avoir le droit d’effacer leurs données n’importe quand, en particulier quand [ils les] ont postées sur Internet. » Et, la vice-présidente de la Commission d‘annoncer une mise à jour de la directive européenne sur la protection des données avec laquelle Facebook pourrait avoir du fil à retordre.
Facebook promet d'améliorer sa copie
Facebook s’est félicité du compte-rendu de cet audit. Sur sa page, Richard Allan, directeur de la politique de la confidentialité pour l’Europe, le Moyen-Orient et l’Afrique, rappelle : « Nous travaillons quotidiennement avec les régulateurs du monde entier et apprécions le temps investi et les moyens déployés par le DPC pour améliorer l’expérience des utilisateurs de Facebook. »
Le réseau social s’est aussi engagé à améliorer ses pratiques notamment en matière d’identification dans des photographies. Un autre point litigieux sur lequel le réseau social fait l'objet de critiques régulières. Un nouvel audit sera fait en juillet 2012 pour faire le point sur les engagements de Facebook.
