Une erreur dans le texte ?

Les Cnil européennes mettent en garde WhatsApp et Facebook

Le procédé est inhabituel, mais marque certainement une nouvelle manière de faire pour le groupe de l'article 29 (G29), qui réunit les différentes Cnil européennes. Plutôt que d'attendre que chacune d'entre elles agissent au niveau national à travers l'ouverture d'enquêtes formelles et la prononciation de sanctions, le G29 a décidé vendredi de rendre publique une lettre ouverte adressée à WhatsApp (.pdf), qui met en garde l'entreprise contre sa volonté de partager les données personnelles de ses utilisateurs avec sa maison mère Facebook. La lettre n'a aucune valeur juridique contraignante, mais elle a un poids politique important.

Les Cnil européennes réagissent en effet (et enfin) à la décision de WhatsApp qui, au mois d'août dernier, a annoncé que dorénavant toutes les données personnelles dont elle dispose au sujet des utilisateurs de la messagerie et de leurs activités seraient partagées avec Facebook, qui avait racheté WhatsApp en 2014 pour 19 milliards de dollars. L'éditeur n'a pas accès au contenu chiffré des communications, mais il connaît les numéros de téléphone de chacun, ceux de ses contacts, les heures et durées des communications, et d'autres données qui peuvent en elles-mêmes être aussi indiscrètes que le contenu des messages.

Alors que WhatsApp avait promis à ses utilisateurs qu'aucun partage de données n'aurait lieu avec Facebook, la promesse a été rompue, et le consentement au partage est l'option par défaut. Ce sont ceux qui savent comment s'opposer au transfert qui peuvent l'interdire en refusant explicitement les nouvelles conditions affichées. Formellement, les utilisateurs acceptent le transfert, mais en pratique il faut avoir prêté attention à la possibilité de décocher une case, ou de modifier l'option dans leurs paramètres,

Or pour le G29 cette façon de faire, « en contradiction avec des déclarations publiques précédentes des deux entreprises », est un sujet de « graves inquiétudes (...) sur la validité du consentement des utilisateurs ». Le groupe européen demande à WhatsApp de fournir au plus vite des informations sur les catégories exactes de données qui sont partagées et sur leur source, ainsi que la liste des destinataires des données.

Le précédent indien

Le G29 s'inquiète aussi des effets du partage pour des utilisateurs qui n'étaient pas utilisateurs de Facebook ou d'autres produits du groupe, et qui se retrouvent à voir leurs données ainsi partagées et exploitées pour, notamment, suggérer de nouveaux « amis » à suivre.

Même si les procédures seront menées par les Cnil nationales, de façon toutefois coordonnée, le G29 demande d'ores et déjà à WhatsApp de suspendre tout transfert des données vers Facebook, « jusqu'à ce que les protections juridiques appropriées puissent être assurées ».

En Inde, la Haute Cour de Delhi a condamné le mois dernier WhatsApp à ne pas partager ses données avec Facebook, pour les mêmes motifs de manque de consentement éclairé de la part de l'utilisateur. Après un temps d'hésitation, WhatsApp a accepté de suspendre ses transferts pour les utilisateurs indiens, le temps de réviser ses contrats. Il serait donc logique qu'il en fasse de même en Europe, à moins de considérer que les Européens ont moins de droits que les Indiens.