Fin août, WhatsApp annonçait le partage de certaines informations avec Facebook, provoquant des réactions froides des régulateurs européens. La CNIL allemande vient pour sa part de se prononcer : cette opération ne repose sur aucune base juridique et doit cesser.

Le partage d’informations avait pour but, selon Facebook, d’aider le réseau social à lutter contre le spam, mieux connaître les utilisateurs, leur faire des suggestions plus aiguisées et, bien entendu, affiner la publicité. Il y a quelques données statistiques, mais également des informations identifiantes, comme les numéros de téléphone. Les utilisateurs avaient 30 jours après acceptation des conditions pour désactiver le réglage dans WhatsApp.

Dans une décision publiée hier, la Commission de Hambourg pour la protection des données et la liberté de l’information (équivalent allemand de la CNIL), ordre est donné à Facebook de couper « la synchronisation de masse » avec WhatsApp. Et non seulement la porte doit être verrouillée, mais les données déjà récupérées doivent être supprimées. Une mesure donnée par précaution, Facebook n’ayant a priori pas commencé la collecte.

Une absence de base juridique

L’autorité allemande n’y va pas par quatre chemins : « Facebook et WhatsApp sont deux entreprises indépendantes qui gèrent les données de leurs utilisateurs sur la base de leurs conditions et règles de vie privée. Après le rachat de WhatsApp par Facebook il y a deux ans, les deux parties avaient assuré que les données ne seraient pas partagées entre eux. Le fait que cela se produise maintenant est non seulement trompeur pour leurs utilisateurs et le public, mais constitue également une violation de la loi nationale sur la protection des données ».

En d’autres termes, Facebook et WhatsApp opèrent hors de tout cadre légal : « Un tel échange n’est admissible que si les deux entreprises – celle qui fournit les données (WhatsApp) et celle qui les reçoit (Facebook) – ont établi une base juridique pour le faire ». Or, il y a deux problèmes. D’une part, Facebook n’a pas obtenu d’accord formel des utilisateurs pour l’échange de données. D’autre part, il n’existe pas de telle base pour ce type de transfert de d’informations.

Les utilisateurs de WhatsApp et ceux qui n'ont rien demandé

Bien entendu, Facebook pourrait répondre ne pas dépendre de la CNIL allemande pour son cadre légal sur les questions de sécurité et de vie privée, mais bien de l’équivalent irlandais, puisque son siège européen s’y trouve. L’autorité allemande prend cependant les devants : « […] les lois nationales de protection des données sont applicables si une entreprise traite des données en lien avec une filiale nationale. Facebook le fait à travers sa filiale de Hambourg, responsable des opérations de marketing sur les régions allemandes ».

Le Commissaire Johannes Caspar indique que l’autorité « protège les données de 35 millions d’utilisateurs WhatsApp en Allemagne ». S’ils souhaitent connecter leur compte à Facebook, « cela doit être leur décision ». Il souligne un autre problème : même si la décision de Facebook concerne avant tout les utilisateurs WhatsApp, d’autres numéros de téléphone peuvent être envoyés, puisque l’application accède au carnet d’adresses. Des personnes n’ayant rien demandé, n’étant ni utilisatrices de WhatsApp, ni de Facebook.

Facebook veut faire appel

Facebook compte faire appel de la décision, mais doit sentir néanmoins la pression naissante en Europe. La CNIL anglaise a par exemple rappelé que WhatsApp pouvait changer ses conditions, mais que les lois de protection des données devaient être respectées, annonçant dans la foulée qu’une analyse serait faite. La CNIL française, qui préside actuellement le G29 (regroupement européen des régulateurs), a indiqué que l’institution se pencherait globalement sur la situation. Des suites sont donc à prévoir.