Un client de la société s'est récemment plaint sur Twitter, découvrant que des informations sur ses voyages étaient transmises au géant américain, sans son accord.

Depuis, Trainline a confirmé l'information, précisant qu'elle utilise « un outil d'analyse, créé par Facebook, qui nous permet de mieux comprendre comment nos clients utilisent notre app ».

Dans une seconde réponse, la société ajoute que « même si les données passent par l'outil d'analyse de Facebook, elles ne sont pas partagées avec Facebook – Trainline contrôle ces données ». Une vision pour le moins optimiste, surtout au regard des récentes révélations concernant le réseau social.

Ressortant l'habituel « Le respect des données et la sécurité de nos clients sont primordiaux et la protection des données est au cœur de notre activité », Trainline n'a pas hésité à invoquer l'intérêt légitime pour l'absence de consentement de l'utilisateur avant un tel partage.

Pourtant, la position de la CNIL et de ses homologues européens est claire sur le sujet depuis des années : l'intérêt légitime ne peut être utilisé pour justifier d'un profilage des utilisateurs, ou être opposé au droit des droits de la personne concernée.

Ainsi, des mécanismes d'information claire et d'opposition doivent être proposés, ce qui ne semble pas le cas ici. Cela n'empêche pas de nombreux acteurs (comme Le Monde par exemple) de miser sur l'intérêt légitime depuis l'application du RGPD le 25 mai dernier.

Ces acteurs gagnent ainsi du temps, exploitant les données de leurs utilisateurs sans consentement éclairés à des fins de pistage publicitaire, le temps que les autorités prennent les choses en main.

Il apparaît donc nécessaire que la CNIL publie un rappel sur le sujet, ou que des enquêtes sur ces pratiques soient menées, afin que la jurisprudence soit un peu plus présente dans les mémoires des équipes marketing.

Car le cas de Trainline est sans doute loin d'être isolé. Les services en ligne et leurs applications mobiles étant encore le plus souvent remplis d'outils de pistage sans que l'utilisateur n'en soit informé, n'ait conscience de la nature des informations partagées ou ne puisse refuser d'être ainsi exposé.