Canada: rapports d'enquêtes sur Facebook

Le Commissariat à la protection de la vie privée du Canada (CPVPC) vient de publier les conclusions de trois enquêtes menées vis-à-vis de Facebook. Il en ressort que: 

"Si on examine les résultats de ces enquêtes par rapport à ceux de la première enquête sur l’organisation effectuée il y a quelques années, on constate que Facebook semble tenir davantage compte des questions liées à la protection de la vie privée à certains égards, notamment parce qu’il fournit aux membres des renseignements plus clairs et plus compréhensibles au sujet de diverses pratiques de gestion des renseignements personnels, déclare Mme Stoddart. Malgré ces améliorations générales, nous sommes déçus de constater que Facebook n’avait pas prévu les préoccupations importantes liées à la protection de la vie privée que susciterait la mise en œuvre de la fonction « Vous connaissez peut-être… ». La protection de la vie privée doit être intégrée aux fonctions dès le départ — elle ne doit pas être ajoutée après coup, en réaction aux commentaires négatifs des utilisateurs individuels et des autorités de protection des données."

(Source: CPVPC, Communiqué)

Voici les conclusions détaillées de ces enquêtes 

1. Suggestions d'amis (Enquête 2012-002 - Fondée et résolue)

"Trois personnes ont déposé une plainte après avoir reçu des courriels les invitant à joindre Facebook. Ces invitations comprenaient des « suggestions d’amis », soit une liste d’utilisateurs Facebook qui, dans la majorité des cas, étaient des personnes que les plaignants connaissaient. Sans expliquer comment les suggestions étaient créées, les plaignants (qui n’avaient aucun lien avec le site) craignaient que Facebook ait eu accès à leur carnet d’adresses électroniques de façon inappropriée.

L’enquête n’a cependant pas réussi à prouver que Facebook accédait au carnet d’adresses des plaignants. Les suggestions d’amis sont plutôt envoyées à partir de renseignements des carnets d’adresses téléversés par des utilisateurs actuels de Facebook.

Lorsque les plaintes ont été déposées, les invitations fournissaient peu de renseignements quant au processus permettant de suggérer des amis. Elles ne contenaient pas non plus d’option évidente permettant aux destinataires de choisir de ne plus recevoir de messages ou de demander à ce que leur adresse électronique ne soit plus utilisée pour envoyer des suggestions d’amis.

Au cours de l’enquête, l’entreprise a accepté d’apporter plusieurs changements à la suite de discussions avec le Commissariat et un autre bureau international de la protection des données personnelles ayant des préoccupations similaires à ce sujet. Plus particulièrement, Facebook a ajouté une méthode plus conviviale permettant aux utilisateurs de choisir de ne pas recevoir de suggestions d’amis ou d’autres messages. De plus, l’entreprise a retiré les suggestions d’amis des invitations initiales et les envoie seulement dans des rappels subséquents."

(Source: CPVPC, Document d'information)  

2. Extension sociale (Enquête 2011-006 - Pas fondée)

"Les extensions sociales permettent aux utilisateurs de voir le contenu d’autres sites Web tirés de leur profil Facebook, y compris les icônes « J’aime » et « Je recommande ». Par exemple, les membres ayant ouvert une session Facebook qui visitent un site Web de nouvelles peuvent voir une liste d’articles recommandés par leurs amis.

Dans le cas qui nous concerne, le plaignant était préoccupé par l’échange possible de renseignements entre Facebook et les plus de deux millions de sites Web hôtes d’extensions sociales du même genre. L’enquête n’a révélé aucun élément prouvant que Facebook recueillait ou utilisait les renseignements personnels de personnes n’ayant pas de compte Facebook, ou d’utilisateurs n’ayant pas de session ouverte, lorsqu’ils visitent une page Web comportant une extension sociale.

En ce qui concerne les utilisateurs Facebook qui ont ouvert une session et qui visitent une page Web contenant une extension sociale, notre enquête a révélé que, même si Facebook recueillait des renseignements personnels de ces utilisateurs, l’entreprise décrivait de façon appropriée les extensions sociales afin d’obtenir un consentement éclairé. De plus, les utilisateurs qui ne voulaient pas recevoir un contenu personnalisé étaient en mesure de mettre fin à leur session Facebook avant d’accéder aux sites Web contenant des extensions sociales."

(Source: CPVPC, Document d'information)

3. Authentification (Enquête 2011-005 - Pas fondée)

"La troisième enquête résultait d’une plainte prétendant que Facebook recueillait plus de renseignements personnels qu’il n’en avait besoin pour accorder l’accès à un compte Facebook. On a également affirmé que Facebook ne permettait pas de remettre en question sa conformité aux principes de la LPRPDE auprès de son employé désigné responsable de la conformité.

Les résultats de l’enquête ont permis de constater qu’il est possible que les organisations aient besoin de renseignements pour confirmer l’identité des utilisateurs, mais que celles‑ci devraient fournir aux utilisateurs différents moyens de le faire. En ce qui concerne la remise en question de la conformité, on a découvert que Facebook fournissait un formulaire électronique au début des « paramètres de confidentialité » permettant aux utilisateurs de déposer des plaintes relativement à la protection des renseignements personnels.

Dans ce cas, Facebook a expliqué clairement les raisons de sécurité justifiant le besoin des renseignements personnels et a offert aux utilisateurs différentes options pour confirmer leur identité. On a également découvert que les procédures du site relativement aux plaintes concernant la protection de la vie privée étaient accessibles et faciles à utiliser."

(Source: CPVPC, Document d'information) 

Pour plus de détails: 

•  COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA
• "Facebook s’est amélioré à certains égards, mais devrait être plus proactif relativement à la protection de la vie privée au moment d’ajouter de nouvelles fonctions", Communiqué, 4 avril 2012
• Conclusions détaillées des enquêtes sur Facebook - Document d'information   
• Rapport des conclusions en vertu de la LPRPDE n^o 2012-002 - Une enquête révèle que Facebook n’a pas obtenu le consentement des non membres en vue de l’utilisation de leurs adresses électroniques pour leur proposer des amis
• Rapport des conclusions en vertu de la LPRPDE n^o 2011-006 - Une enquête révèle qu’aucune preuve ne permet d’établir que Facebook communique des renseignements personnels à d’autres sites par l’entremise d’extensions sociales
• Résumé de conclusions d’enquête de LPRPDE n^o 2011-005 - L’enquête conclut que les pratiques d’authentification de Facebook sont raisonnables