Max Schrems, Facebook et la protection des renseignements personnels

Max Schrems, cet étudiant autrichien qui avait saisi le Data Protection Commissioner d'Irlande relativement aux pratiques de Facebook après avoir eu accès aux données que le réseau social avait archivé alors qu'il croyait les avoir supprimées, "a décidé de porter plainte [contre Facebook], vendredi 1er août [2014], devant la cour de commerce de Vienne et a demandé à toutes les personnes majeures de se joindre à lui pour donner plus de poids à son action" (Source: Le Monde, 8 août 2014).

À suivre donc ...

Pour aller plus loin: 

• Grégor BRANDY, "Maximilian Schrems : « Les termes de Facebook ne sont pas valides selon les lois européennes »", Le Monde, 8 août 2014. 
• Loek ESSERS, "L'action collective contre Facebook pas encore acceptée par le tribunal", Le Monde Informatique, 6 août 2014.
• Europe vs. Facebook

et voir aussi les différents billets publiés sur ce blog sur l'action de Max Schrems devant l'autorité de protection irlandaise: Facebook et la mémoire (6)(5)(4)(3)(2)(1).

Facebook, les données et l'anonymat

Facebook a fait l'objet de plusieurs articles cette semaine. 

Tout d'abord, on peut lire que nous donnons nos données au réseau. 

• Camille GÉVAUDAN, "Facebook : données c’est donner", Libéreation (Écrans), 13 février 2013. 
  

Ensuite, on peut lire que Facebook peut continuer d'exiger que les utilisateurs s'inscrivent sous leurs véritables identités. 
En effet, le tribunal administratif de Schleswig-Holstein, en Allemagne, vient de se prononcer en faveur du réseau dans l'affaire l'opposant à l'autorité de protection des données personnelles de ce land (i.e. Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein). 
Le réseau peut donc interdire l'usage des pseudonymes ... mais Thilo Weichert, le directeur de l'autorité de protection a annoncé qu'il allait porter en appel cette décision qui considère également que la loi allemande ne s'applique pas en l'espèce étant entendu que Facebook a son siège social en Irlande.  

Pour plus de détails, voir notamment: 

• Schleswig-Holstein Verwaltungsgericht, Facebook Inc. g. Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, 8B 61/12, 14 Februar 2013 (en allemand) 
• Schleswig-Holstein Verwaltungsgericht, Facebook Ireland Ltd. g. Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, 8B 60/12, 14 Februar 2013 (en allemand)
• Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, "Verwaltungsgericht gibt Eilanträgen von Facebook statt", Medien-Informationen, 15-02-213 (en allemand)

• "Facebook peut bannir les pseudonymes. Pour l'instant", Numerama, 15 février 2013. 
• "Interdiction des pseudonymes : victoire judiciaire pour Facebook en Allemagne", Le Monde, 15 février 2013. 
• "L'Allemagne autorise Facebook à refuser l'anonymat des utilisateurs", La Presse, 15 février 2013. 
• "Allemagne : Facebook a le droit d’exiger l’identité réelle", Libération (Écrans), 15 février 2013. 

Irlande: nouvel audit sur Facebook (et reconnaissance faciale)

En décembre 2011, le Data Protection Commissioner d'Irlande a indiqué dans son rapport d'enquête sur les pratiques de Facebook en matière de protection des renseignements personnels qu'un nouvel audit serait publié courant 2012 (billet).

Le 21 septembre 2012, l'autorité irlandaise a rendu public les conclusions de ce nouvel audit portant sur la mise en oeuvre des points suivants: 1) Privacy and data use policy; 2) Advertising; 3) Access requests; 4) Retention of data; 5) Cookies / Social plugs-ins; 6) Third party apps; 7) Disclossures to third parties; 8) Facial recognition / Tag suggest; 9) Data security; 10) Detention of accounts; 11) Friend finder; 12) Tagging; 13) Posting on other profiles; 14) Facebook credits; 15) Pseudonymous profiles; 16) Abuse reporting; et 17) Compliance management / Governance

On peut lire dans le communiqué que:  

"[...] The Review finds that the great majority of the recommendations have been fully implemented to the satisfaction of this Office, particularly in the following areas:  

- The provision of better transparency for the user in how their data is handled, 

- The provision of increased user control over settings.

- The implementation of clear retention periods for the deletion of personal data or an enhanced ability for the user to delete items, 

- The enhancement of the user’s right to have ready access to their personal data and the capacity of FB-I to ensure rigorous assessment of compliance with Irish and EU data protection requirements.

Those recommendations which are not implemented by FB-I as of yet are highlighted with a clear timescale for implementation listed.

The Irish Data Protection Commissioner, Billy Hawkes said, “I am satisfied that the Review has demonstrated a clear and ongoing commitment on the part of FB-I to comply with its data protection responsibilities by way of implementation or progress towards implementation of the recommendations in the Audit Report.  I am particularly encouraged in relation to the approach it has decided to adopt on the tag suggest/facial recognition feature by in fact agreeing to go beyond our initial recommendations, in light of developments since then, in order to achieve best practice.  This feature has already been turned off for new users in the EU and templates for existing users will be deleted by 15 October, pending agreement with my Office on the most appropriate means of collecting user consent.  By doing so it is sending a clear signal of its wish to demonstrate its commitment to best practice in data protection compliance.”

Deputy Commissioner, Gary Davis who led the both the Audit and the Review stated that “the outcome reflects months of detailed engagement between Facebook Ireland and this Office.  The discussions and negotiations that have taken place, while often robust on both sides, were at all times constructive with a collective goal of compliance with data protection requirements.  There were a number of items on which progress was not as fully forward as we had hoped and we have set a deadline of 4 weeks for these matters to be brought to a satisfactory conclusion.   

It is also clear that ongoing engagement with the company will be necessary as it continues to bring forward new ways of serving advertising to users and retaining users on the site.  The value of such engagement to identify and deal with any data protection concerns prior to launch of new products and services is fully accepted by FB-I.”"  

(Source: Data Protection Commissioner, Press Release, September 21, 2012)

Il est à noter que depuis la publication de cet audit, plusieurs commentateurs, comme l'Electronic Privacy Information Center (EPIC), soulignent le fait que 

"Facebook has agreed to give users the choice over the use of facial recognition, to grant users access to their facial recognition template, and to delete the facial recognition data of EU citizens by October 15"

(Source: EPIC, Press Release, September 21, 2012) 

Rappelons que le recours à la reconnaissance faciale est dans la mire de plusieurs autorités: Allemagne, Norvège, Luxembourg, Groupe de l'article 29, Federal Trade Commission, par exemple (billet)


Pour plus de détails: 

• IRISH DATA PROTECTION COMMISSIONER, Facebook Ireland Ltd - Report of Re-Audit, 21 September 2012
• IRISH DATA PROTECTION COMMISSIONER, "Report of Review of Facebook Ireland’s Implementation of Audit Recommendations Published – Facebook turns off Tag Suggest in the EU", Press Release, September 21, 2012. 

• ELECTRONIC PRIVACY INFORMATION CENTER, "Facebook Ceases Facial Recognition in European Union", Press Release, September 21, 2012.

•  Somini SENGUPTA and Kevin J. O'BRIEN, "Facebook Can ID Faces, but Using Them Grows Tricky", New York Times, September 21, 2012. 
• "En Europe, Facebook ne reconnaît plus ses utilisateurs", Libération, 21 septembre 2012. 
• "Facebook suspend sa reconnaissance faciale en Europe", Le Monde, 22 septembre 2012.
• Julien L., "Facebook interrompt la reconnaissance faciale en Europe", Numerama, 22 septembre 2012.

Facebook et la mémoire (6)

Dans la continuité du billet du 22 décembre 2011, on apprend que Max Schrems pourrait saisir la Commission européenne pour faire valoir ses droits contre Facebook. 

• Julia PRUMMER, "Max Schrems ne “like” pas Facebook", PressEurop, 27 avril 2012. 
• "Facebook breaches Deadlines in Irish Data Protection Report - Users can now file a complaint at the European Commission Brussels", Europe-v-Facebook.org, Press Information, April 3, 2012.

Facebook et la mémoire (5)

Dans la continuité du billet du 22 décembre 2011, on peut lire l'article suivant sur la mise en oeuvre des recommandations de l'autorité irlandaise de protection des données personnelles par Facebook suite au recours déposé par Max Schrems:

• Camille GÉVAUDAN, "« Europe versus Facebook », deuxième round", Libération - Écrans, 3 avril 2012.

Facebook et la mémoire (4)

Dans la continuité des billets du 22 octobre et du 22 décembre, on peut lire les articles suivants sur la rencontre entre Max Schrems et Facebook: 

• "Vie privée: l'étudiant autrichien «satisfait» d'un échange avec Facebook", La Presse, 7 février 2012.
• "Vie privée : Facebook s'engage à changer ses pratiques", Le Monde, 7 février 2012.

Irlande: rapport d'enquête sur Facebook

Le Data Protection Commissioner d'Irlande vient de rendre public son rapport d'enquête sur les pratiques de Facebook en matière de protection des renseignements personnels au regard de la loi irlandaise et, par le fait même de la Directive 95/46/CE.

On peut alors lire dans le communiqué de presse que:

"this Report is not the conclusion of our engagement with Facebook Ireland.  It is rather the first significant step on a road that can place it at the forefront of the technology sector in meeting users’ legitimate privacy expectations as to how their personal data is handled and empowering them to make informed choices when sharing that information on the site.  It is the role of our Office to ensure that Facebook Ireland complies with data protection law and this report assesses that compliance. Taking a leadership position that moves from compliance with the law to the achievement of best practice is for Facebook Ireland to decide but if it continues to display the commitment I witnessed throughout the Audit process it is certainly achievable.

The Report records significant recommendations and commitments from Facebook Ireland in relation to: 

- a mechanism for users to convey an informed choice for how their information is used and shared on the site including in relation to Third Party Apps;

- a broad update to the Data Use Policy/Privacy Policy to take account of recommendations as to where the information provided to users could be further improved;

- transparency and control for users via the provision of all personal data held to them on request and as part of their everyday interaction with the site;

- the deletion of information held on users and non-users via what are known as social plugins and more generally the deletion of data held from user interactions with the site much sooner than presently;

- increased transparency and controls for the use of personal data for advertising purposes;

- an additional form of notification for users in relation to facial recognition/”tag suggest” that is considered will ensure Facebook Ireland is meeting best practice in this area from an Irish law perspective;

- an enhanced ability for users to control tagging and posting on other user profiles;

- an enhanced ability for users to control whether their addition to Groups by friends;

- the Compliance management/Governance function in Dublin which will be further improved and enhanced to ensure that the introduction of new products or new uses of user data take full account of Irish data protection law.

Facebook Ireland’s delivery on its commitments will be evaluated throughout the first six months of 2012 and as part of an agreed formal review in July of next year that will take the form of a follow-up Audit."

(Source: Irish Data Protection Commissioner, Press Release, December 21, 2011)

À suivre donc. 

• IRISH DATA PROTECTION COMMISSIONER, "Report of Data Protection Audit of Facebook Ireland Published", Press Release, December 21, 2011. 
• IRISH DATA PROTECTION COMMISSIONER, Report of Data Protection Audit of Facebook Ireland Published, December 2011.
• "Facebook sommé de clarifier sa politique sur les données privées", La Presse, 21 décembre 2011.
• Laurent CHECOLA, "Données privées : Facebook passe le test des autorités irlandaises", Le Monde, 21 décembre 2011.  
• Erwan CARIO, "Un sermon irlandais pour Facebook", Libération - Écrans, 22 décembre 2011. 

Facebook et la mémoire (3)

Dans la continuité de billet du 22 octobre, on peut lire un article-entrevue de Max Scherms pour qui "l'important, c'est que Facebook respecte la loi".

• Damien LELOUP, "Max Scherms: "L'important, c'est que Facebook respecte la loi", Le Monde, 23 novembre 2011.

Facebook et la mémoire (2)

Dans la continuité du billet du 22 octobre, on peut lire dans "Facebook: l'opacité, plus qu'un métier, une vocation" que le lien permettant de demander accès aux documents nous concernant détenus par Facebbok est indisponible ... oups!

• Camille GÉVAUDAN, "Facebook: l'opacité, plus qu'un métier, une vocation", Libération - Écrans, 7 novembre 2011

Facebook et la mémoire

Que ce soit dans "Facebook: la mémoire cachée" ou dans "Amende possible de 137600$ pour Facebook", les auteurs font référence à l'expérience de Max Schrems un 

"étudiant autrichien en droit [qui] a réussi à se procurer l’ensemble des données dont Facebook dispose sur lui. [Et] en épluchant les 1222 pages (!) de son dossier, il a constaté que le réseau social avait soigneusement archivé toutes les informations qu’il croyait avoir supprimées depuis belle lurette".

(Source: "Facebook: la mémoire cachée")

Suite à cette découverte, Schrems a décidé de saisir le Data Protection Commissioner d'Irlande car selon lui "tous les utilisateurs de Facebook vivant en dehors des États-Unis et du Canada [sont] liés par contrat à Facebook Irlande" (Source: "Facebook: la mémoire cachée"), comme l'illustre le paragraphe 18(1) des conditions d'utilisation de Facebook qui se lit comme suit: 

"If you are a resident of or have your principal place of business in the US or Canada, this Statement is an agreement between you and Facebook, Inc.  Otherwise, this Statement is an agreement between you and Facebook Ireland Limited."

[Mise à jour du 24-10-2011] On apprend dans l'article "Facebook accusé de conserver des données effacées et de créer des "profils fantômes"" que l'autorité de protection des données personnelles irlandaise "a ouvert une enquête sur Facebook, après le dépôt de vingt-deux plaintes différentes" par Schrems.

[Mise à jour du 02-11-2011] On apprend dans un "latest news" de l'Electronic Privacy Information Center que "lawmakers in Washington have sent a letter to Mark Zuckerberg, Facebook's CEO, asking questions about the company's data retention practices, following a news report that a single European Facebook user obtained more than 1,200 pages of his own personal data from the company, including information that he had previously deleted".
La lettre est disponible à l'adresse suivante: http://markey.house.gov/docs/facebook_caucus_letter_10.29.11.pdf 

[07-11-2011] Billet "Facebook et la mémoire (2)" référant l'article de C. Gévaudan intitulé "Facebook: l'opacité, plus qu'un métier, une vocation" paru dans la section "Écrans" du Libération du 7 novembre 2011.

[12-11-2011] "Un étudiant s'attaque à l'appétit de Facebook pour les données", La Presse, 11 novembre 2011.


À suivre donc.

• Dominique LAMY, "Amende possible de 137600$ pour Facebook", Branchez-vous, 21 octobre 2011.
• Camille GÉVAUDAN, "Facebook: la mémoire cachée", Libération - Écrans, 22 octobre 2011.
• Damien LELOUP, "Facebook accusé de conserver des données effacées et de créer des "profils fantômes"", Le Monde, 24 octobre 2011.  
• Tom LOFTUS, "Europeans to Facebook: Where's my data ?", The Wall Street Journal, October 29, 2011. 
• ELECTRONIC PRIVACY INFORMATION CENTER, "Congress, #KWTK Presses Facebook to Disclose Secret Profiles", October 31, 2011.