Pages Jaunes, La CNIL voit rouge

Comme la plupart des autorités indépendantes, la CNIL préfère user de la médiation, de la persuasion plutôt qu'utiliser les pouvoirs de sanction qu'elle tient de l'article 45 de la loi sur 6 janvier 1978. Elle a fait pourtant exception par une délibération du 21 septembre 2011"portant avertissement à l'encontre de la société Pages Jaunes". Cet avertissement est assorti d'une publicité destinée aux utilisateurs d'internet, ceux dont la vie privée a précisément malmenée par les agissements de la société Pages Jaunes. 

En l'espèce, la société Pages Jaunes, et plus particulièrement son service Pages Blanches, avait mis en place un système "Webcrawl" qui va collecter des informations auprès des différents réseaux sociaux, notamment Facebook, Copains d'avant, Viadéo, Linkeln, Twitter et Trombi. Outre les informations habituelles figurant sur l'annuaire, on trouvait donc dans les Pages blanches la photo de la personne, sa profession, son cursus scolaire etc.. Ces données étaient diffusées, y compris celle concernant les mineurs ou les abonnés au téléphone ayant choisi de figurer sur la Liste Rouge. 

La sévérité de la sanction infligée par la CNIL s'explique d'abord par des manquements particulièrement visibles aux dispositions de la loi du 6 janvier 1978, et plus spécialement au principe de loyauté. Mais elle peut aussi trouver son origine dans un certain agacement de la commission à l'égard d'une entreprise qui s'efforçait de justifier des pratiques illégales en s'abritant derrière des dispositions bien peu protectrices de la vie privée que Facebook impose à ses utilisateurs. 

Le principe de loyauté

Il est affirmé par l'article 6 al. 1 de la loi, selon lequel "les données sont collectées et traitées de manière loyale et licite". Le principe est donc que les données nominatives, celles qui permettent d'identifier une personne et donnent des éléments d'information sur sa vie privée, sont collectées auprès de l'intéressé lui-même. Il doit alors être informé des motifs de cette collecte, et de l'utilisation qui sera faite de ces informations. Seuls les fichiers gérés par les services chargés du maintien de l'ordre et de la lutte contre le terrorisme ne sont pas soumis à cette observation d'information, mais leur mise en oeuvre doit alors impérativement être précédée d'une demande d'avis conforme auprès de la CNIL. 

H.G. Clouzot. Le Corbeau. 1943

Collectées à l'insu des personnes, sans information préalable, les données étaient donc stockées par les Pages Jaunes en violation du principe de loyauté. Il est vrai que la société a tenté de démontrer que l'obligation d'information était satisfaite, dès lors qu'après avoir effectué sa recherche sur les Pages blanches, le lecteur trouvait un avertissement mentionnant que "les données figurant sur cette pages ont été trouvées sur les site Facebook etc..".

Le lecteur pouvant ensuite cliquer sur un lien pour demander la suppression de ces informations, à la condition toutefois de remplir un formulaire abscons, de mentionner l'URL du profil à supprimer, d'envoyer une copie de sa pièce d'identité dans un format informatique imposé etc. Le problème est que personne ne cherche jamais son propre numéro de téléphone sur les Pages blanches et n'a donc que peu de chances de connaître les données diffusées sur se compte. Si par hasard un abonné avait néanmoins cette curiosité, les formalités imposées par la société Pages Jaunes risque fort de le dissuader de toute demande de suppression.. La CNIL estime donc, fort logiquement, que cette information de la personne fichée est à la fois tardive et inadaptée.

Nemo auditur Facebook turpitudinem...

La société Pages Jaunes n'a pas pu davantage invoquer les agissements de Facebook comme support juridique de ces pratiques. Les réseaux sociaux informent en effet leurs utilisateurs que s'ils ne restreignent pas l'accès à leur profil, les données personnelles qui y sont stockées "peuvent être indexées par des moteurs de recherche tiers (...) sans restriction de confidentialité". Autrement dit, celui qui a omis de cocher la case restreignant la communication de ses données privées serait présumé avoir donné son accord à leur diffusion urbi et orbi. 

La CNIL a évidemment refusé d'entrer dans un raisonnement qui aurait conduit à considérer que des dispositions conventionnelles imposées à ses utilisateurs par Facebook l'emportent sur la loi française. Comment un tiers, la société Pages Jaunes, pouvait il d'ailleurs invoquer les dispositions d'un contrat auquel il n'est pas partie ? Au demeurant, cet argument reposait sur une interprétation tout à fait erronée de la disposition invoquée, puisque le service fourni par les Pages Blanches, prestataire d'un service d'annuaire, ne saurait être qualifié de "moteur de recherche". 

Sur ce point, on touche au détournement de finalité, tout aussi illégal au regard de la loi du 6 janvier 1978. En effet, la CNIL rappelle que l'article R 10-4-2 du code des postes et des télécommunications électroniques (CPCE) interdit l'usage de listes d'abonnés "à d'autres fins que la fourniture d'annuaires universels ou de services universels de renseignements téléphoniques". L'utilisation des profils Facebook ou Viadéo est donc sans lien avec les finalités assignées aux Pages Blanches.

Cet avertissement n'est donc pas seulement adressé à la société Pages Jaunes, mais à tous ceux qui considèrent que les réseaux sociaux constituent une mine d'informations que chacun peut piller à son aise.