L'UFC-Que Choisir porte plainte auprès de la CNIL contre Meta pour non-respect du RGPD

Dans le cadre de son offre d'abonnement donnant l'accès à des versions sans publicités de ses réseaux sociaux

Meta a, au troisième trimestre de l’année précédente, déclaré son intention de demander aux utilisateurs de l'UE leur consentement explicite avant de permettre aux entreprises de cibler la publicité en fonction de leurs activités sur ses plateformes. Y faisant suite, le géant des réseaux sociaux a annoncé aux utilisateurs européens de Facebook et Instagram la possibilité de s’abonner pour utiliser les réseaux sociaux sans aucune publicité. Ce sont deux offres en principe non liées sauf que Meta conditionne le refus du consentement de l’utilisateur au paiement d’un abonnement pour donner accès à ses plateformes. C’est ce qui lui vaut la plainte de l’UFC-Que Choisir qui met en sus en avant des craintes selon lesquelles l’abonnement ne garantit pas l’exploitation des données personnelles de l’utilisateur à son insu.

L’intégralité de la prise de position de l’UFC-Que Choisir

En novembre dernier, Meta a soumis une offre controversée aux utilisateurs de Facebook et d’Instagram : souscrire un abonnement payant pour permettre de refuser le traitement de leurs données personnelles. Au-delà des nombreuses pratiques commerciales trompeuses récemment épinglées par l’UFC-Que Choisir (1), cette offre met plus que jamais Meta en contravention avec les dispositions impératives du règlement européen sur la protection des données personnelles (RGPD). En conséquence, notre association, dans le prolongement de sa campagne « Je ne suis pas une data » et dans le cadre d’une action coordonnée avec 7 autres associations européennes membres (2) du Bureau européen des unions de consommateurs (BEUC), dépose aujourd’hui une nouvelle plainte contre Meta auprès de la CNIL, invoquant le non-respect par l’entreprise des dispositions du RGPD.

Le nouvel abonnement de Meta : un écran de fumée destiné à détourner l’attention du consommateur quant au traitement illicite de ses données personnelles

À la suite de plusieurs décisions de justice européennes constatant que Meta avait collecté et traité des données personnelles pendant des années sans base juridique valable, la plateforme a finalement décidé de solliciter, désormais, le consentement des consommateurs à ce que leurs données fassent l’objet d’un traitement. Le consommateur doit ainsi accepter explicitement que ses données personnelles puissent être utilisées par Meta à des fins publicitaires. Cependant, Meta conditionne le refus de consentement à la souscription d’un abonnement payant (3). Autrement dit, soit le consommateur consent, soit, à défaut, il paye. Ce modèle d’abonnement a suscité des préoccupations chez les régulateurs à travers l’Europe, qui ont désormais lancé une enquête formelle pour déterminer sa conformité au RGPD.

Ce sujet d’importance masque toutefois une autre problématique concernant les pratiques de Meta : les consommateurs ne sont pas en mesure d’évaluer l’ampleur ni les conséquences du traitement des données opéré par Meta, ce qui rend tout consentement valable totalement impossible, illusoire et inefficace, et ce quelle que soit la décision des régulateurs concernant le droit de Meta à pouvoir exiger un paiement. En outre, le traitement des données ne se limite pas à ce qui est strictement nécessaire, le rendant déloyal, de sorte que Meta viole les principes fondamentaux du RGPD.

Le prétendu choix que Meta propose aux consommateurs ne respecte pas les exigences du RGPD

Rappelons que le RGPD impose que le consentement au traitement de données personnelles soit notamment éclairé et donné librement. Or ces exigences légales ne sont pas respectées par Meta. Si l’entreprise collecte auprès de ses utilisateurs un ensemble de données personnelles et les traite à diverses fins telles que l’affichage de publicités, la personnalisation de contenus et/ou la fourniture de services commerciaux à d’autres entreprises, elle ne spécifie pourtant pas la finalité précise de chaque type de traitement opéré sur ces données collectées. Pour le consommateur, il est donc impossible de comprendre les changements exacts induits par la souscription (ou non) à la nouvelle offre d’abonnement payant de Meta. L’entreprise collectera-t-elle effectivement moins de données ou cessera-t-elle simplement de diffuser des publicités sans pour autant réduire son « pistage » massif ? Impossible de le savoir.

Le caractère brumeux des pratiques de Meta en termes de traitement des données est également démontré par la communication faussement rassurante faite auprès des utilisateurs. Alors qu’elle se contente de leur présenter une simple liste statique de sujets publicitaires assez génériques sur la base desquels l’entreprise diffuserait de la publicité, elle vante dans le même temps aux entreprises qui souhaiteraient avoir recours à ses services de publicités ciblées une technologie puissante, fondée sur des algorithmes, et censée actualiser en permanence le profil publicitaire du consommateur en se basant sur des informations personnelles extrêmement détaillées. Difficile de faire plus contradictoire !

Le traitement des données personnelles par Meta enfreint les principes fondamentaux du RGPD

Outre les exigences en matière de consentement, le RGPD impose aux entreprises de limiter la collecte et le traitement au strict nécessaire, en toute loyauté. Cependant, Meta ne démontre pas limiter la collecte de données, au contraire. L’entreprise aspire simplement toutes les données possibles et imaginables, tout en (i) dissimulant systématiquement l’ampleur de ses pratiques, (ii) en utilisant un langage volontairement ambigu et (iii) en ne révélant que la partie émergée de l’iceberg de ses pratiques de « pistage ».

En réalité, l’entreprise fait usage de technologies dites « espionnes » présentes dans la majorité des applications et sites web afin d’effectuer un profilage constant des consommateurs, lequel est basé sur l’analyse en temps réel de leurs activités, leur géolocalisation, leur personnalité, leurs comportements, leurs attitudes, leurs émotions… Les consommateurs ne peuvent raisonnablement s’attendre à une telle intrusion massive dans tous les aspects de leur vie privée et de leur personnalité. Dans l’ensemble, les pratiques de Meta enfreignent donc de façon patente les principes fondamentaux établis par le RGPD.

Soucieuse de garantir la maîtrise des données personnelles des consommateurs, comme le souligne sa campagne « Je ne suis pas une data », l’UFC-Que Choisir passe à nouveau à l’action. En collaboration avec ses homologues européens, l’association dépose une plainte auprès de la CNIL et demande à l’autorité française de contraindre Meta à se conformer aux règles et principes du RGPD. Par ailleurs, l’association rappelle qu’elle met à disposition des consommateurs un outil gratuit leur permettant de découvrir ce que les plateformes en ligne savent sur eux et de reprendre le contrôle de leurs données personnelles.


Une plainte du Bureau européen des unions de consommateurs (BEUC) confirme les craintes de collecte illicite des données personnelles des utilisateurs même en cas de paiement d’un abonnement

Le Bureau européen des unions de consommateurs (BEUC), qui regroupe 45 associations de consommateurs, a indiqué que huit d'entre elles déposaient jeudi des plaintes auprès de leurs autorités nationales respectives chargées de la protection des données. Les groupes affirment que Meta recueille une quantité inutile d'informations sur ses utilisateurs - telles que des données utilisées pour déduire leur orientation sexuelle, leur état émotionnel...