Qwant épinglé par la CNIL pour avoir transmis des données soi-disant anonymisées à Microsoft

À Lire aussi

Données personnelles : Qwant dans le viseur de la CNIL

Dans cette décision, la chef de file de la Commission relève que les investigations menées depuis 2019 « ont permis d’établir que la société Qwant transmettrait à la société Microsoft Ireland Opérations Limited des données essentiellement techniques (…) afin que cette dernière renvoie les résultats correspondant aux recherches faites par les utilisateurs ainsi que des publicités contextuelles ». Parmi ces données, des identifiants et des adresses IP tronquées. Lors de l’instruction, Qwant a affirmé que les moyens déployés permettaient d’anonymiser les flux transmis à son partenaire américain, leur faisant perdre par la même occasion leur statut de données à caractère personnel. Une position qui n’a pas convaincu l’autorité de contrôle, confirmant les signalements de Stéphane Erard, défendu par Me Ronan Hardouin. Au prix d’une série « d’analyses approfondies », au « caractère hautement technique » et dans le contexte « du premier dispositif de la sorte examiné par la CNIL », Marie-Laure Denis considère qu’il était beaucoup plus exact de qualifier ces informations de « pseudonymes », au regard des recommandations et de la jurisprudence en vigueur. Problème, à l’époque des contrôles, « Qwant indiquait que les données étaient anonymes » et « par corrélation, [le moteur de recherche] ne mentionnait ni la finalité publicitaire de la transmission des données à la société Microsoft Ireland Opération Limited, ni la base légale mobilisée par ce traitement ». En clair, les informations délivrées aux utilisateurs n’étaient pas conformes au règlement général sur la protection des données à caractère personnel (RGPD) qui s’appliquait pleinement. La CNIL relève également que depuis 2020, soit un an après les premiers contrôles par ses agents, Qwant a corrigé sa politique de confidentialité pour la remettre d’aplomb avec ces normes de protection.

À Lire aussi

Qwant, le moteur « made in France » de plus en plus dépendant de Microsoft

Au fil de l’instruction, ce dossier a connu un tournant européen puisque des utilisateurs de Qwant, éparpillés dans tous les États membres, étaient concernés. Faute de consensus entre les autorités de contrôle sur les mesures à prendre à son encontre, la CNIL ont finalement opté pour une procédure exceptionnelle, celle du « règlement des différends » menée auprès du Comité européen de la protection des données (CEPD). Cette instance n’a finalement pas eu à arbitrer, puisque l’ensemble des autorités concernées sont finalement parvenues à un accord. Au final, Qwant écope d’un rappel à la loi pour non-respect de ses obligations de transparence et d’information vis-à-vis des utilisateurs. Contactée, Qwant tient à nous souligner que ce simple rappel à l’ordre est daté. « C’est un sujet de 2019, corrigé dans les conditions générales d’utilisation en 2020 ». De plus, elle n’aurait connu «  aucun problème depuis, notamment depuis l’acquisition par Synfonium en 2023 (composé d’Octave Klaba fondateur OVH Cloud à 75% et de la Caisse des dépôts et consignation à hauteur de 25%)  ». Elle ajoute que « la pseudonymisation n’est pas synonyme de ciblage, ni de partage ou stockage de données personnelles » et confirme « que Qwant ne stocke aucune donnée personnelle et est en conformité totale avec les engagements que nous annonçons ». Stéphane Erard se dit « soulagé qu’enfin une décision sorte après cinq années d’attente ». Il envisage désormais d’ « aller chercher les responsabilités individuelles pour être dédommagé ».

À Lire aussi

Qwant encore une fois sauvé par la puissance publique

Une victoire tardive pour l’ex-salarié
Pour avoir notamment posté plusieurs tweets insinuant ou affirmant que Qwant trompait ses utilisateurs sur sa politique de confidentialité, Stéphane Erard avait fait l’objet d’un licenciement pour faute en 2017. Après un jugement rendu par le Conseil des Prud’hommes de Nice en 2018, la cour d’appel d’Aix-en-Provence a confirmé le 10 mars 2022 la cause réelle et sérieuse de cette décision. L’intéressé avait également fait l’objet d’une action lancée par la société pour plusieurs tweets publiés à partir de septembre 2018, considérés comme injurieux et diffamatoires, car mettant encore en doute le respect de ses engagements quant à la vie privée de ses utilisateurs ou sa loyauté vis-à-vis d’un de ses principaux actionnaires, la Caisse des dépôts et consignation. Le 3 février 2022, le tribunal correctionnel a finalement prononcé la nullité de la citation directe délivrée à son encontre, pour non-respect des règles en vigueur.