L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureRGPD : X.com attaqué devant la CNIL pour la géolocalisation des profils
La nouvelle fonctionnalité du réseau d’Elon Musk serait contraire au règlement européen sur les données personnelles. Un avocat français porte plainte.
Cela faisait des années qu’une nouvelle fonctionnalité n’avait pas autant fait parler sur X.com (ex-Twitter). Lancé le 21 novembre comme « une première étape importante » pour mieux vérifier l’authenticité des contenus diffusés par ses utilisateurs, elle prétend afficher la localisation d’un compte. ...
« Cette divulgation est effectuée sans consentement préalable, sans information claire et préalable, et par défaut sans possibilité de refus initial », relève-t-il de ses écritures. En prenant appui sur la jurisprudence de la Cour de justice de l’Union européenne, il considère que ces données de géolocalisation relèvent de la régulation du RGPD car elles peuvent être reliées à un individu et sont susceptibles de révéler des informations sur plusieurs aspects de sa vie privée. Dans le cœur de son argumentaire, il y aurait déjà une violation du principe de « licéité », lequel consiste à devoir fonder tout traitement sur l’une des bases légales envisagées limitativement par le texte européen. Or, aucun de ces socles ne serait satisfait, selon lui.
La base légale du « consentement » explicite ? X a mis en œuvre ce traitement du jour au lendemain, sans exiger l’accord préalable des utilisateurs. La base de « l’intérêt légitime » ? Elle suppose d’abord une mise en balance entre l’intérêt poursuivi par le responsable de traitement et les droits des individus. Ce fondement peut par exemple être mobilisé lorsqu’un responsable met en œuvre des solutions destinées à améliorer la sécurité informatique d’un traitement. Les droits des personnes physiques sont alors préservés. Pour le cas de X.com, l’avocat est beaucoup moins sûr. De son avis, la divulgation publique de la localisation peut même porter une atteinte disproportionnée à la vie privée. Il évoque en guise d’exemple « le risque pour un utilisateur d’être repéré lorsqu’il est en vacances dans un pays étranger, ce qui ouvre la voie à de potentiels et éventuels cambriolages ». Enfin, ce traitement ne peut reposer sur la base du « contrat », puisque cela supposerait qu’il lui soit juridiquement et objectivement indispensable. « L’objet principal du contrat est de permettre à l’utilisateur d’accéder à une plateforme de microblogging et de réseautage social. La divulgation publique de la géolocalisation ne fait pas partie de la prestation contractuelle fondamentale ». D’ailleurs, argue-t-il, X.com a pu être proposé pendant des années, sans divulguer la localisation de ses utilisateurs.
Dans sa plainte, il identifie d’autres contrariétés majeures avec le RGPD, en particulier le manque de transparence. « Les utilisateurs n’ont pas été informés préalablement de cette nouvelle fonctionnalité, déployée a posteriori du recueil du traitement des adresses IP des utilisateurs » (adresses qui peuvent servir à estimer la géolocalisation d’une connexion, ndlr). S’ajoute une possible violation du principe dit de « minimisation », qui oblige à ne devoir traiter que les données strictement nécessaires au traitement. « La divulgation publique de la localisation ne semble absolument pas nécessaire sur un tel réseau social, ou alors via uniquement sur demande et après un consentement explicite ». Enfin, le réseau social ne respecterait pas un autre principe du règlement, celui de la protection de la vie privée par défaut et par conception (« privacy by default », « privacy by design »). Or, sur ce point et toujours selon le RGPD, les responsables de traitement doivent mettre en place des mesures pour garantir « que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l’intervention de la personne physique concernée ».
Dans les prochains mois, la CNIL devrait transmettre cette plainte à son homologue irlandaise, qui est l’autorité compétente puisque le siège européen de X.com y est implanté dans ce pays. Selon nos informations, une deuxième procédure similaire a été lancée devant la même commission par un membre de l’association Pour un RGPD Respecté (PURR). L’intéressé (connu sous le pseudo @Aeris) entend donner l’opportunité à l’autorité française de gagner du temps en agissant directement contre X.com, plutôt que de passer par Dublin. Son argument ? La géolocalisation des comptes a été décidée non en Irlande, mais directement depuis le siège américain d’Elon Musk.
