L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureTransfert de données vers les États-Unis : Le Figaro épargné par la CNIL
Le journal a tout juste été épinglé par l’autorité pour des transferts de données des internautes hors de l’Union européenne. Explications
Le Figaro ne s’en sort pas si mal ! Depuis plusieurs années maintenant, la Commission nationale de l’informatique et des libertés (CNIL) a dans le collimateur la façon dont le quotidien gère certaines données à caractère personnel de ses lecteurs. Alertée par la plainte d’une internaute qui critiquai...
Pour comprendre ce rappel à l’ordre, il faut revenir sur une importante décision de la Cour de justice de l’Union européenne (CJUE). Le 16 juillet 2020, la juridiction a invalidé le « Privacy Shield », un document signé en 2016 dans lequel la Commission européenne considérait que les États-Unis offraient un niveau de protection équivalent à celui en vigueur dans n’importe quel pays européen. Alors que ce texte a permis à des entreprises américaines parfois majeures d’aspirer librement les données des résidents de tous les États membres pour les traiter outre-Atlantique, la CJUE est revenue sur cette « décision d’adéquation ». Les juges ont considéré que cette équivalence ne tenait pas, tout particulièrement en raison de la législation étasunienne très intrusive, taillée au profit des services du renseignement américains, mais aussi de l’absence de droit au recours reconnu aux résidents européens. La décision invalidée a depuis été remplacée le 10 juillet 2023 par un nouvel accord, baptisé « cadre de protection des données », qui rouvre les vannes vers les US sur une base présentée comme beaucoup plus protectrice.
S’agissant du Figaro, la CNIL a considéré que les transferts intervenus depuis cette date apparaissent a priori conformes. Mais tel n’est pas le cas pour les opérations menées entre le 16 juillet 2020, date de l’arrêt de la CJUE, et le 10 juillet 2023, date du nouveau cadre d’adéquation. Certes, la Société du Figaro a bien mis en œuvre dans l’intervalle de ces trois années des mesures techniques (en l’occurrence, une « proxyfication », consistant en l’utilisation d’un serveur intermédiaire pour limiter les risques d’identification des internautes), mais les choix opérés n’ont pas été jugés suffisamment solides par la CNIL. Dans un courrier daté du 4 juin, adressé à la plaignante et qu’a pu lire l’Informé, Marie-Laure Denis, présidente de l’autorité relève qu’ils « n’ont pas permis d’éviter le transfert de données à caractère personnel des utilisateurs du site web LeFigaro.fr vers les États-Unis ». Pour cette défaillance, le gendarme des données personnelles avait engagé plusieurs procédures à l’encontre d’acteurs du e-commerce, et même infligé en février 2022 une mise en demeure, suggérant à l’un d’entre eux d’abandonner purement et simplement Google Analytics. Cette fois, alors que le Figaro avait déjà été sanctionné en 2021 pour le dépôt sauvage de cookie, l’autorité s’est contentée de la mesure correctrice la plus douce, à savoir le « rappel aux obligations légales. »
Contactée, la CNIL nous confirme ce rappel à l’ordre, mais se refuse à tout autre commentaire « s’agissant d’une décision non publique ». De son côté, l’internaute à l’origine de la plainte (qui souhaite rester anonyme) ne cache pas sa déception : « je ne comprends pas la nécessité d’avoir attendu trois longues années de non-conformité pour répondre sur le cas de Google Analytics uniquement. J’avais mis en cause d’autres transferts de données vers les États-Unis qui n’ont pas été pris en compte par l’autorité. Je suis pour le moins déçu de la qualité de son intervention. ». Bertrand Gié, directeur du pôle news du Figaro, préfère pour sa part relativiser l’épisode : « il s’agit d’un rappel à la loi pour la période antérieure à la décision d’adéquation de la Commission européenne du 10 juillet 2023. Ce rappel à la loi vise une situation que la décision d’adéquation a rendu sans objet ».
