Les agrégateurs d'informations personnelles dans le collimateur de la CNIL

La Commission nationale de l'informatique et des libertés (CNIL) a adressé, vendredi 23 septembre, un "avertissement public" à la société Pages Jaunes, pour avoir constitué, dans des conditions non conformes à la loi, 34 millions de profils d'internaute.

Dans un communiqué, le groupe Pages Jaunes affirme "étudier toutes les possibilités de recours" contre cette décision, qui ne s'accompagne pourtant d'aucune sanction financière ; il rappelle également que ce service avait été supprimé en mars.

A partir de janvier 2010, le site PagesBlanches.fr avait enrichi ses pages d'annuaire téléphonique d'informations glanées automatiquement sur les réseaux sociaux. Les nom, prénom, photographies, établissements scolaires, employeurs, profession et localisation géographique des internautes étaient ainsi aspirés sur les profils publics de sites comme Facebook ou Copains d'avant, et agrégés sur les Pages Blanches, aux côtés du numéro de téléphone de la personne recherchée.

Pour Pages Jaunes, cette collecte était légale, puisqu'elle se fondait sur des informations publiques, librement accessibles sur Internet. Faux, estime la CNIL, qui souligne dans sa décision que "si les personnes concernées se sont inscrites sur des réseaux sociaux de leur plein gré, il ne résulte pas de cette démarche volontaire que l'ensemble de ces personnes aient également accepté, systématiquement et en toute conscience, que leurs informations communautaires soient récupérées par des tiers pour être agrégées à leurs données d'annuaires et diffusées sur le réseau".

Deuxième problème, note la Commission : parmi les profils agrégés automatiquement, certains correspondaient également à des personnes inscrites sur liste rouge, ou mineures, à qui l'intention de diffuser largement ces informations "ne peut sérieusement être imputée".

Pages Jaunes objectait également que les conditions d'utilisation des réseaux sociaux, comme Facebook, précisent que les données publiées peuvent être "indexées par des moteurs de recherche tiers (...) sans restriction de confidentialité. Ces informations peuvent également être associées à vous, y compris à votre nom et à votre photo de profil, même en dehors de Facebook, par exemple sur des moteurs de recherche ou lorsque vous visitez d'autres sites Internet". Un argument également rejeté par la CNIL, pour qui ces avertissements n'autorisent pas un tiers à procéder à "une collecte massive, répétitive et indifférenciée de ces données sans en avertir les personnes concernées". La Commission note également que l'activité principale de Pagesblanches.fr est celle d'un annuaire, et non d'un moteur de recherche.

Dernier grief : les grandes difficultés imposées aux internautes qui souhaitaient faire supprimer des informations personnelles du service. La CNIL relève que l'entreprise imposait aux internautes de signaler manuellement chaque lien dont ils souhaitaient la suppression, et ne leur permettait pas de demander la suppression complète de leur page. Une pratique également effectuée par 123people.com, la société basée en Autriche et rachetée par Pages Jaunes l'an dernier.

123PEOPLE EN LIGNE DE MIRE

Se présentant comme un "moteur de recherche en ligne spécialisé dans la recherche de personnes", 123people agrège des informations très proches de celles qu'intégrait PagesBlanches.fr jusqu'en mars : nom, prénom, photographies, numéro de téléphones, profils sur les réseaux sociaux, adresse e-mail... Et le site crée automatiquement des pages de profil.

"La CNIL ne peut s'exprimer sur d'éventuels dossiers en cours ; mais si nous avons décidé de rendre publique notre décision concernant Pages Blanches, c'est pour qu'elle ait valeur d'exemple", explique au Monde.fr Yann Padava, le secrétaire général de la Commission. "Cet avertissement a une double visée pédagogique : à destination des entreprises - et a fortiori pour une filiale de Pages Jaunes - mais aussi des internautes, qui doivent prendre conscience que les informations qu'ils publient sur les réseaux sociaux peuvent se voir agrégées ailleurs."

123people a fait l'objet de nombreuses critiques, parfois très véhémentes, pour sa politique en matière de droit d'opposition. Le site ne permet en effet pas la suppression directe d'une page, mais demande aux internautes de signaler manuellement chaque lien qu'ils souhaitent voir déréférencé. En début d'année, le service avait également refusé d'honorer les demandes émises à partir d'un script conçu par un informaticien pour simplifier la collecte des liens pour les internautes. "En France, la loi prévoit deux choses, explique Yann Padava. Les personnes doivent être informées des utilisations qui seront faites de leurs informations, et elles doivent pouvoir s'y opposer. Ce droit d'opposition doit, bien sûr, être effectif, ce qui n'était pas le cas pour le service de Pages Blanches."

Basé à Vienne, en Autriche, 123people affirme suivre "les directives très strictes de la loi autrichienne sur la protection des données privées (...). Nous ne stockons aucune donnée et ne créons pas de profils." Mais l'entreprise est aujourd'hui filiale d'une société française. Et pour le collectif de protection de la vie privée Big Brother Awards Autriche, qui avait décerné en 2009 un "prix Orwell" au service, 123people n'applique pas scrupuleusement la loi autrichienne. "123people affirme qu'ils ne stockent aucune donnée, et qu'ils procèdent uniquement à une recherche en temps réel sur Internet. Si c'était le cas, les internautes n'auraient en effet pas la possibilité de demander la suppression de leurs informations. Mais 123people propose aussi un système permettant d'ajouter des informations sur quelqu'un, pour, selon eux, améliorer leur moteur de recherche ; ces données sont bien stockées par 123people", détaille Markus Kainz, des Big Brother Awards.


http://www.lemonde.fr/technologies/article/2011/09/23/la-cnil-adresse-un-avertissement-severe-aux-pages-jaunes_1576684_651865.html