Collecte déloyale et indexation de profils sociaux par un annuaire en ligne

La CNIL retient que la collecte massive, répétitive et indifférenciée de profils publiquement accessibles sur des réseaux sociaux peut être déloyale au sens de l’article 6, 1° de la loi du 6 janvier 1978. La publication volontaire d’un profil ne vaut pas consentement à son agrégation avec des données d’annuaire et à sa rediffusion par un tiers, notamment lorsque sont concernés des mineurs ou des personnes inscrites sur liste rouge.

L’article 32 imposait une information préalable, claire et spécifique sur le responsable, les finalités, les destinataires et les droits des personnes. Une mention figurant sur la page de résultats, destinée aux visiteurs, est tardive et insuffisante. Une information générale fournie par un réseau social ne constitue une exception que si elle décrit précisément le traitement ultérieur et ses modalités. L’exception tenant à l’impossibilité ou aux efforts disproportionnés n’était pas applicable, des accords avec les réseaux sociaux étant envisageables.

La réutilisation de données de l’annuaire pour filtrer des profils Facebook méconnaît également l’article 6, 1° et 2°, ainsi que l’article R. 10-4-II du CPCE, dès lors qu’elle est étrangère à la fourniture d’un annuaire ou d’un service universel de renseignements. Les délais excessifs de mise à jour violent l’article 6, 4°. Les procédures d’opposition, d’accès, de suppression et de rectification ne satisfaisaient pas aux articles 38 et 40.

Enfin, la conservation des adresses IP, contenus, dates et heures des requêtes était inadéquate, non pertinente et excessive au regard de l’article 6, 3°, aucune obligation légale ne s’imposant à cet opérateur. La cessation du service n’empêche pas de sanctionner les manquements passés ; un avertissement public a donc été prononcé sur le fondement des articles 45 et suivants.

⬇️Télécharger la décision version officielle

Un annuaire en ligne agrégeait des profils issus de réseaux sociaux et affichait de nombreuses informations personnelles, notamment concernant des mineurs et des personnes inscrites sur liste rouge. La CNIL a relevé une collecte massive sans information, des procédures d’opposition et de suppression insuffisantes, des mises à jour tardives et la conservation de données de connexion, puis prononcé un avertissement public.

La société X exploitait un service d’annuaire en ligne enrichissant les résultats d’une recherche nominative avec des profils issus de plusieurs réseaux sociaux. Cette fonctionnalité permettait d’afficher des identités, photographies, coordonnées, professions, employeurs, établissements scolaires et localisations.

Deux particuliers ont signalé la prise en compte insuffisante de leurs demandes d’opposition. Un contrôle de la CNIL a révélé une collecte massive sans information préalable, l’agrégation de profils de personnes mineures ou inscrites sur liste rouge, ainsi qu’un filtrage de profils Facebook au moyen de données extraites de l’annuaire universel.

Le contrôle a également mis en évidence des délais importants de mise à jour, des procédures complexes ou incomplètes d’opposition, de suppression et de rectification, ainsi que la conservation des adresses IP et des contenus de requêtes. La société avait suspendu le webcrawl, mais la formation restreinte a retenu plusieurs manquements et prononcé un avertissement rendu public.

• Informer préalablement les personnes indexées sur les finalités et modalités du traitement
• Justifier une collecte loyale malgré l’accessibilité publique des profils
• Respecter les finalités assignées aux données de l’annuaire universel
• Maintenir les profils exacts, complets et régulièrement mis à jour
• Permettre l’opposition, la suppression et la rectification par une procédure effective
• Limiter la conservation des adresses IP aux données adéquates et pertinentes

• Constats des contrôles réalisés dans les locaux de la société
• Profils sociaux aspirés et agrégés aux données de l’annuaire
• Statistiques démontrant les retards de mise à jour des profils
• Procédure imposant URL, identité et justificatif pour chaque suppression
• Extraction des couples nom-prénom pour filtrer les profils Facebook
• Conservation des adresses IP, contenus, dates et heures des requêtes

La société voit plusieurs manquements à la protection des données retenus malgré la suspension du service, avec un avertissement rendu public. Les personnes concernées disposent de droits dont l’exercice doit être effectif, durable et correctement porté à leur connaissance.

• Exclusion de la collecte massive non spécifiquement portée à connaissance
• Interdiction de réutiliser les données d’annuaire pour filtrer des profils sociaux
• Mise à jour régulière et suppression effective des profils indexés
• Simplification des procédures d’opposition, de rectification et d’effacement
• Limitation de la conservation des adresses IP aux obligations légales
• Exposition à un avertissement public pour les manquements passés

À faire

• Informer spécifiquement les personnes avant l’indexation de leurs profils
• Documenter les finalités et les modalités précises du traitement
• Actualiser régulièrement les données provenant des réseaux sociaux
• Prévoir une opposition, suppression et rectification simples et durables
• Vérifier la nécessité légale de conserver les adresses IP

À éviter

• Assimiler publication publique et consentement à la réutilisation
• Utiliser une mention générale destinée aux seuls visiteurs
• Réutiliser les données d’annuaire pour filtrer des profils sociaux
• Maintenir des profils supprimés ou modifiés pendant plusieurs mois
• Exiger des formalités disproportionnées pour chaque demande d’opposition

La collecte loyale des profils publiquement accessibles

nLa publication d’un profil sur Internet n’autorise pas automatiquement une collecte massive, répétitive et indifférenciée par un tiers. La formation restreinte a retenu une méconnaissance de l’article 6, 1° de la loi du 6 janvier 1978 : l’inscription volontaire sur un réseau social ne vaut pas acceptation consciente de l’agrégation des données avec celles d’un annuaire et de leur rediffusion. Cette analyse est renforcée pour les mineurs et les personnes inscrites sur liste rouge.n

L’information préalable des personnes concernées

nL’article 32 de la loi du 6 janvier 1978 exige une information sur le responsable, les finalités, les destinataires et les droits. Une mention placée sur la page de résultats, destinée aux visiteurs, est tardive et ne vise pas les personnes indexées. Une clause générale d’un réseau social ne peut suffire que si elle décrit spécifiquement, clairement et précisément le traitement ultérieur. L’exception fondée sur l’impossibilité ou les efforts disproportionnés n’était pas établie.n

La réutilisation des données d’annuaire à des fins de filtrage

nL’article R. 10-4-II du CPCE interdit l’usage des listes d’abonnés à d’autres fins que la fourniture d’annuaires universels ou de services universels de renseignements téléphoniques. L’extraction de couples nom-prénom pour filtrer des profils Facebook était étrangère à cette finalité. Elle constituait donc un traitement illicite et un détournement de finalité au regard de l’article 6, 1° et 2°, de la loi du 6 janvier 1978.

Article 6 de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 38 de la loi n° 78-17 du 6 janvier 1978, Article 40 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article L. 35-4 du Code des postes et des communications électroniques, Article R. 10-4-II du Code des postes et des communications électroniques, Article L. 34-1 du Code des postes et des communications électroniques, Article L. 336-3 du Code de la propriété intellectuelle, Loi n° 2004-575 du 21 juin 2004