L'entreprise d’analyse de données Cambridge Analytica est accusée d'avoir aspiré les données personnelles de millions de membres de Facebook, sans leur consentement. Mais derrière les agissements de cette société, ce sont les pratiques du réseau social en matière d'informations privées qui sont encore une fois questionnées.

Facebook se retrouve une fois de plus au cœur de la tempête. Le réseau social vient en effet d’être indirectement mis en cause à l’issue de deux enquêtes parues le 17 mars dans les colonnes du Guardian et du New York Times, qui ont apporté de nouveaux éléments sur la manière dont une entreprise proche de Donald Trump a secrètement aspiré les données de millions de membres du site communautaire.

Cette société, Cambridge Analytica, a travaillé pour le camp républicain durant la campagne présidentielle américaine, en 2016. Son rôle était d’accumuler un maximum d’informations depuis Facebook pour améliorer le ciblage des personnes en âge de voter aux États-Unis, et ainsi renseigner l’équipe de Donald Trump sur la stratégie d’influence à mener pour obtenir plus d’électeurs.

Cambridge Analytica

L’affaire a débuté en 2013 quand l’entreprise britannique Strategic Communication Laboratories s’est intéressée à la politique en voulant récolter des indications sur le profil psychologique des électeurs afin de pouvoir les influencer. Or, la société SCL, via sa filiale Cambridge Analytica, manquait justement de matière première. Aussi s’est-elle tournée vers un universitaire de Cambridge.

L’intéressé a en effet développé une application, que Facebook a approuvé parce qu’elle était présentée comme ayant des finalités académiques, avec laquelle il était possible de recueillir les réponses des internautes aux questions d’un formulaire mais aussi de récolter diverses informations à partir du compte Facebook des sondés. Ce sont ces données qui ont fait l’objet d’une transaction.

Des millions de personnes concernées

L’universitaire, via sa firme Global Science Research, a transmis les informations à SCL et Cambridge Analytica. L’ampleur de la collecte est difficile à estimer mais elle se situerait entre 30 et 50 millions de personnes fichées dans une gigantesque base de données. Il est en tout cas clair que des millions de personnes sont concernées, mais pas uniquement des électeurs américains.

En effet, il est apparu que l’application a pu se servir pendant un temps d’un réglage de Facebook qui permettait aussi de siphonner les informations privées appartenant aux contacts des membres répondant au questionnaire. Cette « fonctionnalité » a depuis été désactivée, note Re/Code. Autrement, des internautes n’ayant rien à voir avec les buts poursuivis par SCL ont pu être pris dans les mailles du filet.

Facebook dans le viseur

Au-delà des agissements propres de Cambridge Analytica, qui est pointée du doigt pour avoir siphonné des informations personnelles de millions d’internautes sans recueillir leur consentement au préalable, l’affaire, révélée par le lanceur d’alerte américain Christopher Wylie, a surtout mis en lumière la façon dont Facebook gère la confidentialité des données que son service recueille chaque jour.

Sachant qu’elle allait être mise en cause dans ces deux enquêtes, la plateforme a cherché à prendre les devants en annonçant, vendredi 16 mars, la « suspension » de l’accès accordé à Cambridge Analytica. C’est bien le moins que le réseau social pouvait faire au regard du rôle qu’il a joué dans cette affaire : en effet, c’est lui qui a de facto laissé cette situation naître et perdurer, et qui n’a pas su prendre ses responsabilités.

Selon Le Monde, pointant des articles dans la presse de l’époque, Facebook avait été au courant dès 2015 que ces informations étaient siphonnées sous un prétexte de recherche avant d’être revendues à des fins politiques. Le site avait juste suspendu l’application et demandé aux intéressés de supprimer les données récoltées, sans toutefois s’assurer qu’elles ont effectivement été détruites.

Que savait Facebook ?

L’un des enjeux sera de savoir si Facebook savait précisément ce que faisait Global Science Research et la suite Cambridge Analytica. Deux problématiques sont posées : la première est de savoir si Facebook connaissait l’existence de ce business avant les premières révélations dans la presse. La seconde porte sur la manière dont le site a géré le dossier lorsqu’il est arrivé sur la place publique.

S’il est avéré que le réseau social savait avant les premières révélations qu’un tel business avait été mis en place, sur fond de détournement de conditions générales d’utilisation et d’API, le site risque de le payer cher, car cela veut dire que le site avait conscience que les finalités pour lesquelles il y avait cette collecte de données sensibles n’étaient pas tout à fait celles qui avaient été annoncées au départ.

Si ce n’est pas le cas, l’affaire pose simplement la question de sa capacité à contrôler sur qu’il se passe sur sa plateforme. Facebook a-t-il les moyens de vérifier précisément toutes les utilisations qui peuvent être faites des applications — très nombreuses — qui s’appuient sur le réseau social ? Dans ce scénario, une partie des activités de l’universitaire avec ces données s’est trouvée en dehors de ses radars.

En apparence, du point de vue de Facebook, tout semblait dans les clous et Facebook a pu légitimement penser que le projet de l’universitaire n’avait pas un versant plus sombre.

En tout cas, il semble que Facebook a de toute façon manqué d’allant pour remettre de l’ordre dans les activités de Cambridge Analytica lorsque les premières révélations sont sorties. Même si le site pourrait arguer qu’il ne savait pas avant 2015, la presse a révélé à partir de cette date l’existence de liens économiques impliquant cette société avec des chercheurs de Cambridge.

Le politique s’en mêle

Ces révélations devraient en tout cas avoir des répercussions sur le plan politique, aux USA et au Royaume-Uni : des deux côtés de l’Atlantique, les autorités réclament des comptes à Facebook sur la façon dont il gère les données de ses membres, indique le Washington Post. Il est en effet anormal que le site ait pu laisser un projet se construire, d’abord à des fins universitaires puis prendre une toute autre tournure.

« Quelqu’un doit en assumer la responsabilité. Il est temps pour Mark Zuckerberg d’arrêter de se cacher derrière sa page Facebook », s’est agacé Damian Collins, un député anglais en charge de la commission parlementaire sur le numérique. L’affaire pourrait aussi avoir des répercussions dans le reste de l’Union européenne : la Commissaire Věra Jourová a fait savoir qu’elle allait demander des explications à Facebook.

I will be in the US next week and I will seek further clarifications from #Facebook to understand this problem better. I welcome investigation by UK's @ICOnews and I am ready to help. — Věra Jourová (@VeraJourova) March 18, 2018

Vers une forte amende pour Facebook ?

Outre l’intervention du législateur, des sanctions administratives pourraient tomber : l’agence américaine spécialisée dans le droit de la consommation (Federal Trade Commission) pourrait en effet considérer que le réseau social a enfreint un accord passé en 2011 et lui infliger une amende de plusieurs millions de dollars, ajoute le quotidien, qui s’appuie sur les commentaires de deux anciens membres de la FTC.

Facebook et la FTC ont signé fin 2011 un accord dans lequel il est stipulé que le réseau social doit se plier à des audits réguliers et indépendants pendant une période de 20 ans, tous les deux ans, afin de vérifier que la confidentialité des données personnelles est bien respectée. Il doit aussi s’engager à recueillir au préalable le consentement clair de sa communauté à chaque fois qu’un réglage sensible est modifié.

I have deleted my Tweets on Cambridge Analytica, not because they were factually incorrect but because I should have done a better job weighing in. — Alex Stamos (@alexstamos) March 17, 2018

En attendant de voir quelles conséquences judiciaires et politiques auront ces enquêtes, Facebook semble vouloir chercher à faire du damage control. À côté de l’annonce sur la suspension de l’accès de Cambridge Analytica, Alex Stamos, le Monsieur Sécurité chez Facebook, a réagi le lendemain dans une série de messages, estimant qu’il « aurait dû faire un meilleur travail d’évaluation ».

« Nous avons été collectivement trop optimistes quant à ce que nous construisons et à notre impact sur le monde », a-t-il ajouté, notant « qu’il y a beaucoup de gros problèmes que les grandes entreprises de technologie doivent mieux régler », avant de se dire attaché à la protection de la vie privée, la sécurité, l’ouverture de la plateforme, la liberté face à la censure et à ne pas voir les régimes autoritaires se servir d’Internet comme une arme.

« Facebook n’est pas une victime. Il est complice »

Des propos qui ont été accueillis fraîchement par la presse.

« C’est bête que Facebook en général ne fasse pas globalement un meilleur travail d’évaluation. [Le 16 mars], le site a menacé de poursuivre en justice l’Observer et le Guardian pour empêcher la sortie de cette histoire. Vous pouvez peut-être l’expliquer », a lâché John Mulholland, de l’Observer. Menaces confirmées par Carole Cadwalladr, qui écrit pour les deux titres.

De son côté, Edward Snowden, le lanceur d’alerte qui a révélé les liens entre les géants du numérique et les services secrets américains, a déclaré que le réseau social n’est en aucun cas innocent : « Facebook gagne de l’argent en exploitant et en vendant des détails intimes sur la vie privée de millions de personnes, bien au-delà des rares détails que vous affichez volontairement. Ils ne sont pas des victimes. Ils sont complices ».

Depuis ces révélations, il s’avère que le compte personnel de Christopher Wylie a été suspendu, ainsi que son profil Instagram. Mesquines représailles.