Ce sera finalement à la Cour suprême de trancher si Facebook/Meta a bel et bien obtenu un consentement valable de ses utilisateurs pour le partage de leurs données personnelles.

Le plus haut tribunal a annoncé jeudi qu’il entendra l’appel logé par Meta et tranchera entre deux visions, soit celle de la Cour fédérale, qui avait donné raison au géant du web et la Cour d’appel fédérale, dont un banc de trois juges avait au contraire donné raison au commissaire à la protection de la vie privée du Canada.

L’affaire est reliée au scandale Cambridge Analytica qui avait éclaté au grand jour en 2015 lorsqu’il avait été révélé qu’une application tierce, qui se présentait sur le réseau social Facebook comme un banal test de personnalité nommé «thisisyourdigitallife» (TYDL, ou «ceci est votre vie numérique»), s’est avéré être un outil de collecte de données personnelles dans l'intention de les vendre. L’application permettait à son concepteur, un professeur de l’Université Cambridge au Royaume-Uni, Aleksandr Kogan, d’accéder non seulement aux renseignements personnels des utilisateurs de Facebook qui l’avaient installée, mais aussi à ceux de tous leurs amis »Facebook.

Favoriser Donald Trump

Ces données avaient ensuite été vendues à une société appelée Cambridge Analytica et une entité liée, Strategic Communication Laboratories Elections Ltd., qui, elles, avaient utilisé les données pour aider leurs clients à cibler leurs messages politiques vers des électeurs potentiels en vue de l’élection présidentielle américaine qui allait alors avoir lieu, l’objectif étant de favoriser l’élection de Donald Trump en 2016.

Le commissaire à la protection de la vie privée avait reçu une plainte à ce sujet en mars 2019. Bien que seuls 272 utilisateurs canadiens aient installé l’application TYDL, l’effet multiplicateur de récolte des données des amis Facebook de ceux-ci a fait en sorte que les données de plus de 600 000 Canadiens ont ainsi vraisemblablement été communiquées.

À l’issue de son enquête, le commissaire avait conclu que Facebook n’avait pas obtenu le consentement valable et éclairé des utilisateurs quant à la communication de leurs renseignements aux applications, et que Facebook n’avait pas protégé les données de ses utilisateurs et avait porté l’affaire devant la Cour fédérale.

En première instance, la Cour fédérale a rejeté la demande, mais la Cour d’appel fédérale a accueilli l’appel du Commissaire. Dans une décision très étoffée rendue en septembre 2024, la Cour d’appel soulignait que «le consentement valable (…) repose sur la compréhension de la personne raisonnable quant à la nature, aux fins et aux conséquences de la communication. En l’espèce, il était impossible pour les amis Facebook des utilisateurs de s’informer, au moment de la communication, sur les fins auxquelles chaque application tierce utiliserait leurs données, ou même de savoir que leurs données étaient communiquées à ces applications».

Textes incompréhensibles

Le tribunal visait particulièrement les textes des Conditions de service, soulignant que «les termes qui sont en apparence clairs ne donnent pas nécessairement lieu à un consentement valable. La clarté apparente peut s’évaporer ou s’embrouiller en raison de la longueur du document et du brouillard qui s’y installe ainsi que de la complexité des termes utilisés. De la longueur qu’une nouvelle d’Alice Munro, les Conditions de service et la Politique de confidentialité — que probablement peu de personnes lisent, de l’aveu de Mark Zuckerberg (le propriétaire de Meta) lui-même lors de son témoignage devant un comité sénatorial américain — ne constituent pas un consentement valable aux communications en cause en l’espèce.»

«Le mot « consentement » n’est pas vide de contenu, et en l’espèce, le contenu est prescrit par la loi. Il comprend une compréhension de la nature, des fins et des conséquences de la communication», ajoutait la Cour d’appel fédérale.

Facebook: échapper à ses responsabilités

Le tribunal reprochait à Facebook de chercher à se définir comme un intermédiaire neutre et passif et que la faute incombait aux responsables d’applications tierces, comme TYDL. «En se positionnant ainsi, Facebook tente de réduire, voire d’éliminer les responsabilités qui lui incombent en vertu de la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques)», soulignait le tribunal.

Bien que Facebook avertissait ses utilisateurs de bien lire les conditions de service des applications, «on ne peut cependant pas en déduire que les utilisateurs qui ont lu la Politique de confidentialité savaient que ces applications tierces pouvaient être des acteurs malveillants ayant l’intention de ne pas respecter les politiques de Facebook ou les lois locales en matière de protection de la vie privée, encore moins que ces acteurs malveillants pourraient avoir l’intention de vendre les données des utilisateurs à une tierce partie.»

«La seule conclusion possible est que Facebook n’a pas informé adéquatement les utilisateurs, lors de la création de leur compte Facebook, des risques entourant leurs données (risques qui se sont concrétisés avec l’application TYDL et Cambridge Analytica). Aucun consentement valable n’a par conséquent été obtenu», concluait le tribunal.

Pierre Saint-Arnaud, La Presse Canadienne