La Cnil ordonne à WhatsApp d'encadrer le transfert des données à Facebook

La messagerie instantanée WhatsApp transfère illégalement les données personnelles de ses utilisateurs à sa maison-mère Facebook, a averti lundi la Commission nationale de l'informatique et des libertés (Cnil), en donnant trois mois au groupe américain pour se conformer à la loi.

La Commission reproche à WhatsApp la nouvelle version de ses conditions d'utilisation et de politique de confidentialité, à la suite de son rachat par Facebook en 2014, qui permet le transfert des données de ses utilisateurs vers sa maison-mère.

"Nous disons à Facebook que la combinaison de données qu'elle opère entre les données de Facebook et celles de WhatsApp n'a pas de base légale", a expliqué sur BFM Business la présidente de la Cnil Isabelle Falque-Pierrotin.

La Cnil a en effet constaté que WhatsApp transmet à Facebook des données concernant ses utilisateurs - numéros de téléphone et informations relatives aux habitudes d'utilisation, notamment -, sans recueillir leur consentement préalable, et sans qu'ils puissent s'y opposer autrement qu'en supprimant leur compte WhatsApp.

Afin de vérifier la conformité de ces transmissions de données à la Loi informatique et libertés, la Commission a ouvert une enquête mais a regretté que "Facebook a(it) extrêmement mal coopéré avec la Cnil", a ajouté Mme Falque-Pierrotin.

"La Cnil n'a donc pas été en mesure d'examiner pleinement la conformité des traitements mis en oeuvre par la société à la Loi informatique et libertés", regrette la Commission, dans un communiqué résumant sa délibération.

Elle lui demande notamment de recueillir le consentement des 10 millions d'utilisateurs français de WhatsApp avant toute transmission à Facebook et de leur donner la possibilité de s'y opposer tout en continuant à bénéficier du service.

En outre, alors que la Cnil lui a demandé à plusieurs reprises de lui communiquer un échantillon des données des utilisateurs français transmises à Facebook, WhatsApp a estimé ne pas être en mesure de fournir ces informations dans la mesure où, étant installée aux Etats-Unis, la firme se considère uniquement soumise à la législation de ce pays, selon le régulateur des données.

- "La Cnil est compétente" -

"La Cnil est compétente dès lors qu'un opérateur met en oeuvre des moyens de traitement situés en France", précise pourtant la Commission qui pointe un "manquement" de la part de WhatsApp "à son obligation de coopérer" avec le régulateur.

"La mise en demeure n'est pas une sanction mais une demande de mise en conformité. Facebook peut donc arrêter ses agissements et nous espérons une réelle coopération avec WhatsApp désormais", a ajouté la présidente de la CNIL.

Isabelle Falque-Pierrotin a par ailleurs rappelé que "sans nouvelle, s'enclenche alors une procédure de sanction, qui peut monter jusqu'à 3 millions d'euros en France. Et nous travaillons en rapport avec plusieurs de nos homologues européens".

Le G29, groupement des Cnil européennes, a en effet "missionné son sous-groupe en charge de la coopération en matière d'enquêtes et de sanctions, notamment pour qu'il coordonne les actions des autorités souhaitant mener des investigations", avait précisé la Cnil dans son communiqué.

La Commission nationale de l'informatique et des libertés (Cnil) est régulièrement en conflit avec les géants américains du net, notamment Facebook et Google. Elle rappelle dans sa délibération que la Commission européenne a condamné Facebook en mai à une amende de 110 millions d'euros pour avoir fourni des "renseignements dénaturés" concernant l'acquisition de WhatsApp.