La protection des données à caractère personnel sur les réseaux sociaux: le cas de la Côte d'Ivoire

B-Le défaut de détermination d'une finalité

Selon la CNIL, le principe de finalité est«un principe cardinal de toutes les législations de protection des données. C'est au regard de la finalité du fichier que s'apprécient lecaractère adéquat, pertinent et non excessif des données collectées, la durée pendantlaquelle les informations peuvent être conservées ou encore les destinataires desinformations. C'est la finalité déclarée d'un fichier qui permettra d'empêcher que lesinformations nominatives qu'il comporte puissent être utilisées à des fins étrangères àcelles qui avaient justifié leur collecte »^28(*). C'est pourquoi il est nécessaire qu'un traitement de données ait une finalité c'est à dire un objectif^29(*).

C'est ce qui se dégage de l'article 16 de la loi ivoirienne précitée qui dispose : « les données doivent être collectées pour des finalités déterminées, explicites et légitimes ...».A l'analyse de cette disposition, on peut déduire qu'il est impossible de procéder à un traitement de données à caractère personnel sans déterminer de finalité. Ainsi, le législateur ivoirien l'a inséré comme une mention dans les procédures de demande d'avis, de déclaration et de demande d'autorisation à l'article 9 de la loi susvisée. Selon cette disposition, « La demande d'avis, la déclaration et la demande d'autorisation sont adressées à l'Autorité de protection et contiennent au minimum les mentions suivantes :la ou les finalité(s) du traitement ainsi que la description générale de ses fonctions ; ... ».La finalité d'un traitement doit être déterminée c'est-à-dire précise. Toutefois,certains réseaux sociaux greffent des finalités accessoires à la finalité déclarée de telle sorte que la finalité du traitement des données collectées manque de précision. De plus la formulation de la finalité n'est pas assez claire.En effet, le réseau social Facebook prétend collecter les données personnelles pour fournir ses services et maintenir sa qualité^30(*).

- Qu'entend-on par fourniture de service ?

- Quelles sont ces services à fournir ?

La formulation de cette finalité pose des problèmes de compréhension. En outre, après certaines investigations de la CNIL, il a été constaté que ce réseau social procède à la combinaison de données à des fins publicitaires.Pour ce réseau social, cette combinaison a pour but d'améliorer son système publicitaire. Ce qui ne constitue pas l'objet principal du contrat auquel souscrit l'internaute lorsqu'il s'inscrit sur le site.

Par ailleurs, la CNIL a été informée de la mise en place d'un traitement de lutte contre la fraude par le réseau Facebook^31(*).Les finalités de ce réseau social sont donc indéterminées, ce qui constitue un manquement à la loi relative à la protection des données personnelles. Il faut donc que l'ARTCI veille à ce que les responsables de traitement établissent des finalités déterminées et que le traitement des données collectées s'inscrive dans la finalité déclarée.

Sur ce point, le groupe de l'article 29« G29 » y veille. Elle a interpelé le réseau social Whatsappsur la modification de sa politique d'utilisation. En effet, le groupe de travail de l'Article 29 « G29 », réunissant les autorités de protection des données personnelles des Etats membres de l'Union Européenne, a adressé le 27 octobre 2016, une lettre à l'entreprise WhatsAppconcernant les changements relatifs aux conditions d'utilisation et à la politique de confidentialité annoncés en août 2016. Le G29 exprime sa vive préoccupation à propos du partage d'information réalisée au sein de la « famille d'entreprises Facebook » pour des finalités qui n'étaient pas inclues dans les conditions d'utilisation et la politique de confidentialité au moment où les actuels utilisateurs ont souscrit au service WhatsApp^32(*).Bien qu'il existe un danger en cas de non-détermination de la finalité, le législateur ivoirien ne prévoitpas de sanctions. Cette abstention s'avère dangereuse pour la protection des données à caractère personnel, puisque, les responsables de traitement peuvent saisir l'occasion pour procéder à des traitements illicites.

Section 2 : Une collecte abusive des données à caractère personnel des membres et des non membres des réseaux sociaux

Pour l'adhésion à un réseau social, certaines données à caractère personnel sont exigées. Outre ces données fournies, d'autresdonnéespersonnelles sont collectéespar les réseauxsociaux mais de manière illicite alors que conformément à la loi ivoirienne relative à la protection des données à caractère personnel, la collecte des données doit se faire selon des procédés licites et des règles de transparence.Entraver ces règlesrend la collecte non seulement illicite mais aussi abusive(paragraphe1).Cette collecte abusive des données de leurs membres, s'étend aux non-membres (Paragraphe2).Cequi est inconcevable.

Paragraphe 1 : Une collecte abusive des données à caractère personnel des membres des réseaux sociaux

Les réseaux sociaux, dans le cadre de leurs activités, sont amenés à collecter certaines données personnelles. Toutefois, par leur intrusion dans la vie privée de leurs membres, ils arriventà en collecter d'autres. Ce surplus d'informations qui n'est pas nécessaire à la réalisation des objectifs fixés et qui dénote d'une certaine immixtion dans la vie privée de ces derniers apparaît comme une collecte excessive de leursdonnées(A).Cette collecte touche même des donnéessensibles(B).

A-Une collecte excessive des données à caractère personnel des membres des réseaux sociaux

Les réseauxsociaux tracent la navigation de leurs membres pour en récolter d'autres données (telles que les habitudes alimentaires, les sites fréquentées, etc.) en plus des données fournies lors de leurs souscriptions^33(*).Cette pratique des réseaux sociaux est condamnable.

A s'en tenir aux termes de l'article 16 alinéa 2,« les données collectées doivent êtreadéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et traitéesultérieurement ». Ainsi les données collectées par les réseaux sociaux, mis en rapport avec la ou les finalité(s) poursuivie(s) ne doivent pas être excessives. Dans le cadre deses missions de contrôle, la CNIL^34(*) a constaté que le réseau social Facebookpeut être amené à demander aux internautes qui se sont inscrits sur le site de fournir des justificatifs d'identité, tel qu'un dossier médical^35(*). Une telle collecte semble être excessive au regard de la finalité poursuivie par ce réseau social. Un dossier médical contient plusieurs informations telles que le numéro de sécurité social, le numéro de compte.

En outre, ce réseau collecte les contacts téléphoniques des membres par la mise en place de système de synchronisation. En effet, ce réseau demande à collecter les contacts personnels pour aider des membres à retrouver des amis^36(*). Par cette collecte, ce réseau arrive à collecter les noms, prénoms et contacts d'amis, de collègues et de proches. Par ailleurs, la consultation de leur politique d'utilisation révèle que ce réseau collecte aussi :

- Les données d'emplacement de l'appareil, notamment les données d'emplacement géographique précises recueillies à travers les signaux GPS, Bluetooth ou Wi-Fi.

- Des informations de connexion telles que le nom de votre opérateur mobile ou de votre fournisseur d'accès à internet, le type de navigateur que vous utilisez, votre langue et le fuseau horaire dans lequel vous vous situez, votre numéro de téléphone mobile et votre adresse IP^37(*).

Ces informations collectées ne sont pas toutesnécessaires à l'accomplissement de la finalité. Cette situation constitue donc un manquement à l'obligation de collecter des données non-excessives au regard de la finalité. Cette situation s'analyse plutôt comme un contrôle dela vie des membres des réseaux sociaux.

B-Une collecte illicite de données sensibles des membres des réseaux sociaux

Conformément à l'article 21, « est interdit et puni d'une peine d'emprisonnement de dix à vingt ans et d'une amende de 20.000.000 à 40.000.000 de francs CFA, le fait de procéder à la collecte et à tout traitement de données qui révèlent l'origine raciale, ethnique ou régionale, la filiation, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, la vie sexuelle, les données génétiques ou plus généralement celles relatives à l'état de santé de la personne concernée ».

Toutefois, les réseaux sociaux, malgré les dispositions formelles de l'article précité continuent à collecter des donnéessensibles (opinions politiques, philosophiques ou religieuses, dossier médical, sexualité^38(*)) de leursmembres. Cette situation a été constatée lors du contrôle effectué par la CNIL sur la conformité du réseau Facebook à la loi informatique et libertés^39(*). Comme susmentionné, plusieurs ivoiriens sont membres de ce réseau social. Eu égard à l'importance que revêtent les données sensibles pour les personnes concernées, l'organe de protection doit veiller rigoureusement au respect des règles relatives à la collecte desdonnéespersonnelles. C'est en cela que l'ARTCI devrait prendre l'exemple sur la CNILqui ne ménage aucun effort pour veiller à la protection effective des données à caractère personnel des citoyens français.

En effet, après avoir constaté les violations des règles de protection des données personnelles par les sociétés FACEBOOK INC. et FACEBOOK IRELAND, une mise en demeure leur a été notifiée par la décision n° 2016-007 du 26 janvier 2016. La CNIL a précisé que cette mise en demeure n'avait aucune conséquence juridique. Cependant, si ces sociétés ne se conformentpas à la présente mise en demeure, un rapporteur pourra être désigné. Ce dernier pourra demander à la formation restreinte de la Commission de prononcer l'une des sanctions prévues par l'article 45 de la loi du 6 janvier 1978 modifiée. Ces actions de la CNIL en faveur de la protection des données personnelles confèrent une certaine garantie aux internautes.

* ²⁸ La CNIL, Les guides de la CNIL, https://www.cnil.fr/sites/default/files/typo/document/CNIL_Guide_enseignement.pdf (Consulté le 19 octobre 2016).

* ²⁹ MATTATIA (F.), Internet et les réseaux sociaux : que dit la loi ? , 2 éd, Paris, Ed EYROLLES, 2016, P. 62.

* ³⁰ Facebook, Conditions et politique d'utilisation, https://fr-fr.facebook.com/about/privacy#

(Consulté le 19 octobre 2016).

* ³¹ La CNIL, Décision n° 2016-007 du 26 janvier 2016 mettant en demeure les sociétés FACEBOOK INC. et FACEBOOK IRELAND, https://www.cnil.fr/ (consulté le 19 octobre 2016).

* ³² La CNIL, Communiqué du groupe de travail de l'article 29, https://www.cnil.fr/fr/communique-du-groupe-de-travail-de-larticle-29 (Consulté le 01 novembre 2016).

* ³³ DUPUS (M.), la vie privée à l'épreuve réseaux sociaux, www.Lamy.fr (consulté le 29 février 2016).

* ³⁴ La CNIL, Décision n° 2015-091C du 17 mars 2015, de la Présidente de la Commission nationale de l'informatique et des libertés de procéder à des missions de vérification des traitements de données à caractère personnel mis en oeuvre par la société FACEBOOK Inc., https://www.cnil.fr/(consulté le 19 octobre 2016).

* ³⁵ La CNIL, Décision n° 2016-007 du 26 janvier 2016 mettant en demeure les sociétés FACEBOOK INC. et FACEBOOK IRELAND, https://www.cnil.fr/ (consulté le 19 octobre 2016).

* ³⁶ Facebook, ajouter des amis qui ne sont pas encore sur Facebook, https://m.facebook.com/home.php (Consulté le 27 octobre 2016).

* ³⁷ Facebook, Quels types d'informations recueillons-nous ? : https://fr-fr.facebook.com/about/privacy# (Consulté le 27 octobre 2016).

* ³⁸ La CNIL, Décision n° 2016-007 du 26 janvier 2016 mettant en demeure les sociétés FACEBOOK INC. et FACEBOOK IRELAND, https://www.cnil.fr/(consulté le 19 octobre 2016).

* ³⁹Legifrance, Procès-verbal de constatations en ligne n° 2015-401 du 15 décembre 2015, https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000031997148&fastReqId=1903052955&fastPos=1 (Consulté le 19 octobre 2016).