La Federal Trade Commission (FTC), l’autorité fédérale américaine chargée du commerce, inflige à Facebook « une amende record de 5 milliards de dollars (4,5 Mds €) » assortie de « nouvelles exigences de fond en matière de confidentialité et de sécurité des données ». La sanction est présentée dans le texte de sa décision, publié le 24 juillet 2019, condamnant le groupe pour ses atteintes à la confidentialité des données, notamment dans l’affaire Cambridge Analytica. Le communiqué est signé du président de la commission, le Républicain Joseph J. Simons, et de 2 commissaires (sur 5), soit Noah Joshua Phillips et Christine S Wilson. Les 2 autres commissaires, membres du Parti démocrate, ne sont pas signataires.
La FTC impose à la société d’engager « une surveillance accrue des développeurs tiers », et notamment l’obligation de couper l’accès des développeurs aux informations des utilisateurs « s’ils ne certifient pas qu’ils respectent les règles de la plateforme de Facebook ou ne justifient pas la nécessité pour eux d’avoir accès à ces données ». L’entreprise doit également appliquer uniformément ses conditions d’utilisation aux développeurs d’applications sans égard aux avantages financiers découlant de sa relation avec eux. L’autorité fédérale estime que cette obligation enverra « un signal important » aux entreprises concernant « les meilleures pratiques en matière de confidentialité et de sécurité ».
La Federal Trade Commission explique qu’elle condamne Facebook pour n’avoir pas respecté les engagements contenus dans l’ordonnance sur consentement (consent order) signée avec elle en 2012, portant sur « l‘étendue du partage de données avec des applications tierces et du contrôle que les consommateurs avaient sur ce partage » mais aussi pour avoir « laissé des considérations financières influencer ses décisions relatives aux utilisateurs tiers de données ». Prise à l’issue d’« une enquête extrêmement approfondie pendant plus d’un an », la décision de la FTC est décrite par cette dernière comme « une victoire historique pour les consommateurs américains » , qui « place très haut la barre en matière de sanctions civiles pour les affaires futures impliquant des violations de la vie privée ».
Une pénalité financière historique
Les commissaires soulignent que 5 milliards de dollars représentent environ 9 % du chiffre d’affaires de Facebook pour 2018 et environ 23% de ses bénéfices pour 2018, et que cette amende est « plus de 20 fois supérieure » à la plus forte pénalité prononcée ce jour en vertu du RGPD, présenté comme un modèle d’exigence en la matière. L’amende est également « l’une des plus lourdes sanctions civiles de l’histoire des États-Unis ». La Federal Trade Commission (FTC) estime qu’elle « envoie un message fort à toute entreprise américaine qui collecte des données sur les consommateurs » ainsi prévenue que la commission est disposée à faire un usage « énergique » de son pouvoir d’imposer des pénalités.
Une réforme de la gouvernance de Facebook demandée
La FTC demande notamment à Facebook de réformer sa gouvernance en créant au sein de son conseil d’administration un nouveau comité « axé uniquement sur les risques liés à la confidentialité » et composés d’administrateurs indépendants, experts des questions de confidentialité et de conformité, et protégés de la destitution par un statut spécifique, qui devront soumettre à l’autorité fédérale des rapports trimestriels sur la confidentialité et un rapport annuel sur la conformité.
Elle répond dans son communiqué à l’objection des 2 commissaires non-signataires, qui auraient voulu qu’elle « impose davantage de limites à la collecte et à l’utilisation de données » par Facebook. Dans sa décision, la Federal Trade Commission explique qu’en tant qu’organisme d’application et non de règlementation, elle n’a pas ce pouvoir, et qu’il il revient au Congrès de déterminer dans quelle mesure « Facebook, ou toute autre société, devrait être capable de collecter, d’utiliser, d’agréger et de monétiser des données ».
Défense et nouveaux engagements de Facebook
« La responsabilité requise par cet accord dépasse la législation américaine en vigueur et nous espérons être un modèle pour le secteur », commente Colin Stretch, directeur juridique de Facebook, dans un article publié dans la « Newsroom » du réseau social le 24 juillet 2019.
Il reconnaît que la gestion par Facebook de l’affaire Cambridge Analytica constituait « un abus de confiance [vis-à-vis des] personnes qui dépendent de [Facebook] pour protéger leurs données », et affirme qu’ «au cours de l’année écoulée », le réseau social a « fait de grands progrès en matière de respect de la vie privée ».
Colin Stretch déclare que « ce mois-ci, et en réponse à l’enquête de la FTC », le groupe a « découvert que des défaillances de [ses] systèmes permettaient à certains partenaires de continuer à accéder aux données pour fournir des fonctionnalités Facebook sur leurs produits ». « Bien que nous n’ayons trouvé aucun abus, le nouvel accord contribuera à prévenir de tels risques à l’avenir », note-t-il.
« Cet accord nécessitera un changement fondamental dans la manière dont nous abordons notre travail », conclut le directeur juridique, évoquant « un virage plus net vers la vie privée, à une échelle différente de tout ce que nous avons fait dans le passé ».
Les critiques du commissaire Rohit Chopra
Le commissaire démocrate Rohit Chopra a publié sur le site de la Federal Trade Commission un communiqué détaillant les raisons pour lesquelles il a voté contre l’accord. Selon lui, les sanctions prévues « n’imposent aucun changement significatif à la structure ou aux incitations financières de la société », alors que les abus qui lui sont reprochés découlent de son modèle économique. L’accord « permet à Facebook de décider lui-même de la quantité d’informations qu’il peut collecter auprès des utilisateurs et de ce qu’il peut en faire, à condition de produire une trace écrite », indique-t-il.
Les garde-fous qu’introduit l’accord sont « fragiles » (flimsy) estime Rohit Chopra, relevant qu’ils « ne fournissent aucune limitation ni même des indications sur ce qui constitue une collecte d’informations justifiée ». « En conséquence, juge-t-il, il est hautement improbable que cela affecte la quantité ou nature des informations collectées par les développeurs, dès lors que leurs avocats trouveront un moyen de les justifier. »