Avec les boutons « Like » ou « Partager » qui pullulent sur la Toile, le réseau social a semé de petites graines lui permettant de pister tous les internautes, y compris ceux qui n’ont pas de compte Facebook. On vous explique comment un petit fichier rapporteur s’installe pour deux ans sans prévenir dans votre disque dur.

Avis aux originaux qui ne font pas partie du 1,5 milliard d’utilisateurs actifs de Facebook : si vous pensiez échapper au plus grand réseau social mondial, ses tentacules vous rattrapent. Même si vous n’y êtes pas inscrits.

Eh oui, la pieuvre de Zuckerberg enserre une très, très grosse partie du Web – pas pour rien qu’un paquet de personnes pensent, à tort, que Facebook = Internet. Et c’est la gardienne française de la vie privée sur Internet, la Commission nationale de l’informatique et des libertés (Cnil) qui nous rappelle cette réalité.

Dans une décision acide mise en ligne ce lundi 8 février au soir, elle met en demeure le réseau social de cesser notamment cette pratique (parmi bien d’autres : croisement de données, récolte d’infos sur la religion, l’orientation sexuelle, et on en passe), qui consiste à suivre à la trace les internautes qui ont pourtant fait le choix de demeurer en dehors de Facebook. Le tout, sans évidemment leur demander leur avis.

Espionnage aux jumelles - Kangrex/Flickr/CC

Le côté obscur du Like

Ce n’est pas la première fois que le site est épinglé pour sa curiosité sans bornes. A vrai dire, l’inquiétude existe depuis que Facebook a eu la brillante idée de semer des petites graines sur les sites du monde entier (médias y compris).

Ces graines, ce sont de simples images cliquables. Des « J’aime », des « Like », des « Partager », qui s’affichent sur un fond bleu bien reconnaissable, et qu’on retrouve à la fin des articles de presse, à côté des fringues qu’on veut acheter, et même, même, sous les dés de jambon Fleury Michon vendus sur le site de Monoprix.

Des boutons qui sont en fait les nœuds de la constellation Facebook : dès que vous êtes sur une page web qui en contient un, alors le réseau social le sait.

Capture d’écran du partage d’un produit Fleury Michon sur Facebook, via un bouton sur le site Monoprix - Capture / Monoprix

En 2010, le site Ecrans de Libération (depuis disparu) en avait fait un combat. Refusant de mettre sur son site ces boutons Facebook pourtant si pratiques.

« En permettant la diffusion de ces petits boutons “J’aime”, non seulement on ne se déconnecte plus de Facebook, mais on ne le quitte plus vraiment. Vous êtes sur Ecrans.fr, mais vous êtes aussi sur Facebook. Et ça, on n’est pas trop d’accord. Surtout qu’on ne sait jamais ce que le réseau social va finir par faire de toutes ces données récoltées le jour où il lui reprendra l’envie de changer ses conditions d’utilisation. »

Le capteur « datr »

Cinq ans plus tard, alors que ces boutons Facebook ont pullulé à travers le Web, l’équivalent de la Cnil en Belgique en a remis une couche. Et sérieusement : comme sa voisine aujourd’hui, elle a mis en demeure Facebook pour cette pratique qui vise aussi bien les utilisateurs du site... que ceux qui n’y sont même pas inscrits.

La commission de la protection de la vie privée s’appuie alors sur un rapport détaillé [PDF], publié en juin 2015. Les auteurs y tracent les traceurs. Ils suivent en particulier le comportement d’un petit fichier texte, un « cookie », installé par Facebook sur le disque dur de l’internaute.

Intitulé « datr », il est sauvegardé dès qu’un internaute passe sur une page du réseau social. Pas besoin d’être inscrit : il suffit d’atterrir sur la page d’une marque, un événement partagé par e-mail, ou même, parfois, sur un site qui n’a rien à voir avec Facebook, mais qui contient l’un de ses boutons (comme MySpace, ou MTV, détaille le rapport).

A partir de là, l’internaute est enchaîné au réseau social pour deux ans. Dès qu’il passera sur un site qui comporte un bouton « j’aime », « je partage » ou autres, l’information contenue dans le fichier « datr » sera systématiquement balancée aux serveurs de Facebook. C’est ainsi que fonctionnent les cookies. Mais la plupart des internautes, eux, n’en savent rien.

Amende de 250 000 euros par jour

C’est pour cette raison qu’en novembre 2015, la justice belge a condamné Facebook à verser 250 000 euros par jour [PDF], jusqu’à ce que le site rentre dans les clous. Contactés, ni le site, ni la commission belge ne nous ont pour le moment répondu sur le montant de l’amende effectivement versée à ce jour.

En revanche, le réseau social indique avoir ajouté depuis peu une bannière sur son site, afin d’avertir les personnes non inscrites de ces pratiques de suivi.

Il répète également l’argumentaire déployé au moment de l’affaire belge : à savoir que ce suivi ne se fait pas à des fins publicitaires et ne permet pas d’identifier les personnes derrière l’écran, mais uniquement leur navigateur (Chrome, Safari, Firefox, Internet Explorer...). Facebook insiste aussi sur la fonction sécuritaire d’une telle fonction, renvoyant notamment aux explications de son responsable de la sécurité Alex Stamos :

« Par exemple, si le cookie datr montre qu’un navigateur a visité des centaines de sites dans les cinq dernières minutes, alors cela semble indiquer que nous avons affaire à un service contrôlé par ordinateur (un bot). A l’inverse, un usage constant de plusieurs jours indique que le navigateur doit pouvoir accéder normalement à Facebook. »

« Nous ne pouvons plus nous protéger contre les acteurs malveillants »

A l’époque, ces arguments n’avaient pas convaincu la justice belge. Le réseau social, toujours via la voix de Stamos, expliquait alors devoir prendre davantage de précautions avec les utilisateurs du pays :

« Jusque là, tout le monde pouvait voir les pages Facebook des petites entreprises, des équipes de sport, des célébrités et des attractions touristiques sans avoir à se connecter – généralement en les trouvant dans des moteurs de recherche. Maintenant que nous ne pouvons plus utiliser le cookie datr pour nous protéger contre les acteurs malveillants, nous devrons restreindre l’accès aux pages et autres contenus pour les personnes en Belgique sans comptes Facebook. »

Véritable protection ou mesure de rétorsion ? Comme dans le cas de l’erreur 53 d’Apple, se pose la question du prix de la sécurité pour protéger nos données. Ces sociétés ne pouvaient-elles pas mieux informer leurs utilisateurs sur leurs pratiques ? N’avaient-elles pas d’autres options pour protéger leur vie privée sans les rendre aussi captifs ?