Fuite de données : Meta se trouve dans une situation embarrassante

Début janvier, Bright Data, une entreprise israélienne spécialisée dans la collecte de données, a intenté une action en justice contre Meta devant la justice américaine. Celle-ci fait suite à une plainte déposée par Meta seulement quelques jours plus tôt. Le groupe de Mark Zuckerberg accuse en effet Bright Data d’avoir volé les données personnelles des utilisateurs de Facebook et Instagram pour les revendre à des tiers.

L’entreprise affirme que Bright Data a utilisé une technique appelée le scraping pour mettre la main sur les données de ses usagers. Ce procédé permet d’extraire des données publiques en masse grâce à des programmes automatisés. Il est massivement exploité par les agences publicitaires et de marketing. Grâce à ces ensembles de données, les annonceurs peuvent affiner la précision de leurs campagnes de publicité.

Cette pratique évolue dans une zone grise du droit. Étant donné que les données extraites par le scraping sont publiques, la législation ne l’interdit pas. Pour se défendre, Bright Data met d’ailleurs en avant l’aspect public des informations récupérées par ses soins :

« Les marchés et la société fonctionnent mieux lorsque les données publiques sont accessibles au public. La transparence de l’information aide à stimuler la concurrence sur le marché, à faire progresser la recherche et à aider les organisations qui sauvent des vies. […] Meta ne peut pas être autorisé à fermer l’accès aux données publiques du Web ».

Tel est pris qui croyait prendre

Ironie du sort : les documents juridiques déposés par Bright Data révèlent que Meta s’est approprié les données d’autres sites web… exactement de la même manière. À la demande de Meta, Bright Data a extrait les données publiques de certains sites web pendant plusieurs années. D’après les courriels mis à disposition de la justice, Meta avait noué un partenariat de longue date avec la société qu’elle cherche désormais à traduire devant la justice.

Comme on peut le lire sur son site web, Bright Data propose notamment de collecter des données publiques telles que des informations de profil, des likes, des commentaires et des publications sur les réseaux sociaux. La société peut extraire des informations provenant de Twitter, TikTok ou encore Amazon, eBay et Walmart.

Pourtant, Meta s’est toujours publiquement opposé à ce type de pratiques. La firme a même déposé plainte contre plusieurs agences spécialisées dans le scraping au cours des dernières années. L’été dernier, Meta s’est par exemple attaqué à Octopus, une société soupçonnée d’avoir siphonné les données publiques de 350 000 utilisateurs d’Instagram.

Meta admet le scraping (mais ce n’est pas la même chose)

Contacté par Bloomberg, Andy Stone, porte-parole de Meta, a tenté de nuancer les révélations de Bright Data. Il admet que Meta a payé l’entreprise pour recueillir des données à partir de certaines boutiques en ligne afin de créer « des profils de marques » sur ses plates-formes. Le géant de Menlo Park s’est par ailleurs appuyé sur l’expertise de Bright Data pour repérer des sites web malveillants et des attaques phishing. En miroir de son ancien prestataire, Meta se retranche derrière la légalité de la pratique :

« La collecte de données à partir de sites Web peut servir à des fins légitimes d’intégrité et commerciales, si elle est effectuée légalement et conformément aux termes de ces sites Web ».

Le porte-parole estime néanmoins, a contrario de Bright Data, que les conditions d’utilisation de chaque site web doivent être respectées. En clair, Meta veut s’octroyer le droit d’interdire le scraping sur ses plates-formes, indépendamment de l’aspect légal. Andy Stone ajoute que Meta a coupé les ponts avec Bright Data après avoir pris conscience de ses abus.

Notez que la législation européenne oblige Meta, et les autres géants du numérique, à prendre des précautions pour éviter le scraping. Les entreprises doivent mettre en place des mesures de sécurité pour protéger les données, y compris publiques, des internautes. C’est pourquoi le groupe californien a décidé de remplacer les identifiants Facebook (FBID) par des identifiants pseudonymes (PFBID) l’automne dernier.

Estimant malgré tout que Meta a négligé ses obligations, le régulateur irlandais de la protection des données a infligé une amende de 265 millions d’euros à l’entreprise l’an dernier. La sanction fait suite au siphonnage des données personnelles de 533 millions d’utilisateurs Facebook en 2019.