TikTok fait généralement l’actualité pour son côté plus ludique, comme cela devrait être le cas pour la plateforme de vidéos courtes la plus populaire au monde. Mais une enquête qui vient d'être révélée fait aujourd'hui la une des journaux sur une facette beaucoup moins connue et conviviale de ce réseau : le suivi systématique de l'activité des utilisateurs en dehors de l'application elle-même, y compris les habitudes d'achat et l'utilisation d'applications de rencontres, ainsi que d'éventuelles violations graves du Règlement général sur la protection des données (RGPD).
TikTok en sait plus qu'il n'y paraît
L'alarme a été tirée lorsqu'un utilisateur européen a exercé son droit d'accès aux données, protégé par l'article 15 du RGPD. Ce qu’il a initialement reçu était une réponse incomplète, acheminée via un outil de téléchargement que TikTok présente comme un résumé des informations personnelles stockées.
Cependant, après avoir insisté, une réalité plus inquiétante est apparue : TikTok collectait non seulement des données sur votre activité au sein de la plateforme, mais également des informations provenant d'autres applications, notamment des applications de commerce électronique et l'application de rencontres Grindr.
Ces données comprenaient des actions spécifiques, telles que l’ajout de produits à un panier ou simplement l’utilisation d’une application de rencontres. Dans le cas de Grindr, les informations déduites pourraient révéler l'orientation sexuelle et la vie intime, catégories considérées comme des données spécialement protégées par l'article 9 du RGPD, dont le traitement est interdit sauf dans des circonstances très exceptionnelles.
Militants et intermédiaires
Il y a quatorze ans, un étudiant en droit autrichien, Max Schrems, entamait une bataille juridique inégale contre le réseau social Facebook lorsqu'il constatait que celui-ci conservait encore des données personnelles qu'il avait lui-même déjà supprimées de son profil.
Cela s'est soldé par deux arrêts historiques de la plus haute juridiction européenne et par la chute du « Safe Harbor », les accords qui permettaient le transfert de données personnelles de l'UE vers les États-Unis. Schrems, de son côté, a fini par fonder l'organisation européenne à but non lucratif 'Noyb' (acronyme de « None of Your Business », 'it's not your business' en anglais) dédiée à la défense de la vie privée et à la protection des données personnelles, notamment face aux grandes entreprises technologiques.
Maintenant, Noyb a présenté l'enquête qui pointe directement l'utilisation de données privées de TikTok… et aussi que ledit réseau n'aurait pas obtenu ces informations directement, mais via AppsFlyer, une société israélienne spécialisée dans l'analyse et l'attribution publicitaire.
Ainsi, AppsFlyer agirait comme intermédiaire, recevant des données d'autres applications – comme l'application de rencontres gay Grindr – et les transmettant à TikTok pour une exploitation commerciale.
Le problème central est juridique :
- Il n'existe aucune base juridique valable en vertu de l'article 6 du RGPD pour partager ces données avec des tiers.
- Encore moins pour transférer des données sensibles, interdites par l'article 9 sans consentement explicite.
- L'utilisateur concerné n'a jamais donné son consentement à cet échange d'informations.
Le droit violé d’accéder à vos propres informations
Au-delà du suivi lui-même, l’enquête met en lumière un autre point critique : le manque de transparence. TikTok dirige les utilisateurs vers un outil de téléchargement qui, selon l'entreprise elle-même, ne contient que les données qu'elle considère comme « les plus pertinentes ».
Cela contredit directement les articles 12 et 15 du RGPD, qui obligent les entreprises à fournir une copie complète et compréhensible de toutes les données personnelles traitées.
Lisa Steinfeld, conseillère juridique chez Noyb, qualifie cette pratique de trompeuse et prévient que des milliers d'utilisateurs auraient pu recevoir des informations incomplètes, sans vraiment savoir quelles données sont collectées ni à quelles fins.
Sur le plan juridique : deux plaintes en Autriche
Compte tenu de ces faits, noyb a déposé deux plaintes formelles auprès de l'autorité autrichienne de protection des données (DSB) :
- Contre TikTok, pour ne pas avoir répondu de manière adéquate à une demande d’accès aux données.
- Contre TikTok, AppsFlyer et Grindr, pour échange illégal de données, traitement d'informations sensibles et absence de base juridique valable.
L'organisation demande non seulement la cessation immédiate de ces pratiques, mais également l'imposition d'amendes « efficaces, proportionnées et dissuasives », comme le permet l'article 83 du RGPD.
Cas isolé ou symptôme de quelque chose de plus grave ? Même si TikTok est désormais le protagoniste du scandale, de nombreux critiques reconnaissent que le problème est systémique. L'économie numérique d'aujourd'hui repose sur des réseaux d'intermédiaires publicitaires, des profils fantômes et des flux de données opaques qui dépassent de loin l'entendement de l'utilisateur moyen.
Par | Noyb
