Scandale des données Facebook–Cambridge Analytica

Le 17 mars 2018, The Guardian et The New York Times ont publié le témoignage du lanceur d'alerte Christopher Wylie, révélant que le cabinet de conseil politique Cambridge Analytica avait obtenu les données personnelles de dizaines de millions d'utilisateurs de Facebook sans leur consentement et les avait utilisées pour bâtir des modèles psychographiques de ciblage électoral. Cette révélation est devenue le scandale de confidentialité des données emblématique de l'ère des réseaux sociaux et a donné lieu à une amende record de 5 milliards de dollars contre Facebook.

Ce qui s'est passé

Les données n'ont pas été extraites par un piratage. Elles ont été collectées via la conception même de la plateforme Facebook. Vers 2013-2014, le chercheur de l'université de Cambridge Aleksandr Kogan a développé une application de quiz de personnalité baptisée « thisisyourdigitallife » et l'a diffusée via Facebook. Environ 270 000 personnes ont installé l'application et consenti à partager leurs données.

La faille critique résidait dans l'API Graph de Facebook, qui permettait alors à une application non seulement de lire les données de l'utilisateur installant l'application, mais aussi celles de tous les amis de cet utilisateur — à l'insu de ces amis et sans leur consentement. Grâce à ce multiplicateur de réseau d'amis, l'application de Kogan a collecté des informations sur jusqu'à 87 millions de personnes, dont l'immense majorité n'avait jamais rien installé.

La société de Kogan, Global Science Research, a transmis le jeu de données à Cambridge Analytica (filiale de SCL Group), qui s'en est servi pour élaborer des profils psychographiques destinés au micro-ciblage des électeurs lors des primaires et de l'élection présidentielle américaine de 2016, ainsi que d'autres campagnes politiques.

Impact

• Jusqu'à 87 millions d'utilisateurs Facebook ont vu leurs données collectées, notamment leurs noms, localisations, adresses e-mail, « j'aime » de pages et traits psychologiques inférés.
• La valeur boursière de Facebook a chuté d'environ 100 milliards de dollars dans les semaines suivant l'éclatement de l'affaire, sur fond de mouvement #DeleteFacebook.
• La Federal Trade Commission américaine a infligé une amende de 5 milliards de dollars en juillet 2019 — la plus lourde jamais prononcée par l'agence pour une violation de la confidentialité — assortie d'une ordonnance de 20 ans réorganisant la gouvernance de la confidentialité chez Facebook et créant un comité de confidentialité indépendant au niveau du conseil d'administration.
• L'Information Commissioner's Office britannique a infligé à Facebook une amende de 500 000 £ (le maximum prévu par la loi antérieure au RGPD).
• Cambridge Analytica et SCL Group ont déposé le bilan en mai 2018.

Pourquoi c'est important

Le scandale a recadré la question des données personnelles comme un problème systémique de gouvernance des plateformes plutôt qu'une série de violations isolées. Il a mis en lumière comment une conception permissive des API tierces — accordant aux applications l'accès aux données d'utilisateurs non consentants via les graphes d'amis — pouvait être instrumentalisée à l'échelle d'une population. Les retombées ont accéléré la régulation mondiale de la confidentialité (le RGPD de l'UE est entré en vigueur deux mois plus tard), poussé Facebook à verrouiller ses API destinées aux développeurs et établi le précédent selon lequel les plateformes peuvent être tenues financièrement responsables de la manière dont des tiers exploitent leur architecture de partage de données.

Il demeure l'étude de cas canonique en matière de consentement, d'usage secondaire des données et de micro-ciblage politique, citée dans pratiquement tous les programmes modernes de protection des données.