Happn joue avec la ligne jaune digitale

Les applications de rencontre ont de plus en plus de succès auprès des utilisateurs, il n’en demeure pas moins que leurs pratiques peinent à séduire la CNIL. Happn a été créée en vue de permettre la mise en relation sur internet des personnes qui se sont croisées dans la « vraie » vie, elle se trouve aujourd’hui épinglée par UFC Que Choisir. La CNIL devra se prononcer sur le sort des données véhiculées par ladite application.

Elle n’est pas novice en la matière puisqu’elle surveille de près les traitements de données générées par les sites de rencontre. Ainsi, en 2015 la CNIL avait mis en demeure ces sites de se conformer à la loi informatique et libertés du 6 janvier 1978. Elle a également édité sur son site un guide pratique intitulé « sites de rencontre en ligne : comment protéger votre intimité ? », lequel démontre par son existence même, les nombreuses dérives que l’utilisation de tels sites peut engendrer. La situation d’Happn est néanmoins quelque peu différente. Une étude menée par l’organisme de défense des consommateurs norvégien a révélé « de possibles transferts de données réalisés par la société Happn vers des entreprises tierces, d’origine américaine ».

Or, le Safe Harbour adopté par la Commission européenne le 26 juillet 2000, a été annulé par la CJUE le 6 octobre 2015. Ce mécanisme d’adéquation permettait le transfert des données de l’Union européenne vers les Etats-Unis. Depuis lors, tout transfert de données transatlantique est interdit sauf dans le cadre des clauses contractuelles types adoptées par la Commission européenne ou dans celui de la mise en place de Binding Corporate Rules (BCR) au sein d’un Groupe. Les entreprises se sont alors précipitées en vue de bénéficier des clauses contractuelles types. Cependant, l’application de ces clauses entre deux entreprises nécessite une validation préalable de la CNIL laquelle était, dans la plupart des cas, négative ou peinait à intervenir rapidement dans les autres cas. Parallèlement, le G29 constitué par l’ensemble des CNIL européennes appelait les institutions et les gouvernements européens à adopter un nouvel accord avant le 31 janvier 2016.

Le 2 février dernier, l’Union européenne et les Etats-Unis ont conclu un accord dénommé « EU-US Privacy Shield » (ou « bouclier de l’Union européenne et des Etats-Unis pour la protection de la vie privée ») encadrant les flux de données transatlantiques. Les CNIL européennes ont salué ce nouvel accord, mais rendront leur avis définitif fin mars. Il appartiendra ensuite à la Commission européenne de déclarer si les engagements américains présentent ou non un niveau adéquat de protection aux citoyens européens.

Si les faits allégués à l’encontre d’Happn sont avérés, cette dernière encourt 300 000 euros d’amende portée au quintuple (articles 226-16, 226-16 A et 226-22-1 du Code pénal) pour les transferts qu’elle aurait réalisé entre la date à laquelle le Safe Harbour a été invalidé et l’entrée en vigueur de l’« EU-US Privacy Shield ».

UFC Que Choisir reproche également à Happn d’avoir incorporé des outils d’analyse de la société américaine UpSight. Ces outils permettraient de laisser subsister un cookie continuant à communiquer avec les serveurs de la société Happn, postérieurement à la suppression de l’application. L’association de défense des consommateurs s’inquiète de « l’impossibilité de déterminer l’étendue des données personnelles collectées, ainsi que leur destination ». Ce cookie peut concerner tant l’affichage publicitaire que la géolocalisation qui est une fonction essentielle de l’application Happn.

L’utilisation de cookies nécessite de recueillir au préalable le consentement de la personne concernée avant que ceux-ci soient déposés ou lus sur son terminal (article 32-II de la loi informatique et libertés). De plus, il doit être donné à chaque fois qu’une nouvelle finalité s’ajoute aux finalités initialement prévues. Dès lors l’utilisation d’un tel cookie par Happn apparait comme étant contraire à la loi informatique et libertés.

A propos de l'auteur : Antoine Chéron est avocat associé, docteur en droit de la propriété intellectuelle et chargé d’enseignement en Master de droit à l’Université de Assas (Paris II).