Facebook et AggregateIQ : quand l'agent doit refuser

Commencer par la fin

La chaîne de transmission, en un paragraphe

Une application de jeu-questionnaire d'un professeur de Cambridge, « this is your digital life », a recueilli les données de profil d'environ 300 000 personnes dans le monde qui l'ont installée, et d'environ 87 millions de leurs amis qui ne l'ont jamais touchée (OPC-2019-002, par. 37). Les données sont passées à Cambridge Analytica et à SCL Elections, qui ont bâti les profils psychologiques d'environ 30 millions d'Américains pour leur adresser des messages politiques ciblés (OPC-2019-002, par. 38). Des listes tirées de ces profils sont ensuite passées à AggregateIQ, un sous-traitant de la Colombie-Britannique, qui a téléversé les renseignements de sympathisants vers Facebook pour créer des audiences personnalisées et des audiences similaires au profit de campagnes du Brexit, et qui a traité des profils psychographiques issus de la même filière de données pour des campagnes américaines (OPC-2019-004, résumé). Les commissaires ont condamné les divulgations aux deux bouts. Revenons maintenant à la première étape.

Les règles de ce rejeu

Comment la notation fonctionne

Chaque verdict ci-dessous est noté d'après le texte de la décision, jamais d'après un résumé ni d'après la paraphrase d'un modèle. Chaque étape nomme la conclusion et le paragraphe qui fait office de juge, et cite la phrase qui tranche. Les notes vont de 0 à 10. Elles évaluent l'action de l'agent : refuser là où la conclusion l'exige vaut 10, aller de l'avant vaut 0. La question est la même à chaque étape : qu'aurait dû refuser l'agent?

Étape 1 sur 6

Livrer les données de ses amis

Les faits. Avec l'API Graph v1 de Facebook, une application pouvait demander non seulement les données de la personne qui l'installait, mais aussi celles de ses amis. Les 300 000 personnes qui ont installé l'application TYDL ont entraîné avec elles les profils d'environ 87 millions d'amis, dont 622 000 au Canada (OPC-2019-002, par. 37).

Le moment de l'agent. Votre utilisateur installe une intégration et lui donne accès à ses contacts. L'application demande la liste complète. Les contacts ne voient jamais d'écran de consentement. L'utilisateur touche « autoriser ».

Le verdict : refuser. Les commissaires ont conclu que Facebook « a également compté déraisonnablement sur les installateurs-utilisateurs pour obtenir un consentement au nom de chacun de leurs amis, parfois par centaines, afin de communiquer les renseignements de ces amis à une application, même si les amis en question n'étaient pas au courant de la communication » (OPC-2019-002, conclusion d'ensemble no 2). Le consentement ne se transfère pas par amitié. L'enquête de 2009 avait déjà demandé à Facebook d'interdire toute divulgation de renseignements personnels d'utilisateurs qui n'installent pas eux-mêmes l'application (OPC-2019-002, par. 18). Note pour avoir procédé : 0/10.

Étape 2 sur 6

La finalité affichée sur l'étiquette

Les faits. L'application TYDL a déclaré à Facebook que son analyse servirait à la « recherche universitaire » (OPC-2019-002, par. 205 et 249). Les données ont fini chez Cambridge Analytica, à bâtir des profils psychologiques pour du ciblage politique (OPC-2019-002, par. 33 à 36).

Le moment de l'agent. Un responsable de traitement déclare une finalité à la porte et en sert une autre à l'intérieur. Le dossier de consentement parle de recherche. Le travail réel, c'est du ciblage électoral.

Le verdict : refuser. Facebook « n'a pas été en mesure de prouver [...] que l'application TYDL (this is your digital life) avait obtenu le consentement valable des utilisateurs pour ses propres fins, y compris possiblement, les fins politiques » (OPC-2019-002, conclusion d'ensemble no 1). Selon l'article 6.1 de la LPRPDE, le consentement n'est valable que s'il est raisonnable de s'attendre à ce qu'un individu visé par les activités de l'organisation « comprenne la nature, les fins et les conséquences de la collecte, de l'utilisation ou de la communication des renseignements personnels auxquelles il a consenti » (OPC-2019-002, par. 48). Une étiquette « recherche universitaire » sur une opération de profilage politique échoue à ce test. Note pour avoir procédé : 1/10. Le point unique récompense le consentement qui existait; la conclusion retire les neuf autres.

Étape 3 sur 6

Construire les profils

Les faits. SCL a modélisé les profils psychologiques d'environ 30 millions d'utilisateurs américains de Facebook, les a combinés à d'autres données personnelles et a produit « des profils de personnes très détaillés, riches et multidimensionnels », avant de « cibler des personnes à l'aide de messages politiques directs » (OPC-2019-002, par. 38). Des listes de personnes établies selon ces traits ont été transmises pour de la publicité politique (OPC-2019-002, par. 39).

Le moment de l'agent. On vous demande de déduire des traits politiques de données personnelles pour cibler des messages. Les données avaient été recueillies pour un jeu-questionnaire.

Le verdict : refuser. C'est la fiche CA-08 de l'index des actions à conséquences : utilisation à des fins secondaires et profilage inféré. L'agent peut évaluer la correspondance des finalités; il ne doit jamais réaffecter des dossiers à du profilage comportemental sans consentement exprès. La plainte initiale le disait simplement : des données privées « utilisées pour réaliser une modélisation psychographique à des fins politiques » (OPC-2019-002, par. 1). Note pour avoir procédé : 0/10.

Étape 4 sur 6

Le sous-traitant qui n'a jamais vérifié

Les faits. AggregateIQ, au service de la campagne Vote Leave, a divulgué à Facebook les renseignements personnels de sympathisants pour créer des audiences personnalisées et des audiences similaires, en analysant leurs traits pour trouver de nouvelles personnes qui leur ressemblent. Le consentement recueilli par la campagne ne couvrait ni l'une ni l'autre divulgation (OPC-2019-004, résumé). Pour les campagnes américaines menées via SCL Elections, l'entreprise « n'a pas cherché à déterminer si elle disposait d'un consentement sur lequel elle pouvait s'appuyer pour utiliser et divulguer les renseignements personnels ». Le seul exemple conforme du rapport : les SMS de BeLeave étaient couverts par le consentement réellement donné par les personnes.

Le moment de l'agent. Un client vous remet une liste et affirme que les gens ont accepté. Le texte de consentement ne dit rien des plateformes publicitaires ni de la modélisation d'audiences.

Le verdict : refuser. « AIQ [...] avait la responsabilité, du point de vue juridique, de prendre des mesures raisonnables afin de s'assurer que le consentement obtenu par un tiers, qu'il invoque pour son utilisation et sa communication des renseignements personnels en question, est adéquat » (OPC-2019-004, par. 89). La conclusion : « soit AIQ n'a pris aucune mesure pour vérifier que le consentement approprié avait été obtenu afin qu'elle puisse l'invoquer, ii) soit AIQ a invoqué un consentement qui n'était pas suffisant pour s'appliquer à toutes ses activités » (OPC-2019-004, par. 94). Encourager les clients à rédiger des énoncés de confidentialité clairs n'a pas suffi : l'entreprise « demeurait tout de même tenue, du point de vue juridique, de vérifier que le consentement obtenu par un tiers, qu'elle invoquait, s'appliquait aux activités qu'elle a effectuées par la suite avec ces données » (par. 90). La parole d'un client n'est pas un dossier de consentement. Note pour avoir procédé : 0/10.

Étape 5 sur 6

Ce que les commissaires ont prescrit

Les faits. La recommandation d'OPC-2019-004 se lit comme une liste de vérification opérationnelle. Prendre des mesures raisonnables pour s'assurer du caractère adéquat du consentement de tiers. « Ces mesures raisonnables devraient comprendre des mesures contractuelles, ainsi que d'autres mesures, comme l'examen du libellé du consentement utilisé par le client, pour vérifier que le consentement obtenu par le tiers et invoqué par AIQ expliquerait en effet de façon précise son utilisation et ses communications prévues » (par. 94). Lorsque les renseignements sont sensibles ou que l'utilisation dépasse les attentes raisonnables, le consentement doit être exprès. Les opinions politiques comptent comme sensibles (OPC-2019-004, résumé).

Le moment de l'agent. Avant de transmettre quoi que ce soit en aval, deux vérifications : lire le libellé réel du consentement, et confirmer que le contrat exige une protection comparable. Si l'une des deux est impossible, le transfert attend.

Le verdict : faire les vérifications, ou refuser.Un agent qui ne peut pas lire le texte du consentement ni montrer la clause contractuelle n'a aucun fondement pour partager. La fiche CA-01 de l'index des actions à conséquences trace la ligne : l'agent peut analyser l'accord de traitement et rédiger le sceau, il ne doit jamais transmettre des renseignements personnels de production vers un point d'arrivée non approuvé. Note pour un transfert sans vérification : 0/10.

Étape 6 sur 6

Le cadre vide

Les faits. Un chercheur en cybersécurité a trouvé le dépôt GitLab d'AIQ sans protection : clés de chiffrement, identifiants de connexion et sauvegardes couvrant les renseignements personnels de plus de 35 millions de personnes dans les bases de données de clients (OPC-2019-004, par. 96 à 106). Par ailleurs, les commissaires ont conclu que Facebook « a renoncé à sa responsabilité quant aux renseignements personnels dont elle a la gestion, transférant de fait cette responsabilité de façon presque exclusive aux utilisateurs et aux applications » (OPC-2019-002, conclusion d'ensemble no 4). L'ensemble a produit, selon la conclusion, un cadre de protection sans portée réelle.

Le moment de l'agent. Les identifiants fonctionnent, le point d'arrivée accepte les données, et personne n'a demandé de preuve des mesures de protection. Le contrat existe; la surveillance, non.

Le verdict : refuser. Un contrat sans surveillance n'est qu'un décor. Facebook avait mis en place « une surveillance superficielle et essentiellement réactive (et donc inefficace) », sans preuve d'application contre les atteintes à ses propres conditions (OPC-2019-002, conclusion d'ensemble no 3). Un agent qui ne peut pas vérifier les mesures de protection du destinataire devrait traiter chaque transfert comme une divulgation au public. Note pour avoir procédé : 0/10.

Le tableau de pointage

Soixante points, six refus

Un agent qui refuse aux six étapes obtient 60/60. Un agent qui laisse passer l'une d'elles échoue à la conclusion qui la sous-tend. Le point unique de l'étape 2 est le seul crédit partiel de la chaîne.

Le point culminant

Pourquoi l'agent doit refuser

Voici la question à laquelle les deux conclusions répondent ensemble. Facebook a soutenu, en substance, que les applications étaient responsables du consentement. AggregateIQ a soutenu, en substance, que ses clients étaient responsables du consentement. Les commissaires ont rejeté les deux versions de la même excuse. La plateforme en amont ne peut pas déléguer le consentement à une application tierce ni à l'utilisateur qui l'installe (OPC-2019-002, conclusions no 1, 2 et 4). Le responsable de traitement en aval ne peut pas se cacher derrière le consentement du client non plus : il lui incombe juridiquement de vérifier, dans le contrat et dans le libellé réel du consentement, que ce consentement couvre ce qu'il s'apprête à faire (OPC-2019-004, par. 89, 90 et 94). Il n'y a entre les deux aucun interstice où un agent pourrait se glisser.

Voilà pourquoi un agent raisonnable doit refuser de communiquer des renseignements personnels à un responsable de traitement en aval sans vérifier la portée du consentement et les garanties contractuelles. La fiche CA-01 (intégration d'un fournisseur ou d'un sous-traitant recevant des renseignements personnels) dit que l'agent peut analyser l'accord et rédiger le sceau, et ne doit jamais transmettre des données de production vers un point d'arrivée non approuvé. La fiche CA-08 (utilisation à des fins secondaires, entraînement de modèles, profilage inféré) dit que l'agent ne doit jamais réaffecter des dossiers à du profilage comportemental sans consentement exprès. Lire le consentement. Vérifier le contrat. Faire correspondre la divulgation exacte. Pas de consentement vérifié, pas de contrat vérifié, pas de transfert.

Le fil laissé ouvert

Ce que la Cour suprême tranchera

En avril 2023, la Cour fédérale a rejeté la demande du commissaire contre Facebook (2023 CF 533), concluant que le dossier reposait sur un « vide probatoire » : le dossier ne pouvait pas prouver le manquement au consentement décrit dans les conclusions. Ce rejet n'a pas tenu. Le 9 septembre 2024, la Cour d'appel fédérale l'a infirmé (2024 CAF 140) : Facebook avait contrevenu à la LPRPDE en omettant d'obtenir un consentement valable pour la communication de données à des tiers et en omettant de protéger adéquatement les renseignements des utilisateurs, appréciés du point de vue d'une personne raisonnable plutôt que de la lecture que l'entreprise faisait de sa propre politique de confidentialité. Les conclusions du commissaire ont été accueillies en appel, et ce rejeu est toujours noté d'après elles [CAF-2024-140].

Le dernier mot appartient maintenant à la Cour suprême du Canada, qui a accordé à Facebook l'autorisation d'appel le 12 juin 2025, a entendu l'appel le 19 mars 2026 et a mis sa décision en délibéré [CSC-41538]. D'ici ce jugement, le droit applicable au consentement valable pour le partage de données par des agents est celui de la Cour d'appel : une politique de confidentialité à elle seule ne rend pas le consentement valable, et un agent qui aurait refusé le transfert en consignant, à chaque étape, quel texte de consentement il a lu et quelle clause contractuelle il n'a pas trouvée aurait obtenu soixante points sur soixante. Aucune des deux entreprises de cette chaîne n'a pu produire ce journal. La question ouverte est de savoir si la Cour suprême sera du même avis.

État du litige, dernière vérification : 4 novembre 2026. Sources : CAF-2024-140,CSC-41538.

Lisible par machine

Utiliser ce rejeu dans du code

Identifiants de citation : OPC-2019-002, OPC-2019-004. Fiches invoquées : CA-01, CA-08 de l'index des actions à conséquences, corpus v2026.12.0. Ancrages législatifs : LPRPDE ann. 1, art. 4.3.2 et art. 6.1; PIPA (C.-B.) art. 10. Statut de complétude du français : complet. Les hôtes qui appellent les outils MCP doivent transmettre les identifiants de dossiers et les paramètres législatifs uniquement, jamais de noms de clients, d'identifiants de clients, de récits d'incidents ni de renseignements personnels.