Data scraping: le Préposé fédéral met Meta & Co. face à leurs responsabilités
Les préposés à la protection des données de plusieurs pays, dont le PFPDT en Suisse, ont publié une prise de position commune sur le thème du data scraping. Elle demande notamment aux entreprises du numérique dont Alphabet, Meta, Microsoft et X, d’informer leurs utilisateurs des mesures prises contre l'extraction automatisée de données.
Peu avant l'entrée en vigueur de la nouvelle loi suisse sur la protection des données (nLPD) le 1er septembre 2023, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a publié une prise de position sur le thème du data scraping. Aux côté d’onze autres autorités de protection des données (Australie, Canada, Royaume-Uni, Hong Kong, Norvège, Nouvelle-Zélande, Colombie, Jersey, Maroc, Argentine et Mexique), le PFPDT cible ici, en particulier, les plateformes de réseaux sociaux Alphabet (Google, Youtube) Meta (Facebook, Threads, Instagram), Microsoft (Linkedin), X (anciennement Twitter), ByteDance (TikTok) et Sina (Weibo).
Mesures contre le scraping
Ces entreprises tech sont invitées à prendre des mesures pour protéger les données personnelles contre le «data scraping» (la lecture et l'enregistrement automatisés de données sur Internet). Selon la déclaration, le data scraping comporte toute une série de risques pour la vie privée:
- les cyberattaques ciblées, par exemple lorsque des données et des coordonnées «scrapées» se retrouvent sur des forums de pirates pour être ensuite utilisées pour du phishing
- l'usurpation d'identité, par exemple pour des transactions frauduleuses par carte de crédit ou des comptes de médias sociaux contrefaits
- surveillance, profilage: par exemple, collecte de données pour la reconnaissance faciale
- utilisation non autorisée de données par des gouvernements étrangers ou des services de renseignement
- marketing direct non sollicité, publicité ou spam
Les autorités de protection des données énumèrent une série de mesures que les exploitants de plateformes peuvent prendre. Il s'agit par exemple de la désignation de responsables de la protection contre le scraping, de la limitation du nombre de pages consultées par heure par le même utilisateur ou de mesures visant à identifier le trafic de bots. Si un data scraping est identifié, les exploitants de sites web doivent en outre prendre des mesures juridiques.
Il est en outre conseillé aux utilisateurs qui souhaitent se protéger contre le scraping de lire les informations mises à disposition par la plateforme respective sur la transmission des données, ainsi que de comprendre et de gérer les paramètres de confidentialité. Par ailleurs, de façon générale, il convient de réfléchir à la nature et à la quantité des données que l'on partage sur Internet.
