Résumé

  • En 1998, la FTC a allégué que GeoCities utilisait les informations des membres à des fins plus larges que celles annoncées dans ses déclarations de confidentialité.
  • L’ordonnance finale de 1999 a imposé au site des tâches concrètes : expliquer qui collectait et recevait les données, organiser le consentement parental, permettre l’accès et la suppression, puis solliciter les tiers qui détenaient des copies.

Le formulaire changeait de mains

Pour entrer au GeoKidz Club, il fallait d’abord être membre de GeoCities. Le formulaire demandait le nom, l’âge, l’adresse électronique, l’adresse de la page personnelle et le genre de l’enfant. Sur le site, le club apparaissait dans l’Enchanted Forest, un quartier pour enfants. Dans la plainte, la FTC a soutenu que des Community Leaders bénévoles dirigeaient le club et les concours et qu’ils recueillaient puis conservaient les données.

À l’écran, il n’y avait qu’un quartier. Dans les coulisses, plusieurs personnes pouvaient manier la même information. C’est là que l’affaire devient plus intéressante qu’une querelle de vocabulaire dans une politique de confidentialité : un service pouvait prêter son nom, son public et son hébergement à une activité dont un tiers administrait le formulaire.

La plainte publiée en août 1998 décrivait un site de plus de 1,8 million de membres répartis dans 40 quartiers thématiques. Elle recensait environ 50 000 membres de moins de 13 ans au 18 mai 1998. L’inscription demandait des renseignements obligatoires et en présentait d’autres comme facultatifs : niveau d’études, revenus, situation matrimoniale, profession et centres d’intérêt. Le formulaire proposait aussi des offres publicitaires, activées par défaut sauf désactivation par le membre.

Le modèle commercial n’était pas invisible : GeoCities vendait de la publicité et permettait de cibler des membres selon leurs intérêts ou leur quartier, selon la plainte. Le désaccord portait sur la promesse faite autour des données. La FTC a allégué que les textes de confidentialité limitaient l’usage aux offres ou produits demandés et annonçaient que les champs facultatifs ne seraient pas communiqués sans permission. Elle a soutenu que GeoCities avait aussi vendu, loué ou transmis des informations à des tiers pour d’autres usages, dont des sollicitations fondées sur le quartier choisi.

Le GeoKidz Club ajoutait une question plus embarrassante pour une plateforme qui affichait un seul logo : qui recueillait les données? La FTC a allégué que le site présentait le club et les concours comme des activités de GeoCities, alors que les Community Leaders recueillaient et géraient réellement les informations. L’identité visible de l’activité et la personne qui détenait son fichier ne coïncidaient pas.

Soixante jours pour commenter

Le 13 août 1998, la FTC a annoncé un accord de règlement proposé, soumis à 60 jours de commentaires publics. GeoCities reconnaissait les faits de compétence de la Commission et consentait à la procédure. L’accord précisait qu’il ne valait pas admission des violations alléguées ni des autres faits de la plainte. La décision finale est donc née d’un consentement, pas d’un procès au fond.

La Commission a émis sa décision et ordonnance le 5 février 1999. Le 12 février, la FTC a annoncé que l’accord était devenu définitif après la période de commentaires; le vote était de 4 contre 0. Le texte final ajoutait la possibilité de collecter ou d’utiliser des informations d’enfants dans la mesure autorisée par la loi de 1998 sur la protection de la vie privée des enfants en ligne.

L’ordonnance a fait de l’avis de confidentialité une tâche de service. GeoCities devait placer un avis clair et visible sur sa page d’accueil ainsi qu’aux endroits où les données étaient collectées. Il fallait nommer les informations recueillies, leurs usages, les tiers destinataires, les moyens d’accès et de retrait, ainsi que les limites de la suppression. Un lien dans le pied de page ne pouvait pas remplacer l’avis relié au formulaire.

Pour les enfants de 12 ans ou moins, GeoCities devait obtenir le consentement explicite d’un parent avant la collecte et l’utilisation des renseignements personnels. Une étape limitée pouvait servir à repérer l’enfant et à joindre son parent. Si le consentement n’arrivait pas sous 20 jours, le site devait supprimer les données, sauf le minimum nécessaire pour bloquer une nouvelle inscription non autorisée.

L’ordonnance réglait aussi le stock déjà accumulé. Les adultes de plus de 12 ans dont les informations avaient été transmises à CMG Information Services devaient recevoir un avis et pouvoir demander le retrait. Les parents des enfants dont les données avaient été recueillies avant le 20 mai 1998 suivaient une procédure distincte. Sans consentement parental explicite au maintien et à la communication des données dans les 20 jours, GeoCities devait cesser de les utiliser et les supprimer sous 10 jours, jusqu’à la page personnelle et au compte de courrier de l’enfant.

Le site devait également écrire aux tiers destinataires pour leur demander d’arrêter toute nouvelle diffusion et d’effacer leurs copies.

La responsabilité suivait donc la donnée hors du serveur principal. GeoCities devait obtenir des engagements écrits des tiers et des Community Leaders. L’entreprise devait cesser une relation commerciale avec un tiers récalcitrant ou retirer son statut à un Community Leader dans les cas prévus par l’ordonnance. Le bénévole qui avait rempli ou reçu le formulaire ne suffisait pas à faire disparaître l’obligation du site.

Les pièces de la FTC indiquent ce que GeoCities devait demander; elles ne suivent pas la suppression effective chez chaque destinataire, que des dossiers de conformité permettraient de vérifier.

La suppression avait toutefois un périmètre défini. L’ordonnance autorisait la conservation de certaines informations sur des bandes de sauvegarde hors site pour la maintenance, la copie de fichiers, le blocage d’une inscription d’enfant ou une procédure judiciaire. GeoCities devait annoncer cette conservation; ces données archivées ne pouvaient pas être divulguées, sauf demande des autorités ou d’un tribunal. Le droit au retrait était accompagné d’une explication des copies qui restaient dans le système.

Une promesse qu’on peut vérifier

La FTC a présenté l’affaire comme sa première affaire de vie privée sur Internet. L’ordonnance a transformé une déclaration en questions vérifiables : quelles données, pour quel usage, envoyées à qui, accessibles par quel moyen, supprimées où? Cette liste suivait le chemin du membre jusqu’au destinataire extérieur.

Le commissaire Orson Swindle a aussi défini la portée du remède. Il a voté pour cette ordonnance et a déclaré que son vote ne signifiait pas qu’il soutenait l’imposition des mêmes obligations aux autres sites commerciaux par une loi ou un règlement. La Commission liait ici GeoCities par un accord de règlement, tandis que le débat sur une règle générale restait ouvert.

GeoCities devait répondre du service que ses membres rencontraient sous son nom. Le quartier était l’entrée; l’ordonnance a suivi les dossiers dans les pièces derrière l’écran. Quand la plateforme fournissait le public, l’hébergement et la marque, elle devait aussi savoir qui avait touché les informations et obtenir une réponse de ces personnes.

Sources