Rachetée par la société Facebook Inc. en 2014, la société WhatsApp a publié en 2016 une nouvelle version des conditions d’utilisation et de la politique de confidentialité de son application, dans laquelle il est mentionné que les données de ses utilisateurs sont désormais transmises à la société Facebook pour trois finalités : le ciblage publicitaire, la sécurité et l’évaluation et l’amélioration des services (« business intelligence »).

Les investigations menées par la Commission nationale de l’informatique et des libertés (Cnil) ont permis de constater que WhatsApp transmet effectivement à Facebook des données concernant ses utilisateurs à des fins de « business intelligence » et de sécurité.

La présidente de la Cnil a estimé que la transmission de données pour cette finalité de « business intelligence » ne reposait sur aucune des bases légales qu’exige, pour tout traitement, la loi informatique et libertés. En particulier, ni le consentement des utilisateurs ni l’intérêt légitime de WhatsApp ne peuvent être invoqués dans les circonstances de l’espèce.

En effet, d’une part, le consentement des utilisateurs n’est pas valablement recueilli car :
– il n’est pas spécifique à cette finalité – lors de l’installation de l’application les utilisateurs doivent accepter que leurs données soient traitées pour le service de messagerie, mais également, de manière générale, par Facebook pour des finalités accessoires, telle que l’amélioration de son service ;
– il n’est pas libre – le seul moyen de s’opposer à la transmission des données pour la finalité accessoires de « business intelligence » est de désinstaller l’application.

D’autre part, WhatsApp ne peut se prévaloir de son intérêt légitime à transférer massivement des données à Facebook dans la mesure où cette transmission ne s’accompagne pas des garanties suffisantes permettant de préserver l’intérêt ou les droits et libertés fondamentaux des utilisateurs puisqu’il n’existe aucun mécanisme leur permettant de s’y opposer tout en continuant à utiliser l’application.

Enfin, la société WhatsApp a indiqué ne pas être en mesure de fournir les informations demandées par la Cnil dans la mesure où, étant installée aux Etats-Unis, elle s’estime uniquement soumise à la législation de ce pays. Ce manquement à son obligation coopérer a fait que la Cnil n’a pas été en mesure d’examiner pleinement la conformité des traitements mis en œuvre par la société.

Par une décision du 27 novembre 2017, la Présidente de la Cnil met donc en demeure la société WhatsApp de se conformer à la loi dans un délai d’un mois.