À partir de 2013, Twitter a demandé aux utilisateurs de fournir un numéro de téléphone ou une adresse e-mail afin d'améliorer la sécurité de leur compte — pour réinitialiser les mots de passe, débloquer les comptes signalés et activer l'authentification à deux facteurs. L'entreprise a indiqué aux utilisateurs que ces informations contribueraient à sécuriser leurs comptes, et rien de plus.
De 2014 à 2019, plus de 140 millions d'utilisateurs ont communiqué leurs coordonnées. Twitter, toutefois, a omis de mentionner qu'il utiliserait aussi les numéros et les adresses e-mail à des fins de publicité ciblée, permettant aux annonceurs de recouper ces données avec leurs propres listes ou avec les informations de courtiers en données afin de diffuser des publicités spécifiques à des personnes spécifiques.
Le 25 mai 2022, la FTC et le ministère de la Justice ont annoncé un projet d'ordonnance obligeant Twitter à payer une sanction civile de 150 millions de dollars. La FTC a allégué que cette pratique était trompeuse et violait le FTC Act, les accords du bouclier de protection des données UE–États-Unis et Suisse–États-Unis, ainsi qu'une ordonnance de la FTC de 2011 qui interdisait déjà séparément à Twitter de présenter de manière trompeuse ses pratiques en matière de confidentialité et de sécurité.
Au-delà de l'amende, l'ordonnance a interdit à Twitter de tirer profit des données collectées de manière trompeuse, l'a obligé à informer les utilisateurs concernés que leurs données de sécurité avaient également servi au ciblage publicitaire, et l'a contraint à proposer d'autres options d'authentification multifacteur qui ne dépendent pas d'un numéro de téléphone.
Twitter a réutilisé des numéros de téléphone fournis pour la sécurité à des fins de ciblage publicitaire, ce qui lui a valu une amende de 150 M$ de la FTC et une interdiction de vendre des données de sécurité à des fins publicitaires.
Twitter a traité les données collectées pour la sécurité comme une ressource publicitaire gratuite, en supposant que les utilisateurs ne remarqueraient pas cette réutilisation.
Il a ignoré une ordonnance existante de 2011 qui interdisait déjà de présenter de manière trompeuse la façon dont les informations des clients étaient traitées.
La leçon
Des données collectées dans un but ne sont pas librement utilisables dans un autre — une promesse de sécurité, non tenue, transforme le consentement en amende et en ordonnance judiciaire.
L'amende de 150 millions de dollars figurait parmi les plus élevées que la FTC ait jamais obtenues à ce moment-là, et elle a mis en évidence le risque de réutiliser des données de sécurité à des fins publicitaires. L'ordonnance a contraint Twitter à informer plus de 140 millions d'utilisateurs que leurs numéros de téléphone et adresses e-mail avaient servi au ciblage publicitaire, et à prendre en charge des méthodes d'authentification qui ne nécessitent pas de numéro de téléphone. Pour le secteur, cette affaire a renforcé l'idée qu'une promesse sur l'utilisation des données est un engagement contraignant, en particulier lorsqu'une ordonnance de consentement antérieure est déjà au dossier.
VÉRIFIEZ LES SOURCES