L’association de Max Schrems vient de déposer deux plaintes contre TikTok devant l’autorité de protection autrichienne. Elle accuse notamment le réseau social de récupérer des données de ses utilisateurs venant d’applications extérieures comme Grindr en passant par AppsFlyer, une entreprise de revente de données israélienne.

TikTok accumulerait des données de ses utilisateurs venant d’autres applications et sites. Accompagnant un utilisateur de l’application, noyb a porté plainte, devant l’autorité de protection de données de son pays, la DSB, en accusant TikTok de stocker certaines données qu’il n’a remplies que dans l’application Grindr.

Dans sa plainte [PDF] dans laquelle elle attaque aussi Grindr et l’entreprise israélienne AppsFlyer, l’association autrichienne explique qu’en voulant télécharger les données le concernant stockées par TikTok, l’utilisateur en question a remarqué que l’archive contenait une référence à des données d’activité en dehors de TikTok, alors que la politique de confidentialité ne donne aucune information concernant le stockage de ce genre de données.

Voulant aller plus loin, il a bataillé avec les services de TikTok pour obtenir plus d’informations. Finalement, après plusieurs échanges, l’entreprise lui a fourni deux tableaux contenant des informations sur des données venant d’ailleurs, sans pour autant transmettre les données en question. La plainte explique que ces tableaux contiennent « par exemple […] des informations sur les autres applications utilisées par le plaignant (telles que Grindr), les actions entreprises par le plaignant dans d’autres applications (telles que l’ouverture de l’application ou l’ajout d’un produit au panier), ou si un événement dit de conversion a eu lieu (c’est-à-dire si un utilisateur a effectué l’action souhaitée après l’affichage d’une publicité sur TikTok) ». La plainte insiste sur le fait que les données récoltées sont aussi visibles sur l’application Grindr utilisée par le plaignant.

Grindr et le data broker AppsFlyer aussi visés

Les avocats de noyb et du plaignant accusent donc TikTok d’avoir enfreint le RGPD, et notamment l’article 5(1)(c) qui impose que les données personnelles collectées soit « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Mais ils pointent aussi le fait que l’entreprise, en récupérant des données hors TikTok, l’a fait sans aucune base légale. Enfin, ils appuient sur le fait que certaines données venaient de Grindr et concernaient l’orientation sexuelle du plaignant, données particulièrement encadrées par l’article 9 du RGPD.

Pour récupérer ces données, la plainte affirme que « selon les informations fournies, TikTok a probablement obtenu ces informations auprès du courtier en données en ligne « AppsFlyer » ». Cette entreprise israélienne est aussi formellement visée par la plainte de noyb. Elle y est accusée d’avoir transféré à TikTok illégalement les données personnelles de l’utilisateur. Ici aussi la plainte insiste sur le fait que des données protégées par l’article 9 du RGPD sont concernées.

Si les avocats de l’association ne donnent pas d’éléments de preuve dans le document, ils y affirment qu’ « il est factuellement clair que Grindr a partagé les données d’activité du plaignant avec (au moins une) tierce partie (« AppsFlyer »), qui a ensuite partagé ces données (directement ou indirectement) avec TikTok ». Ceci sans que l’utilisateur ne donne son consentement et sans s’appuyer sur aucune autre base légale.

La récupération de données venant de Grindr, « qu’un exemple parmi les plus extrêmes »

« À l’instar de nombreux de ses homologues américains, TikTok collecte de plus en plus de données provenant d’autres applications et sources », commente Kleanthi Sardeli, avocate spécialisée dans la protection des données chez noyb, dans un communiqué publié sur le site de l’association. « Cela permet à l’application chinoise d’obtenir une image complète de l’activité en ligne des utilisateurs. Le fait que les données provenant d’une autre application aient révélé l’orientation sexuelle et la vie sexuelle de cet utilisateur n’est qu’un exemple parmi les plus extrêmes », ajoute-t-elle.

La deuxième plainte [PDF] de noyb ne concerne que TikTok et découle, de fait, de la première. L’association accuse le réseau social de ne pas partager avec ses utilisateurs toutes les données qu’elle agrège sur eux dans la fonctionnalité de récupération de données personnelles alors que son outil affirme le contraire. Elle lui reproche aussi un manque d’information sur les données partagées à cette occasion.

Next a contacté les trois entreprises dans la matinée. Elles n’avaient pas fourni de réponse à l’heure de publier cet article. Nous actualiserons cette actualité le cas échéant.