Les données personnelles de dizaines de millions d’électeurs américains ont été aspirées sur Facebook par une entreprise proche de Donald Trump dans le but de cibler au maximum la campagne du candidat républicain à l’élection présidentielle. Le tout, dans la majorité des cas, sans le consentement des utilisateurs du réseau social.

Une grande partie de cette histoire était déjà connue, mais deux enquêtes du Guardian et du New York Times, publiées samedi 17 mars, apportent de nouveaux détails sur la manière dont l’entreprise Cambridge Analytica et ses sous-traitants ont procédé pour construire cette gigantesque base de données.

Tout commence fin 2013, lorsque la maison mère de Cambridge Analytica, la firme britannique Strategic Communication Laboratories (SCL) cherche à se lancer dans les campagnes électorales et plus précisément explorer comment utiliser les caractéristiques psychologiques des électeurs pour les influencer. L’entreprise manque alors de données et s’adjoint les services d’Aleksandr Kogan, un chercheur de l’université de Cambridge qui a justement travaillé sur ces questions.

Profil psychologique et politique établi à partir de données personnelles

Ce dernier construit donc une application Facebook, appelée « thisisyourdigitallife » qu’il présente à Facebook comme étant destinée à une étude académique. Cette dernière comporte un questionnaire, et nécessite d’être connecté au réseau social et d’être inscrit sur les listes électorales américaines pour le remplir. M. Kogan, par le truchement de sa société Global Science Research (GSR) rémunère plusieurs centaines de milliers d’internautes pour y répondre. Ces derniers, outre leurs réponses au questionnaire, donnent à l’application l’accès à un grand nombre de leurs données personnelles présentes dans leur compte Facebook. De surcroît, l’application tire partie d’une fonctionnalité du réseau social, depuis désactivée, qui lui permet d’aspirer aussi des données personnelles appartenant aux contacts des utilisateurs répondant au questionnaire.

GSR a ensuite transmis ces données à SCL et à Cambridge Analytica : au final, une base de données de plusieurs dizaines de millions d’utilisateurs, dont une bonne partie d’électeurs américains, aura été créée. L’ampleur précis de ce fichage reste inconnu : selon le Guardian, ce sont 50 millions d’utilisateurs dont les données ont été aspirées. Ils seraient 30 millions selon le New York Times. Cette grande quantité de profils, combinés à d’autres données, est allée nourrir les algorithmes de Cambridge Analytica, qui se vante de pouvoir construire un profil psychologique et politique à partir de données personnelles anodines laissées en ligne.

Le rôle exact de cette entreprise dans la campagne de Donald Trump, qui a fait l’objet de déclarations contradictoires y compris de la part de ses propres dirigeants, demeure flou. Elle est arrivée en août 2016 dans les bagages de Stephen Bannon, qui en était un investisseur et le vice-président, lorsque ce dernier a été nommé directeur de campagne du magnat américain. Selon le New York Times, la campagne de Donald Trump a utilisé les données de Cambridge Analytica pour désigner des populations cibles à toucher avec de la publicité électorale (autorisée aux États-Unis), effectué des simulations de participation à l’élection, à l’achat de publicités et à la détermination de régions où les déplacements de Trump seraient les plus efficaces. Dans un communiqué, Cambridge Analytica s’est défendue de « détenir ou d’utiliser des données issues de Facebook » et assure qu’elle a supprimé les données fournies par GSR sitôt leur provenance connue.

Facebook une fois encore dans la tourmente

Cette affaire est surtout extrêmement embarrassante pour Facebook. Vendredi 16 mars, quelques heures avant la mise en ligne des articles du Guardian et du New York Times et après que ces deux médias aient sollicité sa réaction, Facebook a annoncé qu’il suspendait Cambridge Analytica et SCL de sa plateforme. En réalité, le réseau social sait depuis fin-2015 et de premiers articles dans la presse que des données de ses utilisateurs ont été siphonnées sous un prétexte académique avant d’être revendues pour une campagne politique. À l’époque, Facebook avait expliqué « enquêter avec soin » sur ces allégations, mais s’était contenté de suspendre l’application et de réclamer aux protagonistes de l’affaire qu’ils suppriment les données collectées. Sauf que, selon le Guardian, Facebook ne s’est jamais assuré qu’ils s’en étaient effectivement débarrassés. Aujourd’hui, le New York Times révèle que ces données étaient encore, jusqu’à une date très récente, entre les mains de Cambridge Analytica. Devant les parlementaires britanniques, le directeur des affaires publiques pour le Royaume-Uni Simon Milner expliquait pourtant il y a à peine quelques semaines encore que Cambridge Analytica « disposait de beaucoup de données, mais pas de données d’utilisateurs de Facebook ».

Mais le plus grave pour Facebook, c’est que cette affaire prouve une nouvelle fois que sa plateforme peut être utilisée à des fins politiques, à son insu et à celui de ses membres. Il y a quelques semaines, le procureur spécial Robert Mueller, chargé de l’enquête sur l’ingérence russe dans l’élection de 2016, a montré dans un document d’inculpation très précis comment la propagande russe a utilisé Facebook pour diffuser ses messages. Ces nouveaux détails apportent de l’eau à ceux qui voudraient davantage réguler Facebook. Ainsi le sénateur démocrate Mark Warner, qui a ces derniers mois longuement auditionné les principaux réseaux sociaux a-t-il estimé sur Twitter qu’« il était clair que sans régulation, ce marché serait enclin à la tromperie et au manque de transparence ». Sa collègue Amy Klobuchar a réclamé que le patron de Facebook, Mark Zuckerberg, soit entendu par le Sénat américain tandis que la procureure générale du Massachusetts annonçait le lancement d’une enquête.

Cambridge Analytica, dont le rôle dans la campagne victorieuse du Brexit fait déjà l’objet d’une enquête de la commission électorale, est en outre visée par une enquête de l’Information Commissioner’s Office (ICO), l’autorité britannique de protection des données personnelles. « Nous enquêtons sur les circonstances dans lesquelles des données de Facebook ont pu être acquises et utilisées illégalement » a annoncé l’ICO dans un communiqué. Le lanceur d’alerte, un ancien collaborateur de Cambridge Analytica sur lequel s’appuie en partie le Guardian pour ses nouvelles révélations, a transmis à l’ICO ainsi qu’à la police britannique plusieurs documents internes à l’entreprise.