Le "click jacking" ou comment la publicité fait de vous ses "amis" sur Facebook

Avez-vous déjà été surpris que tel ami altermondialiste déclare sur Facebook aimer une enseigne de grande distribution ? Ou qu'un connaissant à l'apparence intello like la toute dernière campagne marketing de canettes de sodas ? Il s'agit probablement de faux dont vous aussi risquez de devenir victime. Eric Caprioli, avocat spécialiste en droit des nouvelles technologies, explique pourquoi cette arnaque existe mais pourrait être éradiquée.

Comment s'expliquent techniquement ces faux like que nous recevons de nos contacts?

Eric Caprioli : Le procédé en cause s'appelle "click jacking" et consiste dans l'activation de liens cachés à notre insu quand nous cliquons sur les contenus de certains sites.

Le click jacking est-il autorisé?

Non. Les conditions générales de Facebook bannissent toute publicité agissant par un faux lien. La pratique est aussi proscrite par la loi française, sous divers fondements. Elle peut  être considérée comme une forme de publicité cachée, interdite par la loi du 21 juin 2004 pour la confiance dans l'économie numérique. Le Code de la consommation prohibe aussi la publicité trompeuse et on peut aller jusqu'à parler d'usurpation d'identité, sanctionnée par le Code pénal. Cependant, à ma connaissance, aucune jurisprudence n'existe en la matière car il n'y a pas encore eu de décisions publiées.

Pourquoi les interdictions existantes ne sont-elles pas sanctionnées?

L'entreprise qui bénéficie des like n'est, en général, pas au courant des moyens utilisés : elle se limite à faire appel à une agence chargée de gérer sa communication, qui à son tour délègue l'obtention des like à une autre société. Quant aux victimes, soit elles ne sont pas au courant, soit elles considèrent que porter plainte coûterait trop de temps et d'argent par rapport au préjudice subi.

Dès lors que Facebook ne reçoit pas de plaintes individuelles sur les faux like, la pratique peut lui apparaître difficile à réprimer. Prouver les comportements illicites et identifier leurs auteurs est d'ailleurs très compliqué, puisque les sous-traitants qui recourent aux liens cachés se servent souvent de proxys.

Qu'est-ce qui pourrait permettre d'éradiquer ce phénomène?

Seules une enquête de la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF)* ou une enquête pénale permettraient peut-être de remonter la filière et d'identifier les responsables : mais pour que les instances compétentes décident de mobiliser les ressources nécessaires, il faudrait qu'elles soient saisies par une association de consommateurs ou des consommateurs victimes. La Commission nationale informatique et libertés (Cnil) pourrait à son tour se pencher sur le volet de l'utilisation de données personnelles à l'insu de leurs titulaires.

Il serait aussi utile que Facebook mette en place un service de plaintes concernant les faux like et qu'il étudie les éventuelles interventions techniques possibles. Il existe enfin, depuis juillet 2013, une nouvelle norme Afnor qui interdit les faux avis (comme d'ailleurs les achats d'avis): la norme Afnor sur les avis en ligne de consommations (NF274-501). En y adhérant et en la promouvant, les acteurs économiques peuvent s'engager contre ces pratiques et en faveur de pratiques éthiques.

L'action de groupe pourra-t-elle être utilisée contre ces procédés ?

Il semblerait que oui, du moins telle qu'elle est conçue aujourd'hui, car l'action de groupe actuellement à l'étude du Parlement pourrait permettre aux associations de consommateurs de regrouper plusieurs plaintes individuelles et de mobiliser ainsi les pouvoirs d'enquête de la justice. Il faudra néanmoins attendre la version définitive du projet de loi relatif à la consommation pour pouvoir véritablement évaluer l'impact potentiel et le domaine d'application de l'outil.

Tous les "faux like" sont-ils interdits?

Non, car par "faux like" on entend aussi des like achetés et il existe des entreprises spécialisées dans leur vente qui agissent en toute légalité, leurs bases de données étant constituées d'utilisateurs consentants. Plusieurs méthodes sont utilisées pour obtenir l'accord de ces internautes: parfois on leur propose un échange de like sur des pages Facebook ("je t'aime, tu m'aimes", notamment entre professionnels), parfois on leur promet un avantage (des bons de réductions, une loterie…), parfois cliquer sur un like est la condition pour accéder à une page ou à un service. Facebook autorise tous ces procédés. Mais derrière cette façade légale peuvent se cacher des pratiques illicites.

Quels autres procédés illégaux existent en dehors du click jacking ?

Le plus courant consiste dans la création de faux profils Facebook de personnes qui existent réellement mais qui n'ont pas de compte Facebook et/ou sont peu actives sur le web : de personnes âgées notamment, qui ont moins de chances de se rendre compte que leur identité a été piratée. Facebook interdit cette pratique dans ses conditions générales : "Les utilisateurs de Facebook donnent leur vrai nom et de vraies informations les concernant" et s'engagent à ne pas fournir "de fausses informations personnelles" ainsi qu'à ne pas créer "de compte pour une autre personne sans son autorisation".

Le réseau social menace d'ailleurs d'exclusion ce qui enfreignent cette déclaration et a récemment fait fermer un site qui proposait la vente de like "artificiels" : LikeUb. Si officiellement on ne connaît pas les griefs invoqués contre ce service d'augmentation du nombre de like, les préjudices potentiels causés par ce type d'activités à Facebook (image etc.) expliquent que ses menaces d'action en justice aient porté leurs fruits.

*Interrogée sur les intitiatives menées jusqu'à présent, la DGCCRF a indiqué disposer "d'un service spécialisé composé de cyberenquêteurs dont l'objectif est de pister ce nouveau type d'infraction qui a tendance à croître sur internet" et avoir "lancé des investigations", mais ne pas pouvoir, à ce stade, donner plus de détails.