Sur Facebook, vos droits n’ont de valeur que si META vous laisse les exercer

Après dix-huit ans d’utilisation, Meta a désactivé mon compte sans m’expliquer précisément pourquoi. J’ai perdu mes archives, mes conversations et les discussions et débats de la page de La Tronche en Biais, suivie par 48 000 personnes. Pour tenter de récupérer mes propres données, je vais devoir envoyer une lettre en Irlande.

Puisque Meta est l’une des plus grandes entreprises numériques du monde et que les données réclamées proviennent d’un compte Facebook, on aurait pu s’attendre à ce que cette démarche s’effectue en ligne. La réponse à ma lettre recommandée internationale avec avis de réception est censée revenir sous 30 jours.

Si vous trouvez ça déjà un peu kafkaïen, accrochez-vous.

Dix-huit ans de vie numérique confisqués

La veille, le 2 septembre, Facebook a suspendu mon compte personnel. Je l’utilisais depuis dix-huit ans. Il contenait des publications, des photographies, des contacts et des milliers de conversations Messenger. Certaines relevaient de ma vie privée. D’autres étaient liées à mon travail et à mes activités de vulgarisation scientifique : échanges avec des collaborateurs, discussions avec des sources, organisation de projets et correspondances accumulées au fil des années.

La désactivation de mon compte personnel a eu une autre conséquence que Meta ne semble jamais chercher à prendre en considération : j’ai perdu l’accès à la page Facebook de La Tronche en Biais et à ses quelque 48 000 abonnés. Mon profil personnel était le seul compte disposant des droits nécessaires pour l’administrer. Cette page constitue pourtant depuis des années un véritable outil de travail : j’y diffuse mes contenus de vulgarisation scientifique et de lutte contre la désinformation, avec régulièrement des centaines de commentaires sous les publications consacrées aux sujets les plus controversés. C’est aussi un espace où s’accumulent des années d’échanges avec le public. Une décision prise contre mon compte personnel, sur la base d’une mystérieuse « association » avec un autre compte que Facebook refuse toujours d’identifier, m’a donc également privé du contrôle d’un média professionnel suivi par près de 50 000 personnes. Et, puisque j’en étais le seul administrateur, la page continue d’exister mais je ne peux plus la gérer, la modérer ni même désigner quelqu’un pour le faire à ma place. Voilà comment une décision opaque portant théoriquement sur un profil individuel peut, en quelques secondes, neutraliser un outil de communication scientifique construit pendant des années.

Selon le motif lacunaire fourni par Facebook, mon compte « est peut-être associé à un autre compte qui a enfreint [les] règles ». Facebook ne m’a pas indiqué quel était cet autre compte. L’entreprise n’a décrit aucune infraction précise et ne m’a communiqué aucun élément susceptible d’établir cette association. La formule employée ne disait même pas que le lien était certain : mon compte était « peut-être associé » à un autre.

J’ignore encore ce que cette phrase recouvre. Elle pourrait désigner une connexion technique, une adresse IP, un appareil, un compte usurpant mon identité, une erreur de rapprochement ou un événement de sécurité dont je n’aurais pas eu connaissance. Il existe peut-être une explication légitime. Meta la connaît peut-être. Je ne peux pas l’examiner, puisqu’elle ne me l’a pas donnée.

Cette imprécision rend la contestation presque impossible. Comment réfuter l’existence d’un lien lorsqu’on ignore avec quoi on est supposé être lié ? Comment expliquer qu’un comportement ne vous appartient pas lorsque ce comportement n’est pas décrit ? Comment se défendre lorsque l’accusation se résume à la conclusion d’un système dont on ne voit ni les données ni le raisonnement ?

Facebook m’a proposé une procédure d’appel. Je l’ai utilisée. La plateforme m’a demandé de confirmer mon identité. J’ai transmis mon passeport. Une seconde vérification m’a ensuite été imposée et j’ai fourni ma carte nationale d’identité. Après avoir reçu deux documents officiels particulièrement sensibles, Facebook a confirmé la désactivation de mon compte. L’interface m’a alors annoncé que je ne pouvais plus demander de nouvel examen.

Clap de fin.

Un appel sans accusation intelligible

Une plateforme privée a le droit de faire respecter ses conditions d’utilisation. Elle doit pouvoir lutter contre les faux comptes, les détournements, les escroqueries et les opérations coordonnées. Mais comment une personne peut-elle contester utilement une décision lorsqu’on ne lui communique pas les faits sur lesquels elle repose ?

Le Digital Services Act encadre précisément ce type de situation. Son article 17 impose, dans les cas qu’il vise, un exposé des motifs suffisamment clair et spécifique. Celui-ci doit notamment contenir des informations sur les faits et circonstances ayant conduit à la décision. Il doit aussi indiquer, le cas échéant, si des moyens automatisés ont été utilisés.

L’article 20 prévoit un système interne de traitement des réclamations qui doit être facile d’accès et d’utilisation. Les réclamations doivent être examinées avec diligence et sans arbitraire. Le règlement précise surtout que les décisions prises à l’issue de cette procédure doivent l’être sous le contrôle de collaborateurs qualifiés, et non exclusivement par des moyens automatisés. Le texte du Digital Services Act est consultable sur EUR-Lex.

Je ne peux pas affirmer que la décision prise contre mon compte était entièrement automatisée. Je ne peux pas davantage affirmer qu’aucun être humain n’a examiné mon appel. Les écrans de Facebook ne fournissent pas ces informations.

Cette ignorance ne constitue pas un détail secondaire. Elle est au cœur du problème. Facebook a organisé une procédure dans laquelle l’entreprise possède tous les éléments du dossier tandis que l’utilisateur ne reçoit qu’une conclusion. La plateforme détecte l’association, choisit la règle applicable, prononce la sanction, organise l’appel et détermine les informations qu’elle accepte de communiquer. La personne visée doit, quant à elle, démontrer que la décision est erronée sans connaître les données qui l’ont produite.

Leur bouton « Faire Appel » ressemble à une simple décoration destinée à donner le sentiment au citoyen qu’il a bel et bien exercé ses droits.

Le bouton qui ne télécharge rien

La désactivation définitive de mon compte, signifiée dans la nuit, s’accompagnait d’une proposition rassurante : « Télécharger vos informations ». Ce bouton reconnaissait implicitement que la disparition de mon accès à Facebook ne devait pas entraîner celle de dix-huit ans d’archives. Il laissait penser que je pourrais, au minimum, récupérer une copie de mes données avant que la porte ne se referme.

Le bouton ne fonctionnait pas.

Je n’ai obtenu ni archive ni procédure d’exportation utilisable. Facebook m’indiquait que mes informations pouvaient être téléchargées tout en m’empêchant de les télécharger. Il ne s’agissait plus seulement de contester la fermeture du compte. Même si Meta estimait avoir de bonnes raisons de m’interdire l’accès à son service, cette décision ne faisait pas disparaître mon droit d’accès aux données personnelles que l’entreprise détenait encore à mon sujet.

L’article 15 du RGPD permet à une personne de savoir quelles données un organisme traite et d’en obtenir une copie. La demande peut aussi porter sur les finalités du traitement, les catégories de données concernées, leurs destinataires, leur durée de conservation et, dans certaines situations, l’existence d’une prise de décision automatisée. La CNIL rappelle que l’organisme doit en principe répondre dans le mois suivant la réception de la demande. Elle propose elle-même un modèle de courrier pour exercer ce droit.

Je me suis donc rendu sur le portail officiel consacré par Meta aux demandes relatives au respect de la vie privée. Le portail proposait de choisir parmi les différents services du groupe. J’ai sélectionné Facebook. S’est alors ouvert une fenêtre où Meta m’a demandé de me connecter.

Or le compte nécessaire à cette authentification venait d’être désactivé par Meta.

J’ai néanmoins suivi le parcours. Facebook a reconnu mon compte, puis refusé le mot de passe que j’utilisais encore quotidiennement avant la suspension. L’interface affirmait qu’il avait été modifié « il y a environ cinq mois ». Cette information est clairement incompatible avec mon utilisation du compte et avec le mot de passe conservé par mon gestionnaire. Si je dis que META me baratine et se moque de moi en invoquant faussement un mot de passe périmé, vous trouvez que j’exagère ?

À ce stade, Facebook me proposait lui-même de « sécuriser mon compte » dans le cas où quelqu’un aurait changé mon mot de passe sans mon autorisation. J’ai donc cliqué sur ce bouton.

La page suivante m’a annoncé que mon compte était désactivé. Nouveau clap de fin.

Si vous avez bien suivi les faits : Facebook désactive le compte ; son portail consacré à la vie privée exige une connexion à ce compte ; le mot de passe est refusé ; la procédure de sécurisation renvoie vers l’écran de désactivation. Le canal prévu pour exercer un droit devient inutilisable précisément parce que la plateforme a pris la décision qui rend l’exercice de ce droit nécessaire.

Quand la procédure exige l’accès que vous avez perdu

Après avoir raconté cette situation, j’ai reçu le témoignage public d’un utilisateur se présentant sous le pseudonyme Ionesco. Son récit ne constitue pas une preuve de ce qui m’est arrivé, et je ne suis pas en mesure d’en vérifier indépendamment chaque détail. Il décrit néanmoins un mécanisme suffisamment proche pour mériter d’être cité.

Le compte Facebook de son entreprise aurait été compromis deux ans auparavant lors d’une attaque informatique. Les pirates seraient parvenus à lui associer un compte Instagram, puis auraient utilisé les comptes pour diffuser des arnaques. Lorsqu’il a tenté de déposer une réclamation, on lui aurait expliqué que le seul compte autorisé à le faire était le compte Instagram associé. C’est-à-dire le compte du pirate.

Malgré de nombreux échanges avec différents services, il affirme n’avoir jamais récupéré le compte de son entreprise. Il aurait perdu une année d’activité, des milliers de clients et ses messages. Un interlocuteur de Meta lui aurait finalement conseillé de repartir de zéro, en lui expliquant qu’avec de bonnes vidéos il pourrait retrouver dix mille abonnés en quelques jours. Le conseil serait presque drôle si l’objet perdu était une partie de jeu vidéo. Il l’est moins lorsqu’il s’agit d’un outil de travail, d’une clientèle et d’une année de correspondances.

Son histoire et la mienne n’ont pas nécessairement la même origine. Dans son cas, il est question d’un piratage. Dans le mien, Facebook évoque une association non expliquée avec un autre compte. Mais la forme du piège est identique : pour demander réparation, l’utilisateur doit disposer de l’accès dont la perte constitue justement le problème. Si le compte est piraté, la réclamation doit partir du compte du pirate. Si le compte est désactivé, la demande d’accès aux données exige une connexion au compte désactivé. Qu’elle résulte d’une conception défaillante, d’une automatisation excessive, d’une indifférence aux cas limites ou d’un choix délibéré, cette architecture aboutit à une situation profondément anormale : Meta place devant l’exercice de droits reconnus aux utilisateurs des obstacles que ses propres décisions ont créés.

Sortir de Facebook pour contester Facebook

J’ai cherché un autre moyen électronique officiel de contacter le délégué à la protection des données de Meta Platforms Ireland. Je voulais transmettre ma demande sans dépendre du compte désactivé. Les chemins que j’ai trouvés me ramenaient à une authentification Facebook ou à des formulaires qui ne correspondaient pas à ma situation. L’un des portails rencontrés était réservé à certains organismes habilités dans le cadre du Digital Services Act. Il demandait d’attester que l’on agissait en qualité de représentant autorisé. Je n’allais évidemment pas faire une fausse déclaration pour franchir une étape de plus.

Diverses adresses électroniques attribuées à Meta circulent sur Internet. Je n’en ai trouvé aucune que je puisse authentifier avec assez de certitude dans une source officielle actuelle pour faire reposer ma demande sur elle. Il restait l’adresse postale de Meta Platforms Ireland Limited, à Dublin.

J’ai donc rédigé une demande d’accès fondée sur l’article 15 du RGPD. J’y ai indiqué l’adresse de mon ancien profil, la date de désactivation et l’adresse électronique associée au compte. J’ai demandé une copie de mes publications, de mes photographies, de mes vidéos, de mes données d’activité et des informations liées à mes conversations Messenger, sous réserve des droits des tiers. J’ai également demandé les informations prévues par l’article 15 concernant les traitements réalisés par Meta et l’éventuelle intervention d’une décision automatisée ou d’un profilage pertinent dans la suspension du compte. J’ai rappelé que l’entreprise prétendait m’associer à un autre compte sans identifier celui-ci. Enfin, j’ai demandé que les données ne soient pas irréversiblement supprimées pendant l’examen de ma demande.

Il est difficile de trouver meilleure illustration du fossé qui sépare un droit de son exercice. Pour récupérer des données numériques détenues par une entreprise qui organise une grande partie de la vie sociale mondiale, je dois envoyer un courrier papier dans un autre pays.

Le RGPD ne m’imposait pas cette voie. Le règlement permet l’exercice électronique du droit d’accès. Mais le papier est devenu nécessaire parce que Meta a choisi de rendre inopérant tout canal dématérialisé permettant d’exercer ce droit. Lorsque la lettre aura été distribuée, le délai de réponse commencera à courir. Si Meta estime la demande complexe et souhaite prolonger ce délai, l’entreprise devra m’en informer et expliquer ce report pendant le premier mois. La CNIL rappelle ces règles sur son site.

À l’heure où j’écris ces lignes, le courrier est prêt à partir.

Les recours que Facebook ne vous montre pas

J’ai également saisi Appeals Centre Europe. Cet organisme indépendant est certifié dans le cadre de l’article 21 du Digital Services Act. Il peut examiner certaines décisions prises par les grandes plateformes, notamment la suspension ou la désactivation d’un compte Facebook.

La différence avec l’appel interne de Meta est immédiate. Appeals Centre Europe annonce recueillir des informations auprès de la plateforme et soumettre le dossier à des experts. Son portail a accepté ma demande et confirmé son enregistrement.

Quelques heures plus tard, à 15 h 40, ce recours s’est refermé à son tour. Appeals Centre Europe m’a informé qu’après examen de mon dossier, celui-ci « n’est pas recevable au titre de l’article 21 » du Digital Services Act. Sans examiner le bien-fondé de la désactivation, l’organisme a rendu une décision procédurale et clos le dossier. Le Centre peut bien examiner certaines suspensions de comptes Facebook, mais son champ de compétence comporte des limites importantes : il exclut notamment plusieurs décisions fondées sur le « comportement du compte » plutôt que sur un contenu déterminé. Je ne sais pas dans quelle catégorie exacte mon dossier a été rangé. Le formulaire lui-même était d’ailleurs mal ajusté à ma situation : pour contester la désactivation de mon compte, il m’obligeait à sélectionner un « type de contenu », et aucune option ne correspondait réellement au motif qui m’avait été communiqué.

Le résultat, lui, ne prête pas à interprétation : le recours extrajudiciaire que j’avais identifié pour faire examiner la décision de Meta s’est arrêté avant même l’examen du fond. Personne ne m’a donc davantage expliqué quel serait cet autre compte auquel Facebook prétend m’associer, ce qu’il aurait fait, ni sur quels éléments repose cette association.

Cette voie de recours représente néanmoins un progrès réel. Jusqu’à une période récente, une personne confrontée à la fermeture de son compte devait essentiellement demander à la plateforme de revenir sur sa propre décision ou engager une procédure judiciaire longue et coûteuse.

Il faut cependant regarder les limites du dispositif. Les décisions d’Appeals Centre Europe ne sont pas contraignantes. Les plateformes sont tenues de coopérer de bonne foi avec l’organisme, mais elles conservent la possibilité de ne pas appliquer sa conclusion. Appeals Centre Europe indique lui-même avoir rencontré des situations où une plateforme n’a pas suivi une décision favorable à l’utilisateur. Cette limite figure clairement dans sa foire aux questions.

J’ai enfin adressé un signalement à l’Arcom, qui exerce en France la fonction de coordinateur pour les services numériques. Je lui signale qu’une plateforme a prononcé une désactivation définitive sur la base d’un motif pratiquement impossible à contester, avant de rendre matériellement inaccessible le canal électronique permettant de réclamer les données du compte.

Nous avons bâti une architecture européenne des droits numériques, avec un règlement sur les données personnelles, un règlement sur les services numériques, des autorités nationales et des organismes indépendants de règlement des litiges. Mais pour un utilisateur ordinaire, cette architecture demeure largement invisible. Facebook ne m’a pas guidé vers elle de manière utile. J’ai dû identifier seul les textes applicables, trouver l’organisme compétent, comprendre la différence entre un appel interne, un règlement extrajudiciaire, un signalement à l’Arcom et une demande d’accès au titre du RGPD.

Il faut beaucoup travailler pour devenir le bénéficiaire effectif de droits que l’on possède déjà — en théorie.

Nous ne possédons pas nos archives

Pendant dix-huit ans, j’ai considéré Facebook comme un lieu où je déposais des éléments de ma vie. Je savais que l’entreprise collectait des informations à mon sujet. Je savais que son modèle économique reposait largement sur leur exploitation. J’acceptais ce compromis puisque cette plateforme était pour moi avant tout un lieu de libre expression et de diffusion de mon travail auprès du public. Mes textes, mes photographies et mes conversations continuaient intuitivement à me paraître miens. La désactivation du compte corrige brutalement cette illusion.

Je suis l’auteur de certains textes dont je ne conserve pas nécessairement de copie. J’ai participé à des conversations pendant des années, mais je ne peux plus les relire. J’ai constitué un réseau de contacts que je ne suis pas capable de reconstituer. Mes souvenirs existent peut-être encore sur les serveurs de Meta, mais leur accessibilité dépend désormais d’une décision unilatérale de l’entreprise. La dépendance dans laquelle nous baignons ne vient pas seulement de la surveillance ou du profilage. Elle vient aussi du fait que nous avons confié à quelques entreprises la garde matérielle de pans entiers de notre mémoire, de notre sociabilité et de notre travail.

Lorsqu’un compte disparaît, la sanction ne se limite pas à l’interdiction d’utiliser un service. Elle peut emporter avec elle des années de relations et de documents. La réponse prêtée à Meta dans le témoignage d’Ionesco résume parfaitement la désinvolture que permet cette asymétrie : repartez de zéro ; avec de bonnes vidéos, vous récupérerez vos abonnés. Comme si une communauté se réduisait à un compteur. Comme si des années de conversations pouvaient être remplacées par quelques jours de production de contenu. Comme si le temps humain ne coûtait rien.

Où sont les humains qui gèrent nos réseaux numériques ?

Les interfaces des plateformes sont couvertes de mots rassurants. Elles proposent de faire appel, de sécuriser un compte, de télécharger des informations et de contacter un service consacré à la vie privée. Ces formules donnent l’impression que l’utilisateur conserve le contrôle. Leur présence dispense presque l’entreprise d’avoir à démontrer que les procédures correspondantes fonctionnent dans les situations où elles sont indispensables. Facebook, Instagram, X, TikTok et les autres plateformes sont omniprésents sur nos écrans et dans nos vies, mais elles n’ont pas de numéro de téléphone, d’email ou d’adresse où présenter une requête ou un contencieux à des êtres humains.

Je constate qu’un bouton intitulé « Faire appel » ne garantit pas que l’accusation sera suffisamment expliquée pour être contestée. Qu’un bouton intitulé « Télécharger vos informations » ne garantit pas une copie de mes données personnelles. L’administration de Meta produit ainsi une succession d’écrans donnant l’apparence d’un recours : réponses standardisées, embranchements automatiques, portes fermées et presque aucune possibilité de demander à un être humain pourquoi la machine vous conduit là. Kafka en tirerait de quoi sublimer son œuvre.

Au-delà de la fermeture inexpliquée de mon compte personnel, qui me prive également du contrôle d’une page de vulgarisation suivie par 48 000 personnes, ce qui porte préjudice à mon activité de vulgarisation scientifique, le scandale est que l’entreprise qui détient les informations organise une procédure incapable de corriger ses propres erreurs et oblige l’utilisateur à chercher hors de la plateforme les moyens de comprendre ce qu’elle lui reproche.

J’ai pu engager ces démarches parce que j’avais du temps, un peu d’énergie et quelques compétences. J’ai conservé des captures, étudié les textes, créé un compte auprès d’un organisme de recours, rempli un formulaire destiné à l’Arcom, rédigé une demande fondée sur le RGPD et préparé un recommandé international. Combien de personnes poursuivraient le parcours jusqu’au bout ? Combien abandonneraient après le premier refus de connexion ? Combien sauraient que la désactivation d’un compte Facebook peut être contestée devant un organisme indépendant créé par le droit européen ? Combien comprendraient qu’il faut distinguer la restauration du compte, le contrôle de la décision au regard du DSA et l’accès aux données au titre du RGPD ? Un droit dont l’exercice exige autant de connaissances, de temps et d’obstination ne protège efficacement qu’une minorité de personnes.

Grâce à mon activité professionnelle, j’ai quelques contacts qui ont cherché à m’aider. L’un d’eux a pu joindre directement une responsable du service Public Policy de Meta. Elle lui a répondu : « Merci pour le signalement, j’ai bien transmis à nos équipes et ne manquerai pas de revenir vers vous dès que j’obtiens plus d’informations à ce sujet. » Je mesure le privilège presque absurde que représente le simple fait d’avoir réussi à atteindre un être humain chez Meta. La plupart des utilisateurs placés dans la même situation n’auront jamais cette possibilité.

La colonisation numérique

Mais il demeure que je ne sais toujours pas si Facebook avait une raison valable de désactiver mon compte. Je ne sais pas quel compte lui aurait été associé. Je ne sais pas si cette association résulte d’une erreur, d’un piratage, d’un rapprochement automatisé ou d’un fait que Meta refuse simplement de m’exposer. Je ne prétendrai donc pas avoir démontré que l’entreprise a sciemment sanctionné un utilisateur innocent. Les éléments dont je dispose ne permettent pas de l’affirmer.

Ils permettent, en revanche, d’établir le déroulement de la procédure. Mon compte a été désactivé sur la base d’une association non expliquée. Deux pièces d’identité ont été fournies. L’appel interne n’a livré aucun fait supplémentaire. Le bouton de téléchargement n’a pas permis de récupérer les données. Le portail Privacy a exigé une authentification au compte désactivé. La procédure de sécurisation a ramené au point de départ. Pour exercer mon droit d’accès d’une manière traçable, j’ai dû écrire à Meta en Irlande. Cette histoire montre une violente asymétrie où la multinationale a tous les pouvoirs.

En théorie Meta reste soumise au droit européen et peut faire l’objet de contrôles, de plaintes et de recours. Mais entre le texte juridique et la personne qu’il protège se trouve l’interface de Meta. L’entreprise dessine le parcours, choisit les informations affichées, détermine les justificatifs demandés et programme les portes qui s’ouvrent ou restent fermées.

L’internaute sanctionné par une grande plateforme numérique découvre ainsi une situation étrange : ses droits existent, mais leur exercice effectif peut exiger de sortir entièrement de l’écosystème qui les entrave — saisir une autorité publique, solliciter un organisme européen de règlement des litiges, invoquer le RGPD, et finalement envoyer une lettre recommandée dans un autre pays.

Il reste quelque chose de politiquement vertigineux dans cette situation. Une entreprise américaine privée peut devenir l’intermédiaire de nos relations sociales, conserver dix-huit années de notre mémoire, héberger nos outils professionnels et nos communautés, puis nous en retirer l’accès par une décision dont nous peinons même à obtenir les motifs précis. Le droit européen demeure applicable, évidemment. Mais c’est à l’utilisateur de parvenir à l’atteindre derrière l’architecture procédurale construite par la plateforme. Facebook tire pendant ce temps une valeur économique de nos interactions, de nos publications et du travail des producteurs de contenus qui font vivre son réseau. Des collègues ayant vécu cette mésaventure ont parfois pu récupérer leur compte au bout de 6 mois, une période durant laquelle l’écosystème de Facebook particulièrement complaisant avec les arnaques, la désinformation et de nombreuses activités illégales, notamment autour de la santé, sera privé d’une page dédiée à assainir cet environnement de plus en plus dégradé.

Lorsque quelques entreprises étrangères disposent d’un tel pouvoir sur nos communications, nos archives, nos activités professionnelles et jusqu’aux moyens pratiques d’exercer nos droits, la question dépasse largement mon compte Facebook.

Dites-moi si, à vos yeux, cela commence à ressembler à une forme de néocolonisation numérique.

Acermendax