En avril et juin 2016, la CNIL a mené une série de contrôles en ligne sur Windows 10, révélant plusieurs manquements à la loi Informatique et Libertés. Parmi les points soulevés, la collecte excessive de données par Microsoft a été mise en lumière. La société collecte des informations de diagnostic et d’utilisation, telles que les applications téléchargées et le temps passé sur celles-ci, bien au-delà de ce qui est nécessaire pour le service de télémétrie. De plus, la sécurité des utilisateurs est compromise, car le code PIN pour accéder aux services Microsoft n’est pas limité en nombre de tentatives, laissant la porte ouverte à des intrusions potentielles. Un autre manquement concerne l’absence de consentement, puisque l’identifiant publicitaire est activé par défaut lors de l’installation, permettant un suivi des utilisateurs sans leur accord. La CNIL a également noté que Microsoft dépose des cookies publicitaires sans informer correctement les utilisateurs ni leur donner la possibilité de s’y opposer. Enfin, le transfert de données vers les États-Unis, sur la base du Safe Harbor, a été jugé non conforme suite à une décision de la Cour de Justice de l’UE. Face à ces violations, la CNIL a mis en demeure Microsoft de se conformer à la loi dans un délai de trois mois, soulignant l’importance d’un consentement éclairé pour les utilisateurs. Si aucune action n’est entreprise, des sanctions pourraient être envisagées.
La CNIL a effectué 7 contrôles en ligne en avril et juin 2016 et a interrogé Microsoft sur certains points exposés dans sa politique de confidentialité afin de vérifier la conformité de Windows 10 à la loi Informatique et Libertés.
Selon le communiqué de la CNIL, ces vérifications ont permis de relever de nombreux manquements à cette loi, notamment :
Des données collectées non pertinentes ou excessives
La CNIL a constaté que la société collecte des données de diagnostic et d’utilisation dans le cadre de son service de « télémétrie ». Ce service permet notamment, sur la base de données de diagnostic ou d’utilisation, d’identifier des problèmes, de les résoudre et d’améliorer les produits. A cette fin, MICROSOFT CORPORATION traite par exemple des données d’usage des applications Windows et du Windows Store, qui permettent notamment d’avoir connaissance de toutes les applications téléchargées et installées sur le système par un utilisateur et du temps passé sur chacune d’elles. Ce faisant, elle se livre à une collecte excessive, ces données n’étant pas nécessaires au fonctionnement du service.
Un défaut de sécurité
La société permet aux utilisateurs de choisir un code PIN de 4 chiffres pour s’authentifier pour l’ensemble de ses services en ligne et notamment pour l’accès à leur compte Microsoft, qui recense les achats effectués sur le store et les moyens de paiement utilisés. Or, le nombre de tentatives de saisie de ce code PIN n’est pas limité, ce qui n’assure pas la sécurité et la confidentialité des données des utilisateurs.
Une absence de consentement des personnes
Il apparaît également qu’un identifiant publicitaire est activé par défaut lors de l’installation de Windows 10. Il permet à des applications Windows et des applications tierces de suivre la navigation des utilisateurs et de leur proposer des publicités ciblées sans que le consentement des utilisateurs n’ait été recueilli.
Une absence d’information et de possibilité de s’opposer au dépôt de cookies
La société dépose sur les terminaux des utilisateurs des cookies publicitaires, sans les en avoir au préalable correctement informés, ni mis en mesure de s’y opposer.
La persistance de transferts internationaux sur la base du Safe harbor
La société transfère les données personnelles de ses membres aux Etats-Unis sur la base du Safe harbor, ce qui n’est plus possible depuis la décision de la Cour de Justice de l’Union Européenne du 6 octobre 2015.
Mise en demeure
La Présidente de la CNIL a donc décidé de mettre en demeure MICROSOFT CORPORATION de se conformer à la loi dans un délai de 3 mois. Cette procédure et l’analyse juridique de la CNIL n’engagent que l’autorité française, les autres Etats membres du Contact group poursuivant leurs investigations sur leur territoire.
L’objet de cette mise en demeure n’est pas d’interdire toute publicité sur les services de la société mais de permettre aux utilisateurs d’exercer leur choix librement en étant correctement informés de leurs droits.
Il a été décidé de rendre publique cette mise en demeure notamment en raison de la gravité des manquements constatés et du nombre de personnes concernées (plus de dix millions d’utilisateurs de Windows 10 sur le territoire national).
La CNIL rappelle que cette mise en demeure n’est pas une sanction. En effet, aucune suite ne sera donnée à cette procédure si la société se conforme à la loi dans le délai imparti. Dans ce cas, la clôture de la procédure fera également l’objet d’une publicité.
Si Microsoft ne se conforme pas à cette mise en demeure dans le délai imparti, la Présidente pourra désigner un rapporteur qui, le cas échéant, pourra établir un rapport proposant à la formation restreinte de la CNIL, chargée de sanctionner les manquements à la loi Informatique et Libertés, de prononcer une sanction à l’égard de la société.
Plus d’infos ?
En lisant les deux documents de la CNIL, joints à la présente, expliquant comment reprendre la main sur les réglages de confidentialité dans Windows 10.
(source : communiqué de la CNIL)
Annexes
Régler les paramètres PENDANT l’installation
file_download Télécharger l'annexeRégler les paramètres APRES l’installation
file_download Télécharger l'annexe
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
