Image : IAS 2018

Par Fred Lebreton

Données liées au VIH : Grindr paie 30 millions d'euros

Grindr a accepté de verser 26 millions de livres sterling (environ 30 millions d’euros) pour mettre fin à une procédure lancée par quelque 12 000 utilisateurs britanniques. Ils accusaient l’application de rencontres gays d’avoir transmis sans leur consentement des informations sensibles, notamment leur statut VIH. Sans reconnaître sa responsabilité, l’entreprise dit prendre en compte la « détresse » et la « perte de confiance » exprimées. Explications.

Un accord à 30 millions d’euros sans reconnaissance de responsabilité

Payer des millions d’euros d’indemnités sans reconnaître la moindre responsabilité : voilà un numéro d’équilibriste dont Grindr semble avoir trouvé la recette. L’application de rencontres a accepté de verser environ 30 millions d’euros pour mettre fin à une procédure engagée au Royaume-Uni par quelque 12 000 utilisateurs. Ceux-ci accusaient l’application américaine de rencontres gays, créée en 2009, d’avoir communiqué, sans leur consentement, des informations personnelles particulièrement sensibles à des entreprises tierces. Selon le cabinet juridique londonien Austen Hays, qui les représente, les données concernées pourraient comprendre l’origine ethnique, le statut VIH, la date du dernier dépistage ou encore l’utilisation ou non de la Prep. L’accord porte sur des pratiques antérieures à 2020, lorsque Grindr appartenait au groupe chinois de jeux vidéo Beijing Kunlun Tech. D’après un document transmis au régulateur boursier américain et cité par le site Malwarebytes, l’entreprise doit effectuer deux versements de 13 millions de livres : le premier avant le 31 décembre 2026 ; le second avant le 31 mars 2027. Grindr conteste toutefois les accusations et insiste sur le fait que ce règlement amiable ne constitue pas un aveu de responsabilité. Dans le même document, l’entreprise dit néanmoins « reconnaître et prendre en compte la détresse et la perte de confiance exprimées par certains de ses utilisateurs britanniques concernant la période antérieure à 2020 », rapporte Malwarebytes. Grindr affirme aussi avoir, depuis cette date, profondément revu son programme de confidentialité et ses pratiques de gouvernance des données. Côtée à la Bourse de New York, l’application revendique aujourd’hui, selon franceinfo, 15 millions d’utilisateurs actifs par mois dans plus de 190 pays et territoires. Le montant de l’accord donne une ampleur financière au dossier, mais son enjeu essentiel tient à la nature des informations en cause : renseigner son statut VIH ou son recours à la Prep dans un espace conçu pour les rencontres ne revient pas à autoriser leur circulation hors de cet espace, a fortiori dans une perspective commerciale. Pour les personnes concernées, cette distinction touche directement au respect de leur vie privée, à leur sécurité et à leur liberté de dévoiler (ou non) leur statut sérologique.

Des données techniques capables de révéler une vie intime

Les premières révélations publiques remontent à 2018. Des chercheurs-ses de l’institut norvégien SINTEF avaient alors analysé les flux de données de Grindr et constaté que le statut VIH renseigné dans un profil pouvait être transmis à deux prestataires américains, Apptimize et Localytics. Franceinfo précise que ces sociétés n’étaient pas des régies publicitaires : elles proposaient des outils destinés à tester, analyser et améliorer le fonctionnement des applications mobiles. Grindr assurait que ces échanges étaient encadrés par des contrats imposant des obligations strictes de confidentialité, avant d’annoncer l’arrêt du partage des informations relatives au VIH. L’affaire avait néanmoins provoqué une plainte du Conseil norvégien des consommateurs et nourri une controverse plus vaste sur l’exploitation des données issues des applications de rencontres. L’autorité norvégienne de protection des données a par la suite estimé que Grindr avait transmis des données personnelles à des partenaires publicitaires, à des fins de publicité comportementale, sans base juridique valable, rappelle Malwarebytes. Or, le caractère intime d’une information ne dépend pas seulement de l’étiquette « donnée médicale » qu’on lui appose. Des identifiants publicitaires, une adresse IP, la géolocalisation, les caractéristiques d’un téléphone ou la simple utilisation d’une application peuvent être recoupés et révéler l’orientation sexuelle, les habitudes de rencontre, l’état de santé ou même l’identité d’une personne. À l’époque, le contrôle de Grindr par Kunlun Tech avait également inquiété les autorités américaines au nom de la sécurité nationale ; le groupe chinois avait finalement revendu l’application à des investisseurs américains en 2020. Comme le souligne franceinfo, l’épisode pose donc aussi la question de la souveraineté des données : au-delà de ce qu’une plateforme recueille et transmet, il importe de savoir quelle entreprise les détient, sous quelle juridiction et avec quelles garanties. Dans le champ du VIH, où la sérophobie reste une réalité pour de nombreuses personnes, une fuite ou un usage détourné ne constitue jamais un incident purement technique.

 « Je n’ai pas donné mon consentement »

Pour le National AIDS Trust, association britannique engagée dans la lutte contre le VIH, cet accord rappelle un principe qui ne devrait souffrir aucune ambiguïté. « Le statut VIH d’une personne ne devrait jamais être communiqué illégalement à d’autres personnes », a déclaré Daniel Fluskey, directeur des politiques de l’association, dans une réaction diffusée sur Facebook et Instagram. Il estime que chacun-e doit pouvoir attendre des applications et des plateformes qu’elles protègent ses informations personnelles, en particulier son statut VIH, de manière sûre et confidentielle. Le responsable associatif se félicite que l’accord reconnaisse l’importance de cette protection, tout en attirant l’attention sur les effets très concrets d’une divulgation non consentie : détresse, altération du bien-être et de la santé mentale, perte de confiance en soi, mais aussi exposition à des discriminations. La démarche des plaignants ne visait d’ailleurs pas à leur interdire l’application. Un représentant du cabinet Austen Hays l’expliquait sur Facebook dans une déclaration reprise par franceinfo : les personnes concernées peuvent continuer à utiliser Grindr, tout en rejoignant la procédure pour affirmer simplement : « Je n’ai pas donné mon consentement. Je ne suis pas d’accord. » Le dossier dépasse enfin le seul cas de Grindr. Franceinfo rappelle qu’aux États-Unis, les plateformes GoodRx et BetterHelp ont été sanctionnées ou ont conclu des accords avec la Federal Trade Commission après des transmissions de données relatives aux médicaments, à la santé ou à des questionnaires personnels à des entreprises du numérique. En France, le piratage de la plateforme d’accompagnement en santé Jinko, révélé par France Inter, illustre un autre danger : non plus l’utilisation commerciale, mais le vol de données très précises sur les parcours de soins. Pour les utilisateurs-rices, limiter les informations fournies, contrôler les autorisations de localisation et fermer les comptes inutilisés peut réduire l’exposition. Ces précautions ne sauraient toutefois transférer la responsabilité sur le public : la confidentialité des données de santé demeure d’abord une obligation des plateformes.