Sur 99 pages A4, Airbnb déballe tout ce qu’il sait de moi
Je m’abonne pour 1€/semaine
Après 65 jours et deux lettres envoyées en Irlande, Airbnb m’a envoyé une copie des données personnelles qu’il conserve sur moi. Rien de scandaleux mais des messages privés et mes destinations préférées.
Mi-juillet, le soleil de l’été commence à taper et les réservations de logements sur Airbnb, à grimper. C’est à ce moment opportun que l’entreprise américaine de location de logements entre particuliers me prévient par e-mail qu’elle a changé sa politique de confidentialité. Beaucoup ont dû machinalement accepter ces nouvelles conditions sans prendre la peine de déchiffrer ce charabia juridique qui s’étale sur plusieurs pages.
Pour la première fois dans ma vie d’internaute, j’ai décidé d’aller y jeter un œil.
Après quelques centaines de lignes plus ou moins compréhensibles, une information m’interpelle. Le site propose de me dire tout ce qu’il connaît sur moi :
« Si vous résidez dans l’UE ou au Japon, vous pouvez demander par écrit une copie des données personnelles que nous détenons sur vous. Nous vous remettrons cette copie dès que possible et, en tout état de cause, dans un délai de 40 jours à compter de la réception d’une demande écrite valide. »
Une lettre papier pour obtenir mes données
Tentant, mais pas si facile. Airbnb ne propose pas de faire cette démarche en ligne. J’écris donc une lettre au « responsable de la conformité et de la protection des données à caractère personnel ». Autrement dit, la personne qui connaît sûrement toutes mes envies de voyages et mes goûts pour la déco des appartements. Elle doit avoir plein de choses à me dire.
Son adresse – si vous passez dans le coin – c’est The Watermarque Building à Dublin, en Irlande. Ah oui, si vous ne le saviez pas, fin 2013, Airbnb a installé son siège sur l’île, pour rejoindre ses copains de Google et Facebook et profiter des taux d’imposition particulièrement intéressants.
Le 15 juillet, je joins une copie de ma carte d’identité et la lettre dans une enveloppe affranchie à 1,50 euro. Il ne reste plus qu’à patienter.
Un chèque de 6,35 euros
Cinq jours plus tard, je reçois un e-mail du service client d’Airbnb. Déjà ? Fausse alerte.
« Merci pour votre lettre. Nous comprenons que vous vouliez recevoir une copie des données que nous avons sur vous. Nous vous demandons de bien vouloir nous renvoyer votre demande avec un chèque de 6,35 euros. »
De quoi en décourager certains ? Pas moi.
Rebelote : lettre, timbre et chèque. Ma demande part le 21 juillet.
65 jours plus tard, une fois les vacances passées, je reçois enfin une réponse. On est loin des 40 jours annoncés. Contactée par Rue89, Airbnb reconnaît avoir dépassé les délais :
« Il y a eu un retard administratif de courte durée. Nous en sommes désolés. »
Disons qu’ils ne doivent pas recevoir tous les jours ce type de demande et que c’étaient les vacances. Mais autant de temps pour recevoir un simple e-mail avec un fichier Excel en pièce jointe – pas un joli dossier par La Poste –, c’est un peu décevant.
L’imprimante s’en souvient
Pour mieux comprendre ce gigantesque tableau, je lance discrètement l’impression du document. L’imprimante s’en rappelle encore. 99 pages A4 avec des chiffres de partout. A afficher, cela fait tout de même un rectangle de près de 3 m sur 2. C’est donc ça, « la communication, sous une forme accessible, des données à caractère personnel » prévue par l’article 39 de la loi du 6 janvier 1978. Pas très funky à déchiffrer.
Dans le document d’Airbnb, pas d’explication non plus sur les 6,35 euros que je leur ai donnés, l’article de la loi prévoyant la possibilité d’une somme à régler « qui ne peut excéder le coût de la reproduction ».
Après leur avoir posé la question, ceux-ci avancent la couverture des « frais administratifs de traitement ». Soit.
Identifiant Facebook, adresse IP...
Sur le fond maintenant. Pour commencer, Airbnb me connaît (presque) par cœur : c’est ma carte d’identité complète qu’il me ressort – nom, prénom, adresse, âge – et même identifiant Facebook (qui permet de trouver mon profil). Le site se rappelle aussi de mon adresse IP. Toutes ces données peuvent bien être conservées mais uniquement « pour un objectif spécifique et légitime, et pour le seul temps nécessaire pour atteindre cet objectif ». Le temps nécessaire, tant que je suis inscrit visiblement.
Dans ses conditions générales, Airbnb détaille ses objectifs :
« Exploiter, protéger, améliorer et optimiser la plateforme. [...] Aider à la création et à la préservation d’un environnement sécurisé et plus sain sur la plateforme. [...] Gérer les récompenses, enquêtes, concours, loteries ou autres activités ou événements promotionnels soutenus ou gérés par Airbnb. »
Autant dire que mes données peuvent servir à plein de choses diverses et variées. Mais je conserve quand même un certain nombre de droits par rapport à ces données persos. L’article 40 de la loi permet à toute personne physique justifiant de son identité que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques ou périmées.
Même les coms privés sont conservés
Pas d’erreur dans mon cas, mais c’est toujours bon à savoir. Et si vous ne souhaitez plus que certaines données soient détenues par un site, la Cnil rappelle que vous disposez d’un droit d’opposition. Mieux, en matière commerciale, ce droit est discrétionnaire, vous pouvez donc l’exercer sans invoquer de motif légitime.
L’entreprise mémorise aussi toutes mes demandes de réservations, acceptées ou non, la durée du voyage, sa date et le nombre de personnes qui m’accompagnent.
Elle enregistre tous les commentaires que j’ai déposés pour commenter les hôtes, et tout ce qui a été dit sur moi. Et là, surprise : même les commentaires que l’on peut envoyer en privé à ses hôtes et qu’eux seuls peuvent théoriquement voir sont là, dans les archives. Rien de bien croustillant, des remerciements et quelques remarques sur la location, mais ça fait bizarre : comme un sentiment que le secret des correspondances n’est pas tout à fait respecté.
Airbnb analyse mes messages
Pour mes communications avec les autres utilisateurs, Airbnb précise que celles-ci peuvent être « parcourues » et « analysées » pour lutter contre les fraudes ou améliorer leur système, mais pas à des fins marketing.
Enfin, le gros du morceau – près de 700 lignes sur mon document Excel de 2013 à 2015 – concerne toutes les recherches faites sur le site. Chaque destination entrée dans le moteur de recherche du site, chaque annonce sur laquelle j’ai cliqué, même pour quelques secondes – parce que finalement, la déco est trop moche –, est enregistrée et précieusement conservée.
Pour chacune de ces recherches, Airbnb conserve la destination tapée avec l’emplacement exact du logement et ses coordonnées GPS. La boîte californienne peut ainsi réaliser une carte très précise des lieux que l’on souhaite visiter.
Le site conserve aussi la date et la durée de séjour renseignées, la fourchette de prix précisée, le type de logement, le nombre de chambres, lits et salles de bain demandés, la langue de votre navigateur.
Des données précieuses pour tous les sites de voyage et d’immobilier, mais Airbnb le garantit :
« Nous assurons la sécurité de ces données et ne vendons aucune donnée de nos utilisateurs à des tiers. »
Mes données traversent l’Atlantique
Mon compte ne propose pas de logement à louer, mais si cela avait été le cas, l’entreprise conserverait sa localisation très précise et toutes les caractéristiques fournies dans les formulaires (nombre de couchages, machine à laver, ou si vous fumez par exemple).
Airbnb précise aussi que toutes ces données peuvent être envoyées aux Etats-Unis (selon le fameux régime du « Safe Harbor », qui vient d’être déclaré invalide) ou vers d’autres pays. Pas forcément rassurant lorsque l’on connaît les pratiques de la NSA révélées par Snowden.
La Cnil précise de son côté que la communication de ces données à une administration ne peut être effectuée que sur demande ponctuelle, écrite et motivée, visant des personnes nommément désignées, identifiées directement ou indirectement. Il est exclu qu’elle porte sur l’intégralité d’un fichier.
Compte supprimé, données conservées
Devant l’étendue des données que Airbnb possède sur moi, certains seront peut-être tentés de supprimer leur compte. Mais sachez-le, ça ne suffit pas à faire disparaître d’un coup toute trace de votre vie. L’entreprise le confirme :
« Airbnb Ireland n’efface pas automatiquement toutes les données à caractère personnel de ses utilisateurs lors de la fermeture de leur compte. »
Pour disparaître de leurs écrans, il faudra, encore une fois, faire une demande écrite.
