Est-il légal de surveiller des groupes Facebook ?

Réponse courte

Lire du contenu que Facebook montre à tout passant sans connexion n’est pas la même chose que contourner des protections. Un groupe public et une page Facebook sont visibles par une personne déconnectée — exactement comme par le robot d’un moteur de recherche qui les indexe. Si un outil ne se connecte à aucun compte, ne contourne pas le mur de connexion et n’accède pas à des contenus fermés, il évolue dans le même espace que n’importe quel visiteur.

La frontière commence là où s’arrête la vue sans connexion. Un groupe avec un cadenas, la liste des personnes ayant réagi à une publication, les numéros de téléphone visibles seulement après connexion — tout cela se trouve de l’autre côté et il n’existe aucun moyen légal de le contourner. Ce n’est pas une question de formule ni de prix.

Une publication publique reste une donnée personnelle

C’est la deuxième partie de la réponse, et celle qu’on oublie le plus souvent. Le fait que quelque chose soit public ne l’exclut pas du champ du RGPD. Le prénom, le nom et le contenu d’une publication identifient une personne ; dès que vous les enregistrez, vous êtes responsable de ces données, avec tout ce que cela implique : base légale du traitement, obligation d’information, durée de conservation et droit à l’effacement.

Les conséquences pratiques sont concrètes. Vous devez pouvoir dire combien de temps vous conservez les données et les supprimer réellement à l’issue de cette période. Vous devez pouvoir les supprimer sur demande. Vous ne pouvez pas constituer une base pour des envois de masse simplement parce que la publication était visible — la finalité du traitement doit être définie, et « nous enverrons une offre à tout le monde » n’en est pas une.

Un outil honnête définit la rétention comme un paramètre de la formule et supprime les données à l’expiration du délai. Un outil qui conserve tout indéfiniment et appelle cela une fonctionnalité vous transfère un risque qu’il ne veut pas assumer lui-même.

Ce qu’il est impossible de faire légalement

Extraire les listes de personnes ayant réagi à une publication. Facebook ne les montre pas à un utilisateur déconnecté — seul le compteur est visible. Un outil qui promet cette liste doit se connecter à un compte.

Récupérer les numéros de téléphone et les adresses e-mail des profils. Une personne déconnectée ne les voit pas, et un profil privé ne les partage avec personne en dehors des amis.

Entrer dans un groupe fermé. Le cadenas est à la fois une frontière technique et juridique ; le franchir exige un compte et l’approbation d’un administrateur, donc d’induire quelqu’un en erreur quant à l’objectif.

Si un outil propose l’une de ces trois choses, il le fait via un compte — celui de quelqu’un, un compte loué ou le vôtre. Le risque de bannissement et de responsabilité reste alors du côté du propriétaire du compte.

Que dire si votre patron vous le demande ?

« Nous lisons uniquement des contenus publics, sans nous connecter au compte de qui que ce soit. Nous ne récupérons pas de coordonnées et nous ne voyons pas qui a réagi à une publication. Nous traitons les contenus trouvés comme des données personnelles : nous avons une durée de conservation définie et nous les supprimons sur demande. »

Cette phrase peut être répétée en réunion sans expliquer ce que fait un scraper — et c’est le but. Si le fournisseur ne peut pas vous donner une telle phrase, ce n’est pas parce que le sujet est compliqué.

Définissez l’objectif de la campagne

Avant de lancer le monitoring, décrivez l’objectif de la campagne en une phrase simple. Exemple : nous voulons trouver des questions publiques sur la mise en place d’une comptabilité pour une petite entreprise. N’indiquez pas un objectif comme « collecte de contacts » ou « suivi de toutes les personnes intéressées ». Listez les sources et les expressions nécessaires à cet objectif. Supprimez les expressions menant à des questions de santé, familiales ou à d’autres sujets sensibles. Gardez uniquement les résultats nécessaires pour évaluer une question précise. Moins de résultats aléatoires signifie moins de données à justifier et à protéger.

Inscrivez la date de la prochaine révision à côté de l’objectif de la campagne. Ainsi, les paramètres ne resteront pas sans contrôle pendant plusieurs mois.

Évaluez la publication avant d’agir

Tout post public n’est pas un motif de contact. Vérifiez d’abord que le post est toujours public et qu’il concerne un problème que vous résolvez réellement. Écartez les blagues, citations, disputes et discussions générales sans intention d’achat. N’ajoutez pas vos propres conclusions sur la situation de l’auteur. N’essayez pas non plus de compléter ses données depuis d’autres sources. Le contenu du post, l’auteur, le lien et l’expression correspondante suffisent généralement. Enregistrez la date d’évaluation et une décision simple : réponse dans le fil, suivi ou rejet.

Si une publication contient des informations dont vous n’avez pas besoin, ne les transférez pas dans vos propres notes ou rapports.

Répondez de manière proportionnée

Une réponse sous un post public doit porter sur la question, pas sur le profil de l’auteur. Commencez par du concret : une explication, un court exemple ou une question de précision. Indiquez ensuite clairement qui vous êtes et ce que fait votre entreprise. Ne demandez pas tout de suite un téléphone, un e-mail ou un message privé. N’insistez pas si l’auteur ne répond pas ou ne veut pas échanger. Vous pouvez écrire : « Nous réalisons des installations pour les petits commerces. Dans ce cas, il vaut mieux vérifier d’abord l’intégration du stock. Si vous le souhaitez, je peux décrire les étapes ici. » Avant de publier, supprimez les affirmations que vous ne pouvez pas confirmer. Ne commentez pas non plus les sujets personnels, même si l’auteur les a décrits. Le fil n’est pas l’endroit pour copier toute l’offre. N’utilisez pas la même réponse sous plusieurs posts.

N’enregistrez que les conversations nécessitant un suivi et correspondant à l’objectif de la campagne.