Contexte juridique
Le dossier In re Facebook, Inc. Securities Litigation (2026) cite les révélations de 2018 selon lesquelles plus de 87 millions d’utilisateurs ont vu leurs informations personnelles exploitées par Cambridge Analytica. Le procès mentionne également l’amende de 5 milliards de dollars infligée par la FTC en 2019, ainsi que le règlement de 550 millions de dollars avec la SEC. Ces chiffres constituent le socle factuel de l’enquête et permettent de cadrer l’impact économique du scandale.
Mécanisme technique de la collecte
La collecte s’est appuyée sur la version v2.0 du Graph API, publiée en 2014, qui autorisait les applications tierces à accéder aux listes d’amis des utilisateurs consentants. L’application « thisisyourdigitallife », développée par Aleksandr Kogan, a obtenu les permissions user_friends et user_likes. Grâce à ces droits, l’application a pu extraire les profils de environ 270 millions de relations, dont 50 millions d’utilisateurs directs et leurs 30 millions d’amis. Les données brutes – noms, dates de naissance, lieux – ont été exportées via des requêtes GET /{user-id}?fields=id,name,birthday,location et stockées dans des bases SQL non sécurisées, facilitant leur transfert vers Cambridge Analytica.
Conséquences et adaptations de la plateforme
En réponse, Facebook a introduit la version v2.3 du Graph API (avril 2015), qui restreint l’accès aux données d’amis et supprime le champ user_friends pour les nouvelles applications. En 2018, la société a déployé le Data Use Checkup, un processus de validation obligatoire pour chaque application tierce, et a limité les exportations de données à 10 000 enregistrements par jour. Sur le plan réglementaire, le scandale a précipité l’entrée en vigueur du RGPD (mai 2018) et a conduit à la création de l’« Auditing API » permettant aux autorités de vérifier les flux de données en temps réel. Malgré ces mesures, le modèle de permission granulaire du Graph API reste vulnérable aux abus si les revues de conformité ne sont pas automatisées.
