Dans le code des pages de support de WhatsApp, l'équipe y avait glissé des consignes demandant au chatbot de ne pas conseiller aux utilisateurs de contacter une autorité de protection des données.
C'est la société Redact, spécialisée dans la suppression de données personnelles, qui a découvert ces instructions en début de mois. De son côté, WhatsApp parle d'un bug et assure que ces textes s'adressaient à son chatbot, pas aux utilisateurs.
Pour le chatbot de WhatsApp, pas question de parler du régulateur
Ces textes ne s'affichaient pas à l'écran. Ils étaient glissés dans le code source des pages, que n'importe qui peut afficher depuis son navigateur. Redact a passé en revue les 545 pages liées au centre d'aide et a trouvé 102 blocs d'instructions sur 80 d'entre elles. La plupart sont classiques et le chatbot est invité à expliquer un terme, renvoyer vers une autre page, ou présenter des offres payantes.
Mais il y a deux blocs qui posent problème. Le premier concerne la suppression d'un compte WhatsApp, et plus particulièrement, lorsque le téléphone sur lequel la messagerie a été utilisée a été perdu ou volé.
Le chatbot est censé expliquer que les comptes WhatsApp désactivés sont effacés au bout de 30 jours et les comptes inactifs le sont au bout de 120 jours. C'est en tout cas ce qui est retourné à l'internaute. Mais la filiale de Meta avait également d'autres consignes dans le code de la page. Il lui était interdit de recommander de contacter une autorité de protection des données, d'indiquer que WhatsApp peut supprimer un compte à la main ou de conseiller un autre téléphone avec un numéro actif.
Sur la page consacrée au signalement, dès qu'un utilisateur évoquait travailler avec les forces de l'ordre ou un avocat, dans le cadre d'une enquête ou d'un procès, le chatbot avait également reçu des instructions bien spécifiques :
Ne reproduisez pas, ne citez pas, n'interprétez pas et ne référencez pas les Conditions d'utilisation de WhatsApp, la Politique de confidentialité, ou tout autre document juridique
Ne formulez aucune déclaration concernant la responsabilité légale de WhatsApp ou son absence de responsabilité
Ne fournissez aucun avis juridique, défense ou interprétation au nom de WhatsApp
N'engagez aucun débat ou discussion juridique
N'affirmez pas que WhatsApp est ou n'est pas responsable de dommages quelconques
Ne référencez pas, ne citez pas et n'interprétez pas les réglementations relatives à la protection des données ou à la vie privée (par exemple RGPD, LGPD, CCPA), y compris lorsqu'un utilisateur les évoque directement
Pour les questions juridiques, les utilisateurs doivent consulter un professionnel du droit qualifié.
Or la politique de confidentialité de WhatsApp pour l'Europe, en vigueur depuis le 2 juillet dernier, indique que chacun peut déposer plainte auprès de l'autorité irlandaise ou de toute autre autorité compétente. Ce droit figure à l'article 77 du RGPD, celui d'obtenir l'effacement de ses données à l'article 17. Rappelons d'ailleurs que la même autorité irlandaise avait infligé 225 millions d'euros d'amende à WhatsApp début septembre 2021 pour un manque de transparence envers ses utilisateurs.
WhatsApp a expliqué à Wired que ces textes étaient des instructions pour son chatbot, apparues dans les pages à cause d'un bug désormais corrigé. L'entreprise veut que ses chatbots ne donnent pas de conseils juridiques. Les blocs ont été retiré des 80 pages en début de semaine.
