Facebook Login (Connexion avec Facebook)

Ce que fait Facebook Login et comment il apparaît sur un site

Facebook Login est le service d'authentification OAuth 2.0 et OpenID Connect de Meta. Un site intègre le bouton Se connecter avec Facebook en incluant le SDK JavaScript Meta (sdk.js depuis connect.facebook.net) ou en utilisant directement la dialog Facebook Login. Après autorisation des permissions demandées (e-mail, profil public, liste d'amis, tranche d'âge, préférences marketing), Meta retourne un access token que le site peut utiliser pour interroger le Graph API.

En pratique, l'éditeur du site décide des permissions Facebook à demander, du stockage ou non de l'identifiant Facebook dans sa base et de la manière de combiner les données Facebook avec le reste du profil. Chaque décision a des conséquences RGPD directes.

Cookies et données collectés par Facebook Login

Facebook Login pose plusieurs cookies sur le domaine tiers .facebook.com : c_user (id utilisateur connecté), xs (session), datr (identifiant navigateur, 2 ans), sb (sécurité), fr (identifiant publicitaire, 90 jours) et d'autres. Sur le domaine de l'éditeur, Meta peut stocker un token Facebook Login en localStorage (fblo_<APP_ID>) et un paramètre state éphémère pour la poignée OAuth. Les appels Graph API transmettent l'IP, le User-Agent, les permissions demandées et l'App ID aux serveurs Meta.

Implications RGPD et ePrivacy

Le chargement du SDK Meta avant que l'utilisateur ne clique sur Login Facebook est qualifié par plusieurs autorités européennes (CNIL France, Datenschutzbehoerde Autriche, AEPD Espagne) de plugin social exigeant un consentement préalable au titre de l'article 5, paragraphe 3 ePrivacy. La décision Bundeskartellamt Meta, confirmée par la CJUE C-252/21 (4 juillet 2023), considère que la combinaison de données Facebook avec des données hors plateforme requiert un consentement et non l'intérêt légitime. L'éditeur et Meta sont co-responsables du traitement initié par le bouton.

Transferts internationaux

Meta Platforms Inc. (États-Unis) est certifié sous le EU-US Data Privacy Framework. Le DPA Meta intègre les clauses contractuelles types pour les pays hors framework. Après la décision de la Commission irlandaise de protection des données du 22 mai 2023, Meta a accéléré son EU Data Center (Irlande, Danemark, Suède, Espagne) mais la vérification d'identité passe encore par l'infrastructure US. Une évaluation d'impact des transferts est recommandée.

Consentement et base légale

Le consentement (article 6, paragraphe 1, point a du RGPD) est requis pour le chargement initial du SDK Meta et pour l'échange de données plus large. La nécessité contractuelle (article 6, paragraphe 1, point b) peut couvrir le traitement strictement lié à l'authentification une fois que l'utilisateur a cliqué. Toute permission optionnelle (liste d'amis, audiences marketing, audiences personnalisées) exige un consentement granulaire distinct.

Étapes pratiques de conformité

Charger le SDK Meta uniquement après consentement explicite, configurer l'app Facebook pour demander le minimum de permissions, stocker uniquement l'identifiant Facebook et les données strictement nécessaires, documenter la co-responsabilité via le Meta Joint Controller Addendum, mentionner Meta comme destinataire dans la politique de confidentialité, proposer un mode de connexion alternatif (e-mail/mot de passe ou autre SSO) et offrir une procédure simple de déconnexion et de suppression de l'identifiant Facebook.