« Hors de controle », voila comment le conseil norvegien des consommateurs qualifie nos pratiques publicitaires d’aujourd’hui. L’agence gouvernementale a reclame a une entreprise de cybersecurite de se pencher i  propos des confortables de gestion des donnees de 10 applications populaires. Leur panel s’est porte via des applications qui manipulent des informations personnelles sensibles : suivi du cycle menstruel (MyDays, Clue), aide a Notre priere (Muslim : Qibla Finder), retrouve amoureuses (Tinder, Grindr, OkCupid)… Notre bilan reste accablant : toutes communiquent une partie des donnees de leurs utilisateurs a des entreprises tierces, a des fins publicitaires.

Dans la majorite des cas, l’utilisateur n’a jamais pu emettre un consentement eclaire sur ces pratiques, tel le requiert pourtant la loi europeenne. Parmi ces mauvais eleves, l’application de rencontre Grindr se distingue par la exactitude des informations qu’elle communique, ainsi, le nombre de destinataires a qui elle les envoie — alors meme que ses millions d’utilisateurs appartiennent majoritairement a la communaute LGBTQ+, particulierement visee avec nos discriminations. Le conseil norvegien des consommateurs a donc decide d’attaquer l’entreprise en justice, pour multiples violation du reglement europeen sur la protection des informations (RGPD). Ce type d’infraction est passible d’une amende du montant le plus eleve entre 20 millions d’euros et 4 % du chiffre d’affaires annuel de l’entreprise.

Quelles precisions seront concernees ?

Les precisions communiquees a des entreprises tierces par nos applications sont de deux types, au regard du RGPD :

• Les informations personnelles : date de naissance, age, adresse IP [un 06 associe a un appareil electronique, ici au smartphone, ndlr], coordonnees GPS (localisation), l’advertising ID [un identifiant attribue par Android qui permet de suivre un individu entre les applications, ndlr].
• Mes donnees sensibles, un sous-ensemble encore plus protege dans la loi, car elles peuvent servir a discriminer Quelques groupes : genre, orientation sexuelle, opinions religieuses.

Detail du type de donnees et du nombre de destinataires adresses par des applications. // Source : Forbrukerradet

Chacune des 10 applications communique un plus ou moins grand nombre des donnees, de facon plus ou moins precise (cf. image ci-dessus), a des tiers. Mes auteurs de l’etude insistent particulierement dans Grindr, Tinder et OkCupid, qui procurent des donnees relatives a l’orientation sexuelle de leurs utilisateurs. sites de rencontres gratuites pour nudistes Pourtant, Grindr s’etait deja fait epingle apres avoir partage le statut serologique de l’ensemble de ses utilisateurs.

Qui recupere des precisions ?

En bien, les auteurs de l’etude ont recense 135 entreprises destinataires Plusieurs donnees, dans une liste non-exhaustive. Elles ont des noms inconnus des non-specialistes comme AppsFlyer, LeanPlum, AdColony, mais on trouve aussi des filiales de Google, Facebook mais aussi Twitter. Notre majorite d’entre-elles paraissent des data-brokers : leur activite est d’agreger ainsi que combiner de grandes quantites de donnees de consommateurs, issues de diverses sources, publiques comme privees, Dans l’optique de des revendre.

Elles partagent donc toutes vos donnees a des entreprises de marketing, d’estimations des dangers ou de prevention a J’ai fraude. Vos precisions se propagent ainsi de serveur en serveur de facon invisible, sans que vous ne puissiez donner ou retirer la consentement.

« Ces entreprises ont des pratiques de collecte et d’utilisation des donnees des consommateurs dont la legalite est questionnable. Notre colonne vertebrale de ce systeme publicitaire pourrait etre de facon systemique contraire au RGPD », ecrivent les auteurs de l’etude. D’apres un texte universitaire, lorsqu’un site demande de facon claire a ses visiteurs s’ils acceptent le partage de leurs informations a des acteurs tiers a des fins publicitaires, ils refusent dans 99,9 % des cas.

Que peut-on Realiser avec faire mes informations ?

Plus un publicitaire — ou un hacker — aura 1 grand nombre de donnees sur une aussi personne, plus il lui sera facile de degoter les donnees qui lui manquent pour completer 1 profil. Entre autres, si l’adresse IP parait etre une donnee a faible valeur, elle va permettre en fait de creer votre profil tracable un coup recoupee a d’autres.

« L’adresse IP n’est nullement un indicateur reellement fiable. Mais elle permet, pourquoi pas, de savoir que c’est la meme personne qui est revenue sur le site a deux heures d’intervalle. Et quand on combine l’adresse IP avec l’age et le genre d’une personne, on dispose d’une empreinte quasi unique. On va pouvoir ainsi traquer le comportement, sans avoir le nom ou votre identifiant comme l’adresse email », previent Gaetan Notre Guelvouit, responsable du laboratoire confiance & securite chez b<>com, interroge avec Cyberguerre de Numerama.

Cette empreinte permet entre autres aux annonceurs de personnaliser les publicites qu’ils vous afficheront par rapport i  ce genre, de ce age ainsi que votre comportement, c’est-a-dire des autres pages internet que vous auriez pu visiter. Cette pratique a deja abouti a maints debordements. Entre autres, Facebook avait permis aux annonceurs de cibler des conspirationnistes antisemites qui pensaient que des Juifs preparaient votre « genocide blanc ». Un an plutot, l’entreprise californienne un permettait d’exclure quelques ethnies de un ciblage publicitaire.

Les precisions encore plus exposees a toutes les risques

D’autres precisions permettent a elles seules de deduire quelques renseignements. « Dans ces revelations, c’est l’acces a toutes les informations GPS qui me derange le plus. Il faut juste trouver des recurrences en deplacements, et on peut facilement identifier la zone d’embauche et le domicile de la personne. Ensuite, vous pourrez faire l’intermediaire avec les pages blanches pour tomber sur le nom. Quand on dispose de l’age ou une date maternel, on peut meme confirmer ce qu’on a deniche », developpe le chercheur.

En terme de securite, il s’agit d’un grand desastre. Chaque fois que vos precisions seront partagees a une nouvelle entreprise, vous etes exposes a 1 nouveau va parfois fuite ou d’ attaque. Or, si des acteurs malveillants mettent mon tour sur des donnees d’une telle valeur, ils pourront causer beaucoup de dommages. Par exemple, votre hacker pourrait faire du chantage aupres d’individus homosexuelles n’ayant jamais fait un coming-out. Pire, il pourrait menacer leur vie. Usurpation d’identite, espionnage, nos menaces paraissent nombreuses.

Que puis-je faire Afin de couvrir les precisions ?

Notre meilleure solution reste evidemment d’effacer chacune des donnees que vous pourrez et de quitter l’application. Mais si vous souhaitez rester sur ces applications de rencontre, les possibilites sont limitees. « Il est des applications qui permettent d’effectuer des fausses donnees GPS, on peut mentir sur son age ou le genre…. mais on perd alors l’interet de l’application », rappelle Gaetan Le Guelvouit. A minima, vous pourrez se servir de un VPN pour masquer la adresse IP, ce va etre i  chaque fois une donnee pertinente de moins.

« Le principal probleme, c’est que ces applications sont hypocrites. Pour les specialistes d’la cybersecurite, Cela reste evident qu’elles vont revendre nos donnees, car un valeur reste importante. Mais puisque nos utilisateurs sont confrontes en permanence a cette categorie de scandale, ils s’y habituent et ne considerent nullement les risques… », regrette L’expert.