Comment les applications mobiles partagent illégalement vos données personnelles

• Fnac, le plus grand distributeur français de produits électroniques, l’application immobilière SeLoger et MyFitnessPal, filiale d’Under Armour, sont accusés d’avoir accédé illégalement aux informations personnelles des utilisateurs et de les avoir partagées.
• Ces plaintes ont été déposées par noyb, une organisation européenne à but non lucratif axée sur la protection de la vie privée.
• Les applications visées commenceraient à collecter et à partager des données dès leur ouverture, sans le consentement des utilisateurs.
• Les données collectées comprennent l’identifiant publicitaire unique de Google (AdID), le modèle et la marque de l’appareil, ainsi que l’adresse IP locale, puis elles sont partagées avec des tiers.
• Cette collecte massive de données permet le profilage des utilisateurs, afin d’afficher des publicités personnalisées et des campagnes marketing, tout en augmentant les revenus des entreprises.
• Selon la directive ePrivacy, l’accès à des données sur l’appareil de l’utilisateur ou leur stockage n’est autorisé que si l’utilisateur a donné un consentement libre, clair, spécifique et non ambigu. Pourtant, deux des trois applications n’affichaient aucune bannière de consentement au lancement.
• La troisième application affichait bien une bannière de consentement, mais la transmission des données personnelles commençait sans aucune interaction de l’utilisateur.
• AdID est un identifiant unique lié à l’appareil d’une personne donnée, que les annonceurs et d’autres tiers peuvent utiliser pour cibler certains utilisateurs.
• Certains fournisseurs d’applications vont même jusqu’à suivre le comportement des utilisateurs en dehors de l’application, ajoutant ainsi davantage d’informations sur leur mode de vie aux données collectées.
• Ce problème reflète un enjeu plus large dans l’écosystème des applications mobiles, où de nombreuses apps ne respectent pas les lois européennes sur la protection des données.
• Selon une étude, seulement 3,5 % de l’ensemble des applications offraient aux utilisateurs une véritable possibilité de refuser leur consentement.
• noyb a demandé à la CNIL (autorité française de protection des données) d’ordonner aux applications accusées de supprimer toutes les données traitées illégalement et de leur infliger des amendes.
• La capture et l’analyse du trafic réseau ont été réalisées à l’aide de la suite d’outils PiRogue développée par Defensive Lab Agency.
• noyb prévoit de déposer davantage de plaintes contre des entreprises d’applications mobiles à l’avenir et poursuivra ses efforts pour empêcher le partage illégal des données des utilisateurs.

[GN⁺]

Avis Hacker News

• Le partage illégal de données personnelles par les applications mobiles est pointé du doigt ; certaines applis n’affichent même pas de bannière de consentement.
• Un utilisateur souligne le cas d’un widget censé fonctionner sans publicité qui transformait le téléphone de l’utilisateur en partie d’un réseau proxy et transmettait des données de localisation sans consentement.
• Discussion sur les raisons pour lesquelles les applis peuvent accéder aux données sans consentement de l’utilisateur, avec l’argument que le problème vient de la technologie elle-même et non des utilisateurs.
• Il est souligné que rien n’empêche réellement les applications installées de collecter toutes les données ; les Progressive Web Apps, limitées par le sandbox du navigateur, sont présentées comme une solution préférable du point de vue de la vie privée.
• L’ONG noyb est saluée pour son travail d’application des lois sur la protection des données, et les utilisateurs sont encouragés à soutenir ses futures actions contre les entreprises qui abusent des données personnelles.
• La lutte continue des défenseurs de la vie privée numérique est évoquée, ainsi que les critiques envers l’inaction des gouvernements.
• Discussion sur la publicité ciblée ; un utilisateur suggère que cela pourrait être gagnant-gagnant si les utilisateurs avaient un réel contrôle sur leurs comportements et leurs données.
• Il est relevé que, malgré l’existence de lois sur la protection des données, ces règles sont souvent enfreintes ; il est proposé qu’une inspection proactive des principaux sites web et applications pourrait aider à résoudre le problème.
• L’aggravation des enjeux de confidentialité dans des infrastructures critiques comme les voitures est mise en avant comme un domaine nécessitant davantage d’attention.
• Discussion sur la différence entre les entreprises tierces qui traitent les données uniquement pour le compte de leurs clients et celles qui les utilisent à leurs propres fins.
• Il est avancé que se focaliser sur les débats juridiques pour poursuivre les organisations qui abusent des données est problématique ; un utilisateur propose de se concentrer plutôt sur la compréhension par les gens de la manière dont leurs données sont utilisées.