Le Quatrième circuit estime qu’il n’existe pas d’attente raisonnable de confidentialité dans les données de localisation de Google
(fourthamendment.com)- Dans United States v. Chatrie, la cour d’appel fédérale du quatrième circuit des États-Unis a jugé, par 2 voix contre 1, qu’il n’existe pas, au titre du Quatrième amendement, d’attente raisonnable de confidentialité pour l’historique de localisation partagé volontairement avec Google
- Cette appréciation repose sur le fait que Location History est désactivé par défaut et que l’enregistrement ne commence qu’après plusieurs étapes côté utilisateur : partage de localisation, opt-in du compte, Location Reporting, connexion, etc.
- Google stocke Location History dans Sensorvault, et les mandats de géorepérage demandent, pour une période et une zone données, des numéros d’appareils anonymes, des coordonnées, des horodatages, des intervalles de confiance, des sources de données, etc.
- Les demandes de geofence warrant par les forces de l’ordre ont fortement augmenté depuis 2016, et Google applique depuis 2018 une procédure de réponse en trois étapes qui réduit progressivement le périmètre des demandes
- Cette décision accentue le conflit autour de la question de savoir si les consultations massives fondées sur la localisation constituent une perquisition au sens du Quatrième amendement, et remet en lumière la frontière entre données de localisation mobile et enquêtes policières
La décision du Quatrième circuit et les présupposés de Location History
- Dans United States v. Chatrie, la cour d’appel fédérale du quatrième circuit a jugé qu’il n’existe pas d’attente raisonnable de confidentialité concernant les données de localisation de Google
- La décision a été rendue le 9 juillet 2024 par 2 voix contre 1
- Son principe central est que l’utilisateur partage volontairement ces données avec Google
- Location History est désactivé par défaut, et le suivi ainsi que l’enregistrement par Google ne commencent qu’après plusieurs réglages effectués par l’utilisateur
- Activer le partage de localisation sur l’appareil mobile
- Opter pour Location History sur son compte Google via un navigateur Internet, l’application Google, les paramètres d’un appareil Android, etc.
- Google affiche avant l’activation un texte expliquant les principes de base du service
- Activer la fonction « Location Reporting » sur l’appareil mobile
- Se connecter à son compte Google sur cet appareil
- Même après l’opt-in, l’utilisateur conserve un certain contrôle sur les données de localisation enregistrées
- Il peut consulter, modifier et supprimer les informations déjà collectées
- Il peut ne conserver que les données d’une date donnée et supprimer le reste, ou tout supprimer
- Il peut suspendre la collecte future de Location History
- Google affirme respecter les choix de l’utilisateur
- Lorsque Location History est activé, Google continue de surveiller la position par GPS même lorsque l’utilisateur n’utilise pas son téléphone
- Sur Android, lorsque « Google Location Accuracy » est activé, d’autres signaux que le GPS sont aussi utilisés, comme les points d’accès Wi‑Fi et les réseaux mobiles
- Location History peut être plus précis que d’autres méthodes de suivi de localisation, comme les informations de localisation issues des antennes-relais
- Toutefois, l’historique de localisation de Google est une estimation de la position de l’appareil, et chaque coordonnée de localisation inclut un « confidence interval » exprimé en mètres
- Google indique, pour un point de localisation donné, une probabilité de 68 % que l’utilisateur se trouve dans cet intervalle de confiance
Sensorvault et la procédure des mandats de géorepérage
- Google conserve toutes les données de Location History dans un dépôt appelé Sensorvault
- Sensorvault attribue un identifiant unique à chaque appareil
- Il conserve les données de Location History associées à l’appareil
- Google utilise ces données pour construire des modèles agrégés qui assistent des applications comme Google Maps
- Depuis 2016, les forces de l’ordre ont commencé à envoyer à Google des geofence warrant
- Un mandat de géorepérage exige la remise des données de Location History de tous les utilisateurs qui se trouvaient dans une zone géographique donnée pendant une période donnée
- Google a indiqué que les demandes de géorepérage avaient augmenté de 1 500 % entre 2017 et 2018, puis de 500 % entre 2018 et 2019
- Craignant une menace pour la vie privée des utilisateurs, Google a élaboré en 2018 une procédure de réponse en trois étapes après des discussions avec son équipe juridique interne et les forces de l’ordre
- La procédure en trois étapes de Google est conçue pour réduire le périmètre des demandes avant de passer des données anonymes aux informations d’identification des comptes
- Étape 1 : Google recherche dans l’ensemble du dépôt Location History les utilisateurs qui se trouvaient dans la période et le géorepérage indiqués, puis fournit des numéros d’appareils anonymes, la latitude et la longitude, des horodatages, des intervalles de confiance et la source des données, comme le GPS ou le Wi‑Fi
- Avant toute divulgation, Google examine la demande et formule une objection s’il estime qu’elle est excessivement large
- Étape 2 : si les forces de l’ordre ont besoin d’informations supplémentaires, elles peuvent demander, pour une partie des utilisateurs identifiés à l’étape 1, les coordonnées de déplacement sur une période plus large et à l’intérieur comme à l’extérieur du géorepérage
- Étape 3 : après avoir déterminé quelles personnes sont pertinentes pour l’enquête, les forces de l’ordre demandent à Google des informations d’identification du compte, comme le nom et l’adresse e-mail
- Google exige généralement que le périmètre des personnes visées soit réduit par rapport à l’étape précédente, afin d’empêcher que l’identité de tous les utilisateurs identifiés à l’étape 2 soit demandée telle quelle
- L’article de Bloomberg Geofence Warrant Decision Exposes Hole in Fourth Amendment Law estime que cette décision d’appel divisée a soustrait à l’examen constitutionnel l’obtention par le gouvernement de données de localisation d’appareils mobiles Google
- L’article résume que la cour d’appel fédérale du quatrième circuit, malgré une opinion dissidente, a conclu que l’usage du géorepérage ne constituait pas une perquisition au sens du Quatrième amendement
- Techdirt renvoie également, dans une mise à jour, à Fourth Circuit Finds In Favor Of Geofence Dragnet Deployed To Catch Robbery Suspect
1 commentaires
Avis de Hacker News
Google est en train de déplacer les données de localisation vers les appareils et de les supprimer de ses serveurs. Comme dans la citation ci-dessous, ce changement fait que Google ne répondra plus aux mandats de géorepérage demandant des informations sur tous les appareils autour d’un incident donné
https://news.ycombinator.com/item?id=40869536
Google propose toujours un moyen de conserver sur ses serveurs une sauvegarde chiffrée de la base de données, mais ce n’est pas activé par défaut. Il n’affiche pas non plus de fenêtre modale pour inciter à l’activer facilement : l’utilisateur doit appuyer lui-même sur un bouton dans l’interface afin d’ouvrir une modale contenant une fiche d’explication et un bouton d’activation de la sauvegarde
Ce changement est quelque chose dont le public devrait remercier le gouvernement. Si les autorités n’avaient pas inondé Google de mandats, Google aurait continué à collecter et conserver ces données
La collecte et le stockage des données ont entraîné les mandats, et les mandats ont entraîné la décision de les supprimer. Les soi-disant entreprises tech collectent et stockent des données nuisibles à la vie privée du public, même lorsque leur valeur économique est incertaine
En réalité, c’est dans un autre onglet de paramètres, ce qui n’est pas du tout évident
Cela ne s’applique absolument pas à toutes les personnes qui utilisent un compte Google depuis longtemps. Autrefois, les données de localisation étaient collectées par défaut, avec refus explicite (opt-out)
Elles n’y ont jamais consenti activement, et Google n’a pas non plus désactivé le suivi afin de faire repasser ces anciens utilisateurs à consentement implicite vers un modèle de consentement explicite. Le basculement culturel de l’opt-out vers l’opt-in a probablement eu lieu vers le début des années 2010
L’historique des positions ressemble en fait davantage à un réglage demandant si l’on veut voir ses propres données de localisation
Du système E911 à Google Play Services, Maps et autres, les données de localisation continuent d’être collectées, puis vendues et agrégées entre plusieurs entreprises
Sur un téléphone moderne, il est impossible de désactiver complètement le signalement de sa position à tous les fournisseurs de la pile
J’utilise GrapheneOS sur mon téléphone et j’ai refusé l’autorisation de localisation à toutes les applications, à l’exception d’Organic Maps en mode hors ligne
J’ai aussi pris l’habitude de laisser le mode avion activé en permanence, sauf dans les très rares cas où je dois passer un appel sortant hors de chez moi. Vu la révélation récente selon laquelle AT&T a exposé les données de localisation par triangulation de tous ses clients, cela ne me paraît pas être une réaction excessive
La vie privée est importante, mais le fait que les gens puissent m’appeler est extrêmement pratique, et je n’ai pas envie d’y renoncer. Il faut une meilleure solution
Je craignais aussi que le mode avion ne coupe pas réellement les émetteurs-récepteurs radio, mais au moins un résultat Google quelconque trouvé sur Reddit affirme que si. Ce n’était pas une réponse officielle de GrapheneOS
Existe-t-il une alternative respectueuse de la vie privée à l’historique des positions de Google ? J’aime la fonction qui permet de garder une trace des endroits où je suis allé en voyage
Je ne sais pas si je suis le seul, mais quand la nostalgie me prend, j’aime parfois retracer mes pas et retrouver des souvenirs ou des lieux oubliés
Les données d’historique sont désormais stockées sur le téléphone. La sauvegarde dans le cloud est optionnelle et désactivée par défaut ; même activée, elle est toujours chiffrée de bout en bout, si bien que la base de données de l’historique des positions n’est pas accessible depuis les serveurs de Google. Google a mis en place ce changement pour répondre à ce type de problèmes
Il manque la réalité selon laquelle la société moderne exige de plus en plus l’usage de ce type d’applications. Proposer un choix auquel on ne peut que consentir n’a pas de sens.
En outre, il y a une grande différence entre autoriser l’utilisation de mes données pour le service que je pense recevoir de l’application, et utiliser ces données pour tous les autres usages.
Environ un tiers des utilisateurs actifs de Google auraient activé l’historique des positions. Il ne s’agit donc pas d’un quelconque signalement de position obligatoire en opt-out sur les téléphones Android, mais bien d’un service d’historique de localisation fondé sur un consentement explicite.
On accepte l’idée que tout le monde est en ligne, que tout le monde a un téléphone portable, que tout le monde suit l’actualité et la culture populaire, et se concentre en même temps sur des sujets passagers comme une éclipse ou les films Barbie et Oppenheimer.
Chacun peut choisir d’éviter n’importe quelle partie du monde moderne. Nous faisons partie de ce monde, nous n’en sommes pas les victimes.
Quelle attente raisonnable peut-on avoir quant aux bénéfices que les entreprises tirent de produits que nous considérons comme indispensables ? Qui créerait et maintiendrait un produit qui ne peut pas être rentable ?
L’UE a exigé que Facebook propose une version sans suivi, et Meta a créé une formule payante. Puis on lui a de nouveau demandé de ne pas faire payer la version sans suivi. Dans ce cas, si Facebook ne peut pas réaliser de bénéfices en fournissant son service, pourquoi devrait-il rester dans l’UE ?
Personne ne versera de larmes sur l’activité de Meta, mais Facebook est un moyen massif par lequel les gens restent en contact. Google Maps pourrait théoriquement connaître le même sort, et l’accès gratuit aux cartes ressemble à un bien public. YouTube peut aussi relever de l’intérêt public en raison de ses contenus éducatifs.
La liste des produits qui peuvent être « gratuits » et bénéfiques à la société grâce à la publicité en ligne efficace est désormais immense. Il ne s’agit pas de s’inquiéter des marges bénéficiaires d’entreprises de milliardaires, mais de traiter le fait que nous sommes devenus dépendants d’elles et qu’elles n’accepteront pas altruistement que leurs bénéfices disparaissent par la loi.
La réponse est clairement « non ». Parce qu’on transmet ces informations à une entreprise qui compte des centaines de milliers d’employés. Que vous pensiez ou non qu’il existe une bonne raison de renoncer ainsi à votre vie privée est une question distincte.
Quelqu’un croit-il vraiment que Google ne suit pas les données de localisation si ce réglage n’est pas activé ? À moins d’avoir un lanceur d’alerte, qui pourrait le savoir ?
L’historique des positions ressemble seulement aux données que Google permet à l’utilisateur de collecter et de consulter lui-même ; ce n’est pas l’ensemble des données de localisation que Google collecte. Cela inclut aussi les données provenant des réseaux Wi‑Fi à proximité, des téléphones à proximité et d’autres appareils Bluetooth
Dire que, même après avoir consenti, l’utilisateur peut examiner, modifier et supprimer les informations que Google a déjà obtenues est assez trompeur. On peut voir les informations de localisation que son appareil a envoyées à Google, mais on ne peut pas voir ni effacer les inférences que Google a produites à votre sujet à partir de ces données
Ce qui inquiète les gens, ce n’est pas la liste de coordonnées GPS montrant les endroits où ils vont souvent le samedi soir. Le problème plus grave, c’est que ces coordonnées montrent par exemple qu’ils ont passé plusieurs heures dans un bar gay
Même si vous supprimez de votre compte Google la liste des coordonnées GPS, vous ne pouvez pas supprimer le flag que Google a probablement appliqué dès réception de ces données, du type « cet utilisateur est gay et fréquente un bar gay tous les samedis »
Ce qui est arrivé à cette personne (https://www.nbcnews.com/news/us-news/google-tracked-his-bike...) me semble être un bon signal que tout le système, et la manière dont la police l’utilise, sont défaillants et dangereux
Le pire, c’est que Google n’est que la partie émergée de l’iceberg. Nous ne sommes pas suivis seulement par nos téléphones, mais aussi par les opérateurs télécoms, les caméras quelconques devant lesquelles nous passons, les lecteurs de plaques et de transpondeurs de péage, les voitures « intelligentes », etc. Il existe énormément de traçage sur lequel l’Américain moyen n’a absolument aucun contrôle, et auquel la police ou d’autres acteurs peuvent accéder. Nous avons vraiment besoin de protections plus fortes
A-t-on des preuves que Google applique réellement des flags du type « cet utilisateur fréquente un bar gay tous les samedis » ? Dans l’affaire de vol liée au vélo que tu as citée, l’explication la plus simple est que la police a utilisé un mandat de géorepérage, plutôt qu’un système de machine learning ayant enregistré « cette personne fait du vélo entre 16 h et 18 h »
Mais je ne crois pas que Google dispose d’autres données de localisation liées à l’identité. Si la police avait demandé ces données, il y aurait eu des articles à ce sujet
Infos supplémentaires :
Is This the End of Geofence Warrants?
https://www.eff.org/deeplinks/2023/12/end-geofence-warrants
Ce n’est peut-être pas complètement terminé. D’autres données de localisation peuvent être stockées quelque part. Mais quand un changement de ce genre arrive, il est important de saluer la victoire
C’était à la fois drôle et agaçant. Ma mère n’a jamais demandé à Google de suivre sa position
Est-ce que je fais confiance aux grandes entreprises ? Non, mais je leur fais suffisamment confiance pour ne pas mentir ouvertement dans une situation où les conséquences juridiques seraient énormes
Google est une immense entreprise avec beaucoup d’avocats, et elle est déjà connue pour suivre énormément de données. Ignorer le choix de l’utilisateur serait une violation énorme et un gros risque de réputation. Les sanctions juridiques seraient assez importantes pour que l’entreprise sente qu’elle doit être honnête
Quand on fait une demande d’export de données, on peut même trouver toutes sortes de choses inutiles stockées ; quelle est la probabilité qu’une équipe ait construit en secret quelque chose qui viole la loi et les conditions d’utilisation, avec en plus toute l’équipe juridique qui ferme les yeux ?
Dans toutes les entreprises où j’ai travaillé, le simple fait de toucher à des données qui pouvaient être de la localisation nécessitait une revue privacy et juridique. Alors les stocker ou les utiliser en les liant à un utilisateur, n’en parlons même pas. L’absence de lanceur d’alerte ou de fuite doit être vue comme un signal fort que cela ne se produit pas. Google n’est pas non plus une entreprise particulièrement douée pour éviter les fuites, et beaucoup d’employés sont devenus cyniques après les licenciements
Pour les exemples comme le « bar gay », il semble qu’il existe dans certaines juridictions de faibles protections autour des données dérivées, mais c’est probablement un vide juridique. Elles pourraient aussi être considérées comme des données de localisation dérivées et supprimées avec le reste
Je suis entièrement d’accord sur le point concernant les abus policiers
Il suffit d’utiliser un iPhone. Si Android et iOS se valent, les revenus d’Apple reposent très largement sur le matériel et les services, tandis que ceux de Google reposent très largement sur la publicité et le traçage
Les mandats SensorVault remontant à plusieurs décennies ont déjà été décrits dans un article du NYT en 2019, et c’est ce qui est repris ici
https://www.nytimes.com/interactive/2019/04/13/us/google-loc...
Ils peuvent même résoudre des cold cases
Ce qui est nouveau, c’est que l’utilisateur peut refuser le suivi de localisation. Mais cela ne supprimera pas SensorVault, c’est-à-dire les données de rapports de localisation
En quoi activer une fonctionnalité revient-il à transmettre à Google ou à d’autres les données qu’elle collecte ? Activer la sauvegarde de son ordinateur signifie-t-il que le gouvernement fédéral peut tout lire ?