- L’enquête de la FTC, menée pendant 4 ans, a montré que 9 plateformes de réseaux sociaux et de vidéo comme Facebook, YouTube et X ont collecté et partagé massivement des données personnelles à des fins de publicité comportementale en ligne, sans que les consommateurs puissent réellement en garder le contrôle
- L’étendue de la collecte dépassait l’activité sur les plateformes elles-mêmes pour inclure l’activité sur d’autres sites web et applications, les informations sur les non-utilisateurs, ainsi que des données achetées à des courtiers en données tiers ; certaines entreprises n’étaient même pas en mesure d’indiquer précisément la source des données
- La plupart des entreprises partageaient des données personnelles avec des tiers, mais certaines n’ont même pas pu fournir une liste complète de tous les destinataires, et il n’y avait pratiquement aucun contrôle de tiers ni vérification du respect des restrictions d’usage
- La surveillance s’exerçait en arrière-plan, tandis que les paramètres de confidentialité restaient opaques ou d’une efficacité limitée ; certaines entreprises ne supprimaient pas réellement les données utilisateur même après une demande de suppression
- L’EFF estime que le modèle économique de la publicité comportementale est la pression fondamentale à l’origine de la surveillance commerciale, et réclame une loi fédérale forte sur la vie privée comprenant la minimisation des données, les droits des utilisateurs, l’interdiction de la publicité comportementale en ligne et un droit d’action privé
L’ampleur de la surveillance commerciale révélée par l’enquête de la FTC
- Le nouveau rapport de la FTC confirme les avertissements de longue date de l’EFF : les grandes entreprises technologiques collectent et partagent des données personnelles pour alimenter leur activité de publicité comportementale en ligne
- L’enquête a porté pendant 4 ans sur les pratiques de données de 9 plateformes de réseaux sociaux et de vidéo, dont Facebook, YouTube et X (ex-Twitter)
- Toutes les entreprises visées n’ont pas porté atteinte à la vie privée exactement de la même manière, mais l’ensemble révèle une structure qui privilégie les revenus à la vie privée
Une collecte de données personnelles au-delà des attentes des utilisateurs
- Les entreprises ne se contentaient pas de suivre l’activité sur leurs propres plateformes
- Elles surveillaient l’activité sur d’autres sites web et applications
- Elles collectaient aussi des informations sur des non-utilisateurs
- Elles achetaient des données personnelles à des courtiers en données tiers
- Certaines entreprises n’ont pas pu, ou n’ont pas voulu, dire à la FTC d’où provenaient exactement les données utilisateur
- Les données collectées comprenaient les sites web visités, les données de localisation, les informations démographiques et les centres d’intérêt
- Parmi ces centres d’intérêt figuraient aussi des intérêts sensibles comme
divorce supportoubeer and spirits
- Parmi ces centres d’intérêt figuraient aussi des intérêts sensibles comme
- Certaines entreprises n’étaient capables de décrire les attributs utilisateur suivis qu’à un niveau très général, tandis que d’autres ont remis des feuilles de calcul contenant des milliers d’attributs
Partage avec des tiers et absence de vérification
- La plupart des entreprises ont déclaré partager des données personnelles avec des tiers
- Certaines affirmaient partager les données personnelles de façon si large qu’elles ne pouvaient pas fournir une liste complète de tous les destinataires tiers
- Parmi les destinataires identifiables figuraient des services de police et d’autres entreprises, aux États-Unis comme à l’étranger
- La plupart des entreprises n’avaient pas de procédure pour vérifier les tiers avant de partager les données, et aucune ne surveillait de façon continue le respect des restrictions imposées à l’usage de ces données
- Même lorsqu’une entreprise invoque un objectif apparemment moins intrusif, comme l’analyse, rien ne garantit que les données ne seront utilisées que pour cela
- L’absence de telles garanties expose les consommateurs à des risques majeurs pour la vie privée
Des traitements de données difficiles à comprendre pour les consommateurs
- La transparence fait défaut sur la manière dont les données personnelles sont collectées, partagées et utilisées
- Si une entreprise n’est même pas capable d’indiquer à la FTC avec qui elle partage les données, il est difficile d’attendre d’elle qu’elle en informe honnêtement ses utilisateurs
- Le suivi et le partage s’effectuent en arrière-plan, ce qui empêche les utilisateurs de savoir à quel point leur vie privée est sacrifiée selon les plateformes
- Les entreprises collectaient non seulement les données issues de leurs propres plateformes, mais aussi l’activité des utilisateurs sur l’ensemble du web ainsi que des informations sur des non-utilisateurs
- Il est presque impossible pour une personne d’empêcher que ses données soient aspirées dans un immense réseau de surveillance numérique
- Même lorsque des contrôles de confidentialité sont proposés, ils sont souvent opaques ou d’une efficacité limitée
- Certaines entreprises ne supprimaient pas réellement les données utilisateur, même après avoir répondu à une demande de suppression
- L’ampleur et le caractère secret de la surveillance commerciale décrits par la FTC montrent qu’on ne peut pas faire peser uniquement sur les consommateurs la charge de protéger leur vie privée
La pression créée par le modèle économique de la publicité comportementale
- Les atteintes à la vie privée ne relèvent pas d’erreurs ponctuelles, mais d’un problème inhérent au modèle économique de la publicité comportementale en ligne
- Les entreprises accumulent d’immenses volumes de données pour construire des profils utilisateur détaillés destinés au ciblage publicitaire
- Les revenus tirés du ciblage publicitaire fondé sur les données personnelles poussent les entreprises à développer des méthodes de collecte toujours plus intrusives
- La FTC estime que le modèle économique de la plupart des entreprises examinées incite aux atteintes à la vie privée
La législation fédérale sur la vie privée réclamée par l’EFF
- En l’absence de loi fédérale sur la vie privée, les entreprises ont pu collecter et partager les données personnelles de milliards d’utilisateurs avec des garde-fous quasi inexistants
- Le rapport de la FTC confirme l’échec de l’autorégulation
- Les politiques internes de protection des données sont incohérentes et insuffisantes
- Elles laissent aux entreprises la possibilité de faire passer les revenus avant la vie privée
- La FTC a déclaré qu’« il ne fait aucun doute que, sans mesures substantielles, l’écosystème de la surveillance commerciale va empirer »
- L’EFF demande une législation fondée sur trois éléments
- Minimisation des données et droits des utilisateurs : les entreprises ne devraient pas pouvoir traiter des données au-delà de ce qui est nécessaire pour fournir le service demandé par l’utilisateur, et les utilisateurs devraient disposer de droits d’accès, de portabilité, de rectification et de suppression
- Interdiction de la publicité comportementale en ligne : pour s’attaquer à la cause profonde de la surveillance commerciale, il faut interdire la publicité comportementale ; sinon, les entreprises continueront à chercher des moyens de contourner les lois sur la vie privée afin de profiter de collectes de données intrusives
- Application forte incluant un droit d’action privé : dans un contexte où les ressources publiques d’exécution sont limitées, les particuliers doivent pouvoir poursuivre les entreprises qui violent leur vie privée afin d’éviter que ces violations ne se poursuivent à grande échelle
Ce qu’il est possible de faire dès maintenant, et les limites
- Utiliser des services en ligne ne devrait pas signifier remettre ses données personnelles à d’innombrables entreprises pour qu’elles en fassent ce qu’elles veulent
- Personne ne devrait avoir à s’inquiéter, lors de la création d’un compte sur un site web, qu’un tiers arbitraire reçoive ses informations ou que chacun de ses clics soit surveillé à des fins publicitaires
- L’extension Privacy Badger de l’EFF peut aider à bloquer certaines des techniques de suivi citées dans le rapport de la FTC
- L’ampleur de la surveillance commerciale mise au jour par l’enquête de la FTC est difficile à résoudre par de simples outils individuels, et appelle une loi fédérale forte sur la vie privée
1 commentaires
Commentaires sur Hacker News
Récemment, une entreprise m’a fait une démonstration montrant qu’elle pouvait voir les antécédents professionnels, le rapport de crédit et le solde bancaire des visiteurs d’un site où du code de suivi était injecté, en 500 ms
Ils disaient utiliser ces informations dans un produit de qualification de prospects pour équipes commerciales, afin de leur indiquer quelles personnes il est inutile de poursuivre et lesquelles valent le coup
C’était vraiment glaçant, et les fondateurs semblaient n’avoir aucun scrupule éthique à acheter, vendre et utiliser ce type de données
Les banques ne vendent pas des données de solde de compte nominatives à des agrégateurs douteux
Ce qui est plus intéressant et absurde encore, c’est le nombre d’agrégateurs qui arrivent à vendre avec succès des données pourries de cette manière
Il suffit d’intégrer ça avec les données de plaques d’immatriculation, les registres immobiliers, la reconnaissance faciale et la localisation en temps réel
Quand une voiture autonome détecte qu’elle est hors de contrôle et qu’une responsabilité imminente est inévitable, elle peut interroger une API fournissant un score d’évitement pour chaque consommateur et chaque bien à proximité, afin d’effectuer une analyse coût-bénéfice par victime potentielle
À partir de ce score, le véhicule peut trouver la trajectoire entraînant le moins de responsabilité, et on pourrait même attribuer un score de 0 aux cibles non identifiées pour inciter les consommateurs à se connecter à ce service
22 ans, taille et poids équilibrés, mais peu de capacité de décision
Et si c’était votre fils ?
J’ai vu ce type de formulation proposé à de jeunes locataires : « Flex vous permet de payer votre loyer selon un calendrier mieux adapté à votre budget mensuel et de dégager de la trésorerie. »
« Vous aide à payer votre loyer à temps, à améliorer votre trésorerie et à construire votre historique de crédit. »
C’était en France avant le RGPD, et elle avait accès à la localisation des utilisateurs via des partenariats avec diverses apps, comme des applications météo
Je ne me souviens plus exactement de la taille de la cible, mais cela représentait une grande partie de la population française
Ils montraient une carte de Paris et affichaient, pour un utilisateur donné, l’itinéraire emprunté après avoir quitté son domicile, combien de temps il était resté devant tel magasin, puis combien de temps il avait passé à l’intérieur d’un autre
Mon supérieur de l’époque trouvait ça absolument passionnant
Enfin. Tout le monde “sait” littéralement que les entreprises font passer le profit avant tout
Je suis ravi de voir la FTC de retour, et on dirait bien qu’il n’y a de progrès significatif que lorsqu’une réglementation forte existe
L’EPA en est un autre exemple emblématique. Avant que la régulation et son application ne soient en place, la pollution était si grave qu’à une époque, dans certaines villes, les gens devaient porter des masques à gaz à l’extérieur ; les émissions de CFC relevaient d’un problème similaire
Le développement d’Internet s’est surtout accéléré sous des directions conservatrices qui ont constamment démantelé la régulation, et même s’il y a eu beaucoup d’innovation pendant cette période, je pense qu’on aurait pu accomplir bien davantage si l’attention n’avait pas été concentrée sur cet environnement de profit avant tout
Ils ne refusent pas de travailler dans ce genre d’entreprise et gagnent énormément d’argent en mettant en place de tels systèmes
Il n’y aura ni solution facile ni solution rapide, et le public devra s’impliquer davantage pour que les lois et règlements nécessaires soient adoptés
Existe-t-il un dommage tout aussi concret causé par l’absence de réglementation sur la collecte de données ?
J’ai parfois du mal à croire que certains soutiennent sincèrement qu’il n’y a pas besoin d’empêcher cela
Les liens vers le rapport sont au début de l’article :
https://www.ftc.gov/news-events/news/press-releases/2024/09/...
https://www.ftc.gov/system/files/ftc_gov/pdf/Social-Media-6b...
Édition : ajout du lien PDF
C’est amusant de voir à quel point les groupes publicitaires savent creuser avec précision dans toutes sortes de centres d’intérêt détaillés et de contextes particuliers, tout en n’ayant pas encore réussi à mettre au point une technologie capable de déterminer si quelqu’un est un enfant
Ce doit être une technologie particulièrement elusive qu’ils essaient visiblement d’implémenter jour et nuit depuis des années
On dirait presque qu’ils tirent profit du fait de faire semblant de ne pas savoir
En gros, il aura fallu 4 ans d’enquête pour nous dire ce qu’on savait déjà
La vraie question, c’est ce que le gouvernement fédéral, ou n’importe qui, va faire de tout ça
C’est pareil dans la recherche scientifique, donc ça peut sembler être un gaspillage d’argent
Mais tant que le travail n’a pas été fait, on ne le sait pas réellement
Les scientifiques et les fonctionnaires ne peuvent pas invoquer le bon sens, et même si la conclusion était juste, les détails comptent
L’échelle compte, et le mécanisme de fonctionnement compte
Parce qu’il veut lui aussi faire de la surveillance qu’il ne pourrait pas pratiquer directement en vertu de la loi
Si la surveillance des entreprises existe, l’État peut aussi l’exploiter, donc cela l’arrange également
Ce à quoi je m’attends réellement, c’est plutôt à limiter la surveillance extrêmement intrusive à des entreprises domestiques sous contrôle
On est très loin d’un simple « on nous dit ce qu’on savait déjà »
Cette enquête est une première étape importante pour que l’État sache avec certitude ce qui se passe avant d’exercer son pouvoir, et c’est une bonne chose
L’exercice du pouvoir d’État sur la base d’ambiances ou de rumeurs n’est pas souhaitable
La FTC de Biden a été assez agressive face à diverses pratiques anti-consommateurs dans l’ensemble de l’économie, et ce type de rapport est souvent suivi d’actions de ce genre
Il semble assez probable qu’une action arrive relativement bientôt
Les informations stockées par les agences d’évaluation du crédit et les banques font bien plus peur
Elles savent partout où vous avez travaillé, votre salaire et où vous avez vécu
Il y a eu tellement de fuites récemment que n’importe qui peut désormais trouver ce genre d’informations sur le dark web
Cette idée a déjà quitté l’écurie il y a dix ans
Avant, je travaillais dans la sécurité et la protection de la vie privée pour réduire les risques de la dystopie cyberpunk d’entreprise qui approchait, mais aujourd’hui je pense que le pire scénario serait que l’État obtienne le monopole de la surveillance
La vraie solution serait de conférer un privilège juridique à certaines catégories de données personnelles, ou de les exclure des procédures civiles et pénales non violentes selon la manière dont elles ont été collectées, et d’obliger à divulguer dans les propositions et les contrats les sources de collecte d’informations personnellement identifiables déterminantes pour les décisions commerciales
Ainsi, les assureurs et les créanciers devraient à nouveau assumer un risque réel au lieu d’agir comme des rentiers, la police devrait être au service du public plutôt que du pouvoir, et il faudrait prouver que la source des données personnelles utilisées comme preuve était légale, réglementée et fondée sur un consentement explicite
On ne peut pas arrêter le flux de collecte de données, mais on peut améliorer les lois qui l’encadrent
Interdire purement et simplement la collecte de données personnelles pourrait s’appliquer à la fois à l’État et aux publicitaires
L’information, c’est le pouvoir, et si les assureurs et les producteurs savent tout de vous, vous finirez pressé comme une victime pauvre
Les mauvais jours, j’en viens à croire que les gens qui partagent trop d’informations se condamnent eux-mêmes à ce sort, mais il n’y a pas beaucoup d’arguments contre le fait de réglementer la collecte d’informations ou d’imposer de lourdes sanctions financières en cas de fuite
Réglementer en soi ne serait pas difficile. L’application ne serait pas simple, mais pour beaucoup d’entreprises, le risque pourrait devenir trop élevé pour qu’elles essaient seulement
J’en suis venu à considérer l’industrie publicitaire comme quelque chose de bien pire que le complexe militaro-industriel, et j’aimerais qu’un jour une puissance supérieure punisse les dirigeants concernés d’une grande vengeance et d’une fureur implacable
Je considère comme hypocrite que l’État réglemente la surveillance des entreprises privées
On peut choisir de ne pas utiliser les techniques de collecte de données de ces entreprises, alors qu’on ne peut pas refuser la surveillance de l’État
Ne jouons pas au jeu qui fait de l’État le gentil et des entreprises les méchants
Bien sûr, indépendamment de cette question, l’État ne devrait pas non plus collecter ce type d’informations
Les détectives privés du secteur privé, eux, ne m’apportent qu’un bourbier publicitaire sans fin, et cela m’épuise jour après jour
Ne jouons pas non plus au jeu qui fait des entreprises des observateurs innocents et de l’État un ennemi malveillant
Vous n’êtes pas maintenu dans l’ignorance
Nous ne sommes plus en 2016, et si vous utilisez ces entreprises, vous savez très bien ce qu’elles font
Grandissez un peu, assumez la responsabilité d’utiliser leurs services, ou effacez vos données et partez
Je n’ai absolument aucune sympathie pour les gens qui tombent des nues devant ça en 2024
Et vous n’êtes pas propriétaire de vos propres données
Cette idée elle-même est déjà une absurdité vide de sens
L’accepter rend la vie beaucoup plus simple
Si vous voulez la hausse du cours des actions et des emplois dans la tech, ça fait partie du marché
Je n’ai pas créé cet état de fait et je n’en suis pas responsable, mais c’est la réalité
Cela mènera à un monde fou de tarification mondiale optimale
Tout sera tarifé au montant maximal que chacun peut payer, mais les gens consommeront bien moins et seront bien plus malheureux, si bien que l’ensemble du système finira par s’effondrer