« Enceinte "Alexa" : attention, Amazon nous écoute ! »

J'étais un des invités, vendredi 12 avril 2019, de l'émission Ça se comprend, animée de 16H à 17H par Thomas Hugues, sur C-News et consacrée à « Enceinte "Alexa" : attention, Amazon nous écoute ! ».

Thomas Hugues m'a demandé comment, au cours de mes conférences devant les collégiens et les lycéens, je faisais prendre conscience à ces derniers de toutes les données qu'ils transmettaient aux géants de l'Internet et des utilisations qui pouvaient en être faites.

Dans la petite vidéo de 38 secondes ci-dessous, voici une des réponses que j'ai faites : par exemple, en expliquant à nos ados que grâce aux données qu'ils fournissent gratuitement à Google ou à Facebook, ces entreprises sont en train de développer des outils d'Intelligence Artificielle qui vont peut-être les concurrencer dans quelques années, lorsqu'ils arriveront sur le marché du travail.

Le RGPD ne serait-il qu’une passoire ?

Vous vous croyiez, en tant qu’Européens protégés par le RGPD ? Vous pensez que ce fameux Règlement Général sur la Protection des Données, applicable depuis le 25 mai dernier, met vos données personnelles à l’abris de tout abus ?  Pas si simple : RGPD ou pas, les plateformes d’« ad exchange », qui servent d'intermédiaires entre les annonceurs et les sites ou les applications sur smartphone qui veulent vendre leur espace publicitaire, communiquent allègrement nos données aux annonceurs…

Connaissez-vous les plateformes d’« ad exchange » ? Non ? Vous devriez vous y intéresser car ces plateformes sont au cœur du marché de la publicité sur Internet : ces programmes informatiques de vente et d’achat d’espaces publicitaires sur Internet mettent en relation des acheteurs (agences de publicité, agences médias ou annonceurs directement) et des vendeurs (sites Web, réseaux ou régies publicitaires) : les espaces publicitaires sont mis aux enchères et vendus aux plus offrants. Mais les vendeurs ne mettent pas que leurs espaces publicitaires à la disposition des acheteurs : ils proposent aussi des informations sur les internautes qui pourront voir les publicités des acheteurs. C’est ainsi que nos données de géolocalisation peuvent se retrouver “en vente” sur ces plateformes (lire ci-dessous les explications d’Armand Heslot, expert à la CNIL, la Commission Nationale de l’Informatique et des Libertés)

Résultat ? Nos données de géolocalisation se retrouvent entre des mains inconnues…  Le créateur d’une société spécialisée dans l'exploitation des données de géolocalisation à des fins statistiques et de marketing s’est récemment vanté dans un grand quotidien économique français de pouvoir « observer les trajets d'une personne via une publicité sur mobile, grâce aux accords passés avec certaines plates-formes. »

Comment cela est-il possible alors que le fameux RGPD (règlement général sur la protection des données) est applicable depuis le 25 mai 2018 ? En fait, ce règlement doit être encore accompagné de textes dits « spéciaux » qui vont préciser son application dans certains domaines spécifiques. C’est ainsi qu’une nouvelle directive « ePrivacy » va définir l’application du RGPD aux traitements réalisés dans le contexte des communications électroniques : elle va encadrer la collecte des données sur mobile et sur Internet.

Une première version de la directive ePrivacy existe depuis 2002 et a été modifiée en 2009. « Dans les faits, elle n’est pas appliquée », constate un spécialiste du sujet. Elle n’a été traduite et transcrite dans le droit français qu’en août 2011 et cette transcription laissait substituer de nombreuses zones d’ombre. De plus, la directive est en pleine réécriture au niveau européen ; la nouvelle version devrait entrer en vigueur au cours de l’année 2019. « Dans ce contexte, il est difficile d’appliquer une politique de contrôle », poursuit ce spécialiste.

Le futur texte ePrivacy devrait prévoir « comme principe le recueil du consentement des utilisateurs avant toute utilisation de traceur au sein des terminaux (téléphone, tablette, ordinateur, etc.). La notion de traceur s’entend ici au sens très large puisqu’il s’agit de toutes techniques permettant de suivre les utilisateurs : cookies, empreintes numériques (fingerprinting), pixels invisibles (web bugs) »… (Rapport d’activité 2017 de la CNIL, p. 31).

Autant dire qu’en coulisse les lobbyistes des grands groupes de communication électronique (Cisco, Facebook, Google, IBM, Microsoft, SAP, mais aussi l’IAB, l’Interactive Advertising Bureau, une organisation regroupant les principaux acteurs de la publicité en ligne…) s’activent auprès de la Commission Européenne pour que ce texte soit le moins contraignant possible…

En attendant, les plateformes d’« ad exchange » communiquent la nature de l’appareil que nous utilisons (marque et modèle, nom de l’éventuel opérateur de téléphonie mobile, dimension de l’écran…), notre géolocalisation, notre âge, notre sexe, notre adresse habituelle… Les entreprises peuvent ainsi poursuivre la “réification” de leur stratégie de pouvoir : faire de nous des objets, mesurables et manipulables à distance…

Jacques Henno

Armand Heslot (CNIL) : « Une application que vous avez installée sur votre smartphone peut transférer aux annonceurs vos données de géolocalisation »

Armand Heslot (service de l’expertise technologique de la CNIL)

Armand Heslot est ingénieur au service de l’expertise technologique de la CNIL (Commission Nationale de l’Informatique et des Libertés)

• Comment nos données de géolocalisation sont-elles partagées par les plateformes d’« ad exchange » ?

• Armand Heslot : La plupart des espaces publicitaires sur les mobiles ou le Web sont effectivement vendus aux enchères par l’intermédiaire de réseaux de commercialisation de publicités, appelés plateformes d’« ad exchange ». Les échanges d’informations ayant lieu au sein de ces plateformes sont régis par des spécifications techniques élaborées par l’Interactive Advertising Bureau, une organisation regroupant les principaux acteurs de la publicité en ligne. J’invite d’ailleurs tous vos lecteurs à consulter la spécification « open RTB » (pour « real-time bidding », enchère en temps réel) de l’IAB. Ils y verront quels formats sont utilisés et surtout quels types d’information sur leur géolocalisation peuvent être transmises : leurs coordonnées GPS, leur adresse IP ou une localisation qu’ils ont eux-mêmes communiquée à un site ou une application.

• Quelles sont les conséquences pour l’utilisateur d’une application sur smartphone ?
• Armand Heslot : Une application que vous avez installée sur votre smartphone peut transférer aux annonceurs qui lui achètent des espaces publicitaires vos données de géolocalisation très précises, obtenues par l’intermédiaire du GPS de votre téléphone. Si vous désactivez la géolocalisation sur votre mobile ou si vous ne donnez pas les autorisations d’accès à la géolocalisation à une application, celle-ci ne pourra plus accéder à vos coordonnées GPS, mais elle pourra utiliser d’autre moyens pour avoir une estimation de votre localisation comme votre adresse IP ou l’adresse physique que vous avez déclarée en vous inscrivant sur cette application…

• Ces transferts d’informations de géolocalisation ne sont pas encadrés par la loi ?

• Armand Heslot : Si, la CNIL considère que la collecte de données de géolocalisation précises nécessite le consentement des personnes. Par ailleurs, la directive européenne  du 12 juillet 2002 sur la protection de la vie privée dans le secteur des communications électroniques, appelée également directive « ePrivacy » encadre la collecte des données sur mobile et sur le web (Cette directive est en pleine réécriture au niveau européen et devrait être transformée en un règlement). Elle a été traduite et transcrite dans le droit français en août 2011, et a donné lieu à la recommandation du 5 décembre 2013, dans laquelle la CNIL a estimé que la collecte et le transfert de telles données devaient faire l’objet d’un consentement de la part des internautes. Ce que la CNIL constate au travers de ses contrôles, c’est que même si des mécanismes de demande d’autorisation des utilisateurs sont mis en place, l’information est trop souvent incomplète, ce qui rend le consentement des personnes non valable.

Propos recueillis par Jacques Henno

Les principaux acteurs de l’« ad exchange »

• AppNexus
• DoubleClick (Google/Alphabet…)
• Oath (marque réunissant AOL, Yahoo!…)
• OpenX
• Rubicon Project Exchange
• Smaato
• …

Vous voulez un crédit ? Faites attention à vos fréquentations sur les réseaux sociaux et à ne pas envoyer vos demandes la nuit !

J'ai publié ce matin dans le quotidien Les Echos un article sur une nouvelle tendance qui arrive des Etats-Unis et d'Asie : utiliser les données publiques, les réseaux sociaux et les algorithmes prédictifs pour évaluer, en quelques minutes, les capacités de remboursement des individus ou des petites entreprises.

Pour évaluer le risque que représente un emprunteur, des start-up (Affirm, Biz2credit, Zest Finance aux Etats-Unis…, Lenddo aux Philippines…) scannent des centaines de « signaux faibles » : temps passé à taper son adresse e-mail (pour détecter les copier-coller, souvent symptomatiques d'une adresse créée pour la circonstance…), horaire de la demande (les formulaires remplis la nuit suscitent la méfiance…), identité sur les réseaux sociaux, descriptif du travail sur Linkedin, nombre d'amis sur Facebook, heures et fréquence d'envoi des courriels…


Pour en savoir plus :
Comment le Big Data va bousculer le crédit

Comment Uber tente de faire taire les critiques sur sa collecte de données

La start-up était critiquée pour les données qu’elle collectait sur ses clients ? Ses dirigeants répliquent par un plan de communication démontrant que les informations recueillies par Uber peuvent aider à améliorer le fonctionnement des grandes villes.

A la fin de l’année dernière, Uber, la société de San Francisco, spécialisée dans les véhicules avec chauffeur, a dû faire face à de très nombreuses critiques sur sa collecte d’information (lire : « Uber en sait-il plus sur nous que Facebook ? Ou une autre raison d’apprendre à nos enfants à respecter la vie privée »).

Quelques semaines plus tard, les dirigeants de la start-up californienne pensent avoir trouvé la parade sous la forme d’un plan de communication mettant en avant l’intérêt, pour la gestion des villes, de données recueillies par Uber.

Le Wall Street Journal (http://blogs.wsj.com/digits/2015/01/13/uber-offers-trip-data-to-cities-starting-in-boston/), le Washington Post (http://www.washingtonpost.com/blogs/wonkblog/wp/2015/01/13/uber-offers-cities-an-olive-branch-its-valuable-trip-data/), le New York Times (http://www.nytimes.com/aponline/2015/01/14/us/ap-us-boston-uber.html?_r=0), le Monde (http://siliconvalley.blog.lemonde.fr/2015/01/14/uber-accepte-de-fournir-les-donnees-de-navigation-aux-autorites/), entre autres, ont relaté au cours des derniers jours, comment Uber allait mettre à la disposition des grandes villes américaines des données anonymisées. Ces informations (heure et code postal de départ, heure et code postal d’arrivée) sont censées aider les mairies à mieux planifier leurs travaux (construction de nouvelles infrastructures - routes, transports en commun… - entretien de la voirie…).

En communication de crise, cela s’appelle prendre son interlocuteur à contre-pied : « Vous nous critiquez pour notre collecte de données ? Voyez comment ces données peuvent être utiles à la collectivité ». Le pire c’est que cela semble marcher !

Interviewé ce soir sur la radio suisse au sujet des PNR

J'ai été interviewé ce soir, mercredi 21 janvier 2015, au cours de l'émission d'actualité Forum de la radio suisse, au sujet des PNR, ces fichiers des compagnies aériennes que l'Europe voudrait réquisitionner dans le cadre de la lutte contre le terrorisme.

Vous pouvez réécouter cette émission en podcast :

http://www.rts.ch/la-1ere/programmes/forum/6455484-presente-par-eric-guevara-frey-et-valerie-hauert-21-01-2015.html?f=player/popup 

J'interviens 16 mn 44 s après le début de l'émission.

Dans mon livre Tous Fichés (éditions Télémaque), je retrace toutes les tentatives du gouvernement américain d'utiliser les nouvelles technologies pour déjouer les attentats terroristes. C'est ainsi que depuis les attentats du 11 septembre 2001, les agences de renseignement américaines ont accès aux PNR (fichiers des passagers) des compagnies aériennes desservant ou survolant les Etats-Unis : elles confrontent ces informations avec d'autres données en leur possession pour tenter de déceler des terroristes voulant entrer sur le territoire américain. L'utilisation de ces fichiers commerciaux à des fins sécuritaires peut cependant constituer une menace pour les libertés individuelles. Le Parlement européen a jusqu'ici bloqué l'utilisation des PNR en Europe à des fins de surveillance.

Uber en sait-il plus sur nous que Facebook ? Ou une autre raison d’apprendre à nos enfants à respecter la vie privée.

L’entreprise spécialisée dans les véhicules avec chauffeur se vante de savoir qui a eu une aventure un vendredi ou un samedi soir.

Les anglo-saxons appellent cela le « walk of shame », « la marche de la honte », le trajet qui sépare son appartement de celui de son partenaire d’une nuit : quelqu’un rentre chez lui/elle, mal rasé ou sans maquillage, tôt le matin après avoir passé une partie de la nuit chez un/une partenaire rencontré(e) dans un bar, une soirée… Bradley Voytek préfère, lui,  parler de « ride of glory » (trajet de la gloire).

Portrait de Bradley Voytek sur son site http://darb.ketyov.com/ 

Le plus troublant, c’est que Bradley Voytek est data evangelist (pour faire bref : il promeut l’analyse des données) pour Uber, l’application qui permet de commander une voiture avec chauffeur. Et que Bradley Voytek se vante de pouvoir utiliser les données collectées par les ordinateurs de cette entreprise pour savoir qui a eu une aventure d’un soir… Sur le blog qu’il tient pour Uber, Bradley Voytek s’est livré à une longue analyse des « rides of glory * » dans six villes américaines, démontrant leur augmentation en fin de semaine (le samedi matin et le dimanche matin) et, dans l’année, par exemple au moment du Tax Day (date limite, vers le 15 avril, aux Etats-Unis pour remplir sa déclaration de revenus ; certains Américains reçoivent alors un remboursement de la part du Fisc…). En revanche, le nombre de « rides of glory » s’effondre à l’approche de la Saint Valentin…

Evolution du nombre de « Rides of Glory » au cours d'une année (source : http://blog.uber.com/ridesofglory) 

Dans un message précédent * , Bradley Voytek avait même établi une corrélation, toujours grâce aux données collectées par Uber, entre le versement des chèques d’allocation et de la Sécurité sociale (les deuxième, troisième et quatrième mercredis du mois, aux Etats-Unis) et la fréquentation des prostituées.

Bien sûr, pour ses calculs, Bradley Voytek n’utilise que des données anonymisées. Mais avant d’être anonymisées, ces données correspondent à des cas réels dont elles révèlent toute la vie. Lors des réunions que les dirigeants d’Uber organisent avant l’ouverture de leur service dans une nouvelle ville, ces responsables auraient même utilisé un logiciel maison, baptisé « God view » (« Ce que voit Dieu », tout un programme…) pour montrer à leur assistance qu’ils pouvaient suivre en direct les déplacements de leurs clients… Ce qui constitue, bien sûr, une violation de la vie privée (sauf dans de très rare cas où cela serait justifié par des nécessités de service ou de sécurité).

Utilisation de God View lors du lancement de Uber à Boston (source : http://www.forbes.com/sites/kashmirhill/2014/10/03/god-view-uber-allegedly-stalked-users-for-party-goers-viewing-pleasure/)

Toutes ces informations sont remontées la surface à la suite d’une récente polémique opposant une journaliste de San Fransisco et un cadre d’Uber, qui se disait prêt à espionner la vie privée de cette dernière (dont il ne supporte pas les articles qu'elle consacre à son entreprise).

Au-delà de cette polémique, le plus choquant est, bien sûr, l'extrême indiscrétion des données collectées (par exemple, qui a fait un « walk of shame » et donc une rencontre d'une nuit, selon Uber) par une simple application sur un smartphone. Un sénateur américain vient d’ailleurs d’écrire aux dirigeants d’Uber pour leur demander des éclaircissements sur l’utilisation des données qu’ils collectent.

Cet exemple constitue une nouvelle illustration du manque total de maturité et d'éthique de certains responsables d'entreprises de la Silicon Valley et des chercheurs qui travaillent sous leur direction, quand il s'agit d'utiliser les données de leurs clients (voir également comment trois chercheurs américains ont joué aux apprentis sorciers en modifiant les informations vues par 689 003 utilisateurs de Facebook).

Afin d'éviter de nouveaux dérapages de ce genre, sans doute encore plus dramatiques, au cours des prochaines années, il est urgent de sensibiliser les nouvelles générations au respect des données personnelles. 

Si nous n’apprenons pas aujourd’hui à nos enfants à maîtriser leurs données, à faire respecter leur vie privée (ce que je fais à travers mes conférences), demain ce sont les données des autres - qu’ils seront sans doute conduits à manipuler dans le cadre de leur travail - qu’ils ne respecteront pas. Et les outils formidables que constituent les nouvelles technologies pourraient bien donner naissance à une dictature numérique mondiale.

___
Mise à jour du 2 décembre 2014 :

* Uber a supprimé ces publications de son blog, mais elles sont toujours consultables sur http://web.archive.org/ :

http://web.archive.org/web/20140828024924/http://blog.uber.com/ridesofglory

http://web.archive.org/http://web.archive.org/web/20130615191149/http://blog.uber.com/2011/09/13/uberdata-how-prostitution-and-alcohol-make-uber-better/?replytocom=1787 

Invité hier du grand débat d'Europe 1 soir, consacré à Big Brother

J'ai participé hier, jeudi 8 août 2013, au grand débat d'Europe 1 soir consacré à «Big Brother est-il entré dans nos vies ? Nous restent-ils encore des coins de jardins secrets ?», aux côté de Jean-François Ruiz, spécialiste des réseaux sociaux, Edouard Geffray, secrétaire général de la Cnil, Bernard Lamon, avocat et Jean-Marc Manach, journaliste.

A réécouter sur http://www.europe1.fr/MediaCenter/Emissions/Europe-1-Soir/Sons/Europe-1-Soir-Emmanuel-Faux-08-08-13-1606003/, à partir de de la 65ème minute.

Deux livres à lire ou à relire pour comprendre le programme d'espionnage américain révélé par The Guardian et The Washington Post

The Guardian et The Washington Post viennent de révéler que la NSA (National Security Agency), l'agence américaine chargée des écoutes électroniques avait directement accès aux serveurs d'Apple, Facebook, Google, Microsoft, Skype et autre Yahoo! pour espionner des citoyens du monde entier. C'est-à-dire n'importe lequel d'entre nous !

Officiellement, ces écoutes visent à lutter contre le terrorisme, mais les données collectées pourraient tout aussi bien être utilisées pour l'espionnage économique ou la surveillance politique.

Les grandes oreilles de l'Oncle Sam ont accès à l'historique de nos recherches sur Google, aux courriers électroniques que nous échangeons sur Yahoo!, aux vidéos que nous publions sur YouTube ou aux photos que nous archivons sur Picasa dans le cadre d'un programme de surveillance appelé Prism, qui est le descendant du programme TIA (Total Information Awareness : Surveillance Totale) que je décris dans mon livre Tous Fichés : l'incroyable projet américain pour déjouer les attentats terroristes (Editions Télémaque novembre 2005).






Ce programme de «Surveillance totale», initié après les attentats du 11 septembre 2001, visait à constituer des fiches sur chaque habitant de la planète pour  détecter, dans nos agissements, les signes annonçant la préparation d'attentats terroristes.

Une des retombées de ce programme de recherche fut la réquisition par les autorités américaines des données des passagers : depuis novembre 2001, toutes les compagnies aériennes qui desservent ou qui survolent les Etats-Unis doivent communiquer toutes les informations qu'elles possèdent sur les passagers de chacun de leurs vols (nom, adresse, email, numéro de carte bancaire, passagers voyageant avec eux, préférences alimentaires…).

Puis les autorités américaines ont étendu ces réquisitions aux données des grands acteurs américains de l'Internet. Dans mon livre Silicon Valley / Prédateurs vallée ? Comment Apple, Facebook, Google et les autres s'emparent de nos données (Editions Télémaque novembre 2011), je raconte que ces entreprises savent… tout de nous !

Près d'un milliard de Terriens utilisent les services de Google ou de Facebook. A travers les mots clés que nous tapons lors de nos recherches, Google sait quelles maladies nous avons (il est capable de prédire les épidémies de grippe avec trois jours d'avance sur les observatoires officiels de la grippe qui existent dans les pays développés), pour qui nous votons, nos croyances, nos préférences alimentaires, etc.