Le RGPD ne serait-il qu’une passoire ?

Vous vous croyiez, en tant qu’Européens protégés par le RGPD ? Vous pensez que ce fameux Règlement Général sur la Protection des Données, applicable depuis le 25 mai dernier, met vos données personnelles à l’abris de tout abus ?  Pas si simple : RGPD ou pas, les plateformes d’« ad exchange », qui servent d'intermédiaires entre les annonceurs et les sites ou les applications sur smartphone qui veulent vendre leur espace publicitaire, communiquent allègrement nos données aux annonceurs…

Connaissez-vous les plateformes d’« ad exchange » ? Non ? Vous devriez vous y intéresser car ces plateformes sont au cœur du marché de la publicité sur Internet : ces programmes informatiques de vente et d’achat d’espaces publicitaires sur Internet mettent en relation des acheteurs (agences de publicité, agences médias ou annonceurs directement) et des vendeurs (sites Web, réseaux ou régies publicitaires) : les espaces publicitaires sont mis aux enchères et vendus aux plus offrants. Mais les vendeurs ne mettent pas que leurs espaces publicitaires à la disposition des acheteurs : ils proposent aussi des informations sur les internautes qui pourront voir les publicités des acheteurs. C’est ainsi que nos données de géolocalisation peuvent se retrouver “en vente” sur ces plateformes (lire ci-dessous les explications d’Armand Heslot, expert à la CNIL, la Commission Nationale de l’Informatique et des Libertés)

Résultat ? Nos données de géolocalisation se retrouvent entre des mains inconnues…  Le créateur d’une société spécialisée dans l'exploitation des données de géolocalisation à des fins statistiques et de marketing s’est récemment vanté dans un grand quotidien économique français de pouvoir « observer les trajets d'une personne via une publicité sur mobile, grâce aux accords passés avec certaines plates-formes. »

Comment cela est-il possible alors que le fameux RGPD (règlement général sur la protection des données) est applicable depuis le 25 mai 2018 ? En fait, ce règlement doit être encore accompagné de textes dits « spéciaux » qui vont préciser son application dans certains domaines spécifiques. C’est ainsi qu’une nouvelle directive « ePrivacy » va définir l’application du RGPD aux traitements réalisés dans le contexte des communications électroniques : elle va encadrer la collecte des données sur mobile et sur Internet.

Une première version de la directive ePrivacy existe depuis 2002 et a été modifiée en 2009. « Dans les faits, elle n’est pas appliquée », constate un spécialiste du sujet. Elle n’a été traduite et transcrite dans le droit français qu’en août 2011 et cette transcription laissait substituer de nombreuses zones d’ombre. De plus, la directive est en pleine réécriture au niveau européen ; la nouvelle version devrait entrer en vigueur au cours de l’année 2019. « Dans ce contexte, il est difficile d’appliquer une politique de contrôle », poursuit ce spécialiste.

Le futur texte ePrivacy devrait prévoir « comme principe le recueil du consentement des utilisateurs avant toute utilisation de traceur au sein des terminaux (téléphone, tablette, ordinateur, etc.). La notion de traceur s’entend ici au sens très large puisqu’il s’agit de toutes techniques permettant de suivre les utilisateurs : cookies, empreintes numériques (fingerprinting), pixels invisibles (web bugs) »… (Rapport d’activité 2017 de la CNIL, p. 31).

Autant dire qu’en coulisse les lobbyistes des grands groupes de communication électronique (Cisco, Facebook, Google, IBM, Microsoft, SAP, mais aussi l’IAB, l’Interactive Advertising Bureau, une organisation regroupant les principaux acteurs de la publicité en ligne…) s’activent auprès de la Commission Européenne pour que ce texte soit le moins contraignant possible…

En attendant, les plateformes d’« ad exchange » communiquent la nature de l’appareil que nous utilisons (marque et modèle, nom de l’éventuel opérateur de téléphonie mobile, dimension de l’écran…), notre géolocalisation, notre âge, notre sexe, notre adresse habituelle… Les entreprises peuvent ainsi poursuivre la “réification” de leur stratégie de pouvoir : faire de nous des objets, mesurables et manipulables à distance…

Jacques Henno

Armand Heslot (CNIL) : « Une application que vous avez installée sur votre smartphone peut transférer aux annonceurs vos données de géolocalisation »

Armand Heslot (service de l’expertise technologique de la CNIL)

Armand Heslot est ingénieur au service de l’expertise technologique de la CNIL (Commission Nationale de l’Informatique et des Libertés)

• Comment nos données de géolocalisation sont-elles partagées par les plateformes d’« ad exchange » ?

• Armand Heslot : La plupart des espaces publicitaires sur les mobiles ou le Web sont effectivement vendus aux enchères par l’intermédiaire de réseaux de commercialisation de publicités, appelés plateformes d’« ad exchange ». Les échanges d’informations ayant lieu au sein de ces plateformes sont régis par des spécifications techniques élaborées par l’Interactive Advertising Bureau, une organisation regroupant les principaux acteurs de la publicité en ligne. J’invite d’ailleurs tous vos lecteurs à consulter la spécification « open RTB » (pour « real-time bidding », enchère en temps réel) de l’IAB. Ils y verront quels formats sont utilisés et surtout quels types d’information sur leur géolocalisation peuvent être transmises : leurs coordonnées GPS, leur adresse IP ou une localisation qu’ils ont eux-mêmes communiquée à un site ou une application.

• Quelles sont les conséquences pour l’utilisateur d’une application sur smartphone ?
• Armand Heslot : Une application que vous avez installée sur votre smartphone peut transférer aux annonceurs qui lui achètent des espaces publicitaires vos données de géolocalisation très précises, obtenues par l’intermédiaire du GPS de votre téléphone. Si vous désactivez la géolocalisation sur votre mobile ou si vous ne donnez pas les autorisations d’accès à la géolocalisation à une application, celle-ci ne pourra plus accéder à vos coordonnées GPS, mais elle pourra utiliser d’autre moyens pour avoir une estimation de votre localisation comme votre adresse IP ou l’adresse physique que vous avez déclarée en vous inscrivant sur cette application…

• Ces transferts d’informations de géolocalisation ne sont pas encadrés par la loi ?

• Armand Heslot : Si, la CNIL considère que la collecte de données de géolocalisation précises nécessite le consentement des personnes. Par ailleurs, la directive européenne  du 12 juillet 2002 sur la protection de la vie privée dans le secteur des communications électroniques, appelée également directive « ePrivacy » encadre la collecte des données sur mobile et sur le web (Cette directive est en pleine réécriture au niveau européen et devrait être transformée en un règlement). Elle a été traduite et transcrite dans le droit français en août 2011, et a donné lieu à la recommandation du 5 décembre 2013, dans laquelle la CNIL a estimé que la collecte et le transfert de telles données devaient faire l’objet d’un consentement de la part des internautes. Ce que la CNIL constate au travers de ses contrôles, c’est que même si des mécanismes de demande d’autorisation des utilisateurs sont mis en place, l’information est trop souvent incomplète, ce qui rend le consentement des personnes non valable.

Propos recueillis par Jacques Henno

Les principaux acteurs de l’« ad exchange »

• AppNexus
• DoubleClick (Google/Alphabet…)
• Oath (marque réunissant AOL, Yahoo!…)
• OpenX
• Rubicon Project Exchange
• Smaato
• …

Interviewé sur C8 et par le site web de France Culture au sujet du dernier scandale

J'ai été interviewé par Éric Chaverou, pour le site Web de France Culture, et je suis intervenu sur C8, pour parler du dernier scandale affectant Facebook : les données de 50 millions d'utilisateurs siphonnées par un cabinet de conseil en communication, Cambridge Analytica.

À retrouver sur :

https://www.franceculture.fr/numerique/nouveau-coup-tres-dur-pour-facebook-mais-le-pacman-des-donnees-n-est-pas-en-danger

https://www.mycanal.fr/d-8-info/facebook-est-il-en-danger-william-a-midi-21-03-2018/p/1486714

Et un livre à lire et relire pour comprendre comment les GAFA (Google, Apple, Facebook…) s'emparent de nos données : 

Plus d'informations sur le site de mon éditeur : http://www.editionstelemaque.com/books/silicon-valley-predateurs-vallee/ 

Demain, des ouvriers surveillés numériquement ?

J'ai publié ce matin dans le quotidien Les Echos une enquête sur la réalité augmentée et les outils connectés qui permettent déjà de guider les opérateurs de production ou de maintenance. Mais qui, demain,  pourraient aussi servir à les surveiller. En permanence.

Nous verrons peut-être bientôt notre garagiste chausser des lunettes de réalité augmentée qui lui montreront, étape par étape, comment réparer notre voiture. Mais qui enregistreront aussi le moindre de ses faits et gestes, ce qui permettra de savoir combien de temps il aura mis pour mener à bien sa tâche, s'il faut l'envoyer en formation... ou s'il doit changer d'emploi. Voilà un des scénarios sur lesquels planchent les consultants, industriels et syndicalistes qui réfléchissent à l'usine 4.0…

En savoir plus sur http://www.lesechos.fr/idees-debats/sciences-prospective/0211778113962-industrie-40-le-defi-de-lhypersurveillance-2064720.php#EGl4KwYM4dyIsfTT.99

Cette enquête comprend également un encadré  sur le risque juridique que la traçabilité associée à la réalité augmentée est susceptible de faire courir à l'employeur :

http://www.lesechos.fr/idees-debats/sciences-prospective/0211778114090-un-risque-juridique-pour-lemployeur-2064770.php#x5Ai6YksSoOOqGG7.99

L'Intelligence Artificielle, qu'est-ce que c'est ?

Voici le petit mot introductif que j'ai fait vendredi dernier, 20 janvier 2017, à Agoranov, un incubateur parisien, où avait lieu, en présence d'Axelle Lemaire, secrétaire d'État chargée du Numérique et de l'Innovation, et de Thierry Mandon, secrétaire d'État chargé de l'Enseignement supérieur et de la Recherche, le lancement de #FranceIA, la stratégie nationale en intelligence artificielle.

Cette vidéo est extraite de : http://www.economie.gouv.fr/strategie-intelligence-artificielle-France-IA :

Appel à témoignages : « Pourquoi publiez-vous des informations personnelles sur Facebook ? »

Dans le cadre d’une étude universitaire sur les traces que nous laissons en utilisant les nouvelles technologies, je recherche des utilisatrices/utilisateurs de Facebook, âgés de plus de 18 ans, présents cet été à Paris, Les Sables d’Olonne ou Bourg-Saint-Maurice et qui accepteraient de répondre à quelques questions sur les informations qu’elles/ils partagent sur les réseau sociaux.

Exemples de questions : « Qu’est-ce qui vous a amené à vous inscrire sur Facebook ? » « Quels genres d’informations partagez-vous sur Facebook ? » « Ces informations sont-elles visibles par tout le monde ? », etc.

Si vous souhaitez participer, sur la base du volontariat et de l’anonymat, à ces entretiens individuels d’environ 1H / 1H30, vous pouvez prendre contact avec moi :

• sur Facebook (www.facebook.com/jacques.henno)
• sur Twitter (@jhennoparis)
• ou par mail (jhenno@yahoo.com).

D’avance, merci de votre aide.

Jacques Henno

__
PS : il n'existe, bien sûr, aucun lien financier (ou autre) entre cette étude (ou son auteur) et la société Facebook. Il s'agit d'une étude universitaire, totalement indépendante.

Vous voulez un crédit ? Faites attention à vos fréquentations sur les réseaux sociaux et à ne pas envoyer vos demandes la nuit !

J'ai publié ce matin dans le quotidien Les Echos un article sur une nouvelle tendance qui arrive des Etats-Unis et d'Asie : utiliser les données publiques, les réseaux sociaux et les algorithmes prédictifs pour évaluer, en quelques minutes, les capacités de remboursement des individus ou des petites entreprises.

Pour évaluer le risque que représente un emprunteur, des start-up (Affirm, Biz2credit, Zest Finance aux Etats-Unis…, Lenddo aux Philippines…) scannent des centaines de « signaux faibles » : temps passé à taper son adresse e-mail (pour détecter les copier-coller, souvent symptomatiques d'une adresse créée pour la circonstance…), horaire de la demande (les formulaires remplis la nuit suscitent la méfiance…), identité sur les réseaux sociaux, descriptif du travail sur Linkedin, nombre d'amis sur Facebook, heures et fréquence d'envoi des courriels…


Pour en savoir plus :
Comment le Big Data va bousculer le crédit

Facebook : la CNIL inflige un camouflet à son équivalent irlandais

Dès mai 2012, j’avais signalé à la CNIL que Facebook collectait des données sensibles (opinion politique, religion, pratiques sexuelles…) en toute illégalité. En réalité, à travers Facebook, c’est l’équivalent irlandais de la CNIL qui semble visé. Quelques jours après qu’Isabelle Falque-Pierrotin, la présidente de la CNIL, ait été réélue à la tête du G29, le groupe de travail qui rassemble les CNIL européennes…

La CNIL (Commission Nationale de l'Informatique et des Libertés) a, hier, publiquement mis en demeure Facebook de se conformer à la loi Informatique et Libertés.

La CNIL a relevé  cinq manquements à la législation française : 

• grâce à des cookies, le réseau social est capable de « suivre la navigation des internautes, à leur insu, sur des sites tiers [contenant un bouton Facebook même si ces Internautes] ne disposent pas de compte Facebook ». 

• Facebook dépose sur l’ordinateur des internautes des cookies à finalité publicitaire, sans les en avoir au préalable correctement informés ni avoir recueilli leur consentement.

• pour mieux connaître les centres d’intérêt de ses membres et leur afficher de la publicité ciblée, le réseau social « procède à la combinaison de toutes les données personnelles qu’il détient sur eux, [qu’elles soient] fournies par les internautes eux-mêmes, collectées par le site, par les autres sociétés du groupe ou transmises par des partenaires commerciaux. » Mais les Internautes ne peuvent pas s’opposer à cette regroupement de données.

• le site « transfère les données personnelles de ses membres aux Etats-Unis sur la base du Safe harbor », ce qui n’est plus possible depuis octobre 2015.

• Enfin, Facebook « ne recueille pas le consentement exprès des internautes lors de la collecte et du traitement des données relatives à leurs opinions politiques, ou religieuses, et à leur orientation sexuelle. » 

Je suis étonné que la CNIL ne s’attaque à ce dernier problème que maintenant. En effet, dès mai 2012, j’avais signalé à la CNIL que Facebook collectait des données sensibles (opinion politique, religion, pratiques sexuelles…) en toute illégalité : « Facebook permet aux annonceurs de cibler les Internautes en fonction de leurs centres d’intérêt - déclarés ou supposés - pour certaines pratiques sexuelles ou pour la drogue. »

Contactée à l’époque, Sophie Nerbonne, directeur adjoint des affaires juridiques de la CNIL, m’avait alors confirmé qu’ «il s’agit d’une utilisation de données sensibles à des fins publicitaires. L’accord préalable des internautes à l’utilisation de ces données aurait dû être recueilli par Facebook. Et le réseau social ne peut pas s’abriter derrière les conditions générales d’utilisation que doit approuver tout nouvel Internaute qui s’inscrit à ses services : ce document ne peut pas suffire pour recueillir le consentement préalable à l’utilisation de données sensibles.»

Pourquoi a-t-il fallu attendre près de quatre ans pour que la CNIL réagisse ?

Le siège social de Facebook Europe étant en Ireland, c’est « the Office of the Data Protection Commissioner », l’équivalent irlandais de la CNIL, qui est plus particulièrement chargé du dossier Facebook. En mai 2012, j’avais d’ailleurs transmis à cet organisme les mêmes remarques qu’à la CNIL. Il s’en était suivi un long échange de mails avec the Office of the Data Protection Commissioner, échange qui s’était achevé en mars 2014 par un dernier message où je demandé aux représentants du Commissioner pourquoi la CNIL irlandaise était aussi indulgente avec le réseau social et quelles sanctions étaient prévues si celui-ci ne se respectait pas leurs demandes… 

En désespoir de cause, j’avais transmis tous ces documents à la CNIL française.

La mise en demeure de Facebook par la CNIL française constitue donc un sérieux camouflet pour le  Data Protection Commissioner irlandais, qui est, normalement, en charge de ce dossier.

Sollicité par courrier électronique, le  Data Protection Commissioner irlandais m’a répondu qu’il « n’avait pas de commentaire à faire sur cette affaire. »