[Index Libertés] Pour parler des libertés, y compris numériques...

[freeshost]

L’utilisation de Google Analytics jugée contraire au droit européen sur les données personnelles

Martin Untersinger et Alexandre Piquard

Publié le 20 janvier 2022 à 17h16

L’autorité autrichienne de protection des données personnelles a estimé qu’un site Web utilisant cet outil ultra-populaire était hors des clous. Une décision qui pourrait augurer d’un mouvement de fond qui inquiète les géants du numérique.

L’utilisation de Google Analytics, un outil omniprésent utilisé par des millions de sites Web pour mesurer leur audience et le comportement des internautes, pourrait être fondamentalement remise en cause à l’échelle européenne.

C’est en tout cas le sens d’une décision rendue jeudi 13 janvier par l’autorité autrichienne de protection des données personnelles qui pourrait préfigurer une vague de décisions similaires par certaines de ses homologues européennes, fragilisant le fonctionnement des grands services numériques en Europe. L’autorité autrichienne a en effet estimé qu’un site Internet portant sur le domaine de la santé ne respectait pas le règlement général sur la protection des données (RGPD) car il utilisait ce service de Google.

Pour la Datenschutzbehörde (DSB), l’équivalent autrichien de la Commission nationale de l’informatique et des libertés (CNIL), c’est le transfert vers les Etats-Unis des données des internautes européens se rendant sur ce site qui pose problème. Elle a estimé que malgré leur pseudonymisation, ces données pouvaient facilement être recombinées pour identifier individuellement des internautes, notamment par les services de renseignement américains. « En visitant un site utilisant Google Analytics, un numéro unique est assigné au navigateur Web de l’internaute. (…) Il est possible de combiner ce numéro avec d’autres informations, comme l’adresse IP ou d’autres données issues du navigateur. Cette combinaison peut créer un identifiant unique qui peut être assigné à l’utilisateur du navigateur » détaille la DSB.

Chiffrement insuffisant

Cette décision est consécutive à l’une des 101 plaintes que l’activiste Max Schrems a déposées en 2020 auprès de plusieurs autorités de protection des données européennes, après sa victoire devant la Cour de justice de l’Union européenne (CJUE). Cette dernière, dans l’arrêt dit « Schrems II », a jugé en juillet 2020 que le droit américain était fondamentalement incompatible avec celui de l’Union européenne (UE). En cause : la possibilité pour des autorités américaines, par exemple les services de renseignement, de contourner le RGPD en obtenant des données personnelles d’Européens.

La DSB s’est cependant refusé, à ce stade, à sanctionner Google pour son utilisation des données, estimant que seul le site autrichien était fautif pour avoir pris part au transfert de données d’Europe vers les Etats-Unis. Elle a également estimé que les précautions prises par Google pour protéger les données collectées par son service, par exemple leur chiffrement, étaient insuffisantes.

« C’est une décision sensée et détaillée. Au fond, cela signifie que les entreprises ne peuvent plus utiliser les services de cloud américains. Cela fait maintenant un an et demi que la Cour de justice l’a confirmé pour la seconde fois, il était donc plus que temps que la loi soit appliquée », s’est réjoui Max Schrems.

Signe de l’importance du sujet, Kent Walker, le responsable mondial des affaires publiques de Google a pris la plume, mercredi 19 janvier, pour réagir vivement : « Google offre des outils de mesure d’audience depuis plus de quinze ans à des entreprises du monde entier. Et depuis tout ce temps, nous n’avons pas une seule fois reçu le type de demande [des autorités américaines] sur laquelle spécule [la DSB]. Et nous ne nous attendons pas à en recevoir car ce genre de requête aurait peu de chance de rentrer dans l’objet très restreint de la loi américaine. »

Facebook Connect également visé

Si Google est inquiet, c’est que cette décision en préfigure sans doute d’autres. En effet, les 101 plaintes ont fait l’objet d’une coordination entre autorités de protection des données personnelles. Les décisions qui devraient être rendues prochainement dans chacun de ces cas devraient donc aller dans le même sens. La décision de la DSB intervient par exemple quelques jours après une action similaire de l’autorité de protection des données personnelles des institutions de l’UE, qui a déterminé que l’utilisation de Google Analytics par le Parlement européen n’était pas conforme au RGPD.

Ce service de Google n’est pas le seul à être visé par ces plaintes : plusieurs d’entre elles visent Facebook Connect, un outil proposé par Facebook qui permet d’utiliser son compte sur le réseau social pour se connecter sur un site tiers.

Parmi les 101 plaintes déposées en 2020 par Max Schrems, plusieurs l’ont été en France, car visant des entreprises françaises. Elles concernent le Huffpost, un site d’actualités appartenant au groupe Le Monde, Leroy Merlin, Free mobile (filiale d’Iliad, dont le principal actionnaire, Xavier Niel, est actionnaire à titre individuel du Monde) à qui M. Schrems reproche l’utilisation de Facebook Connect, ainsi que Decathlon, Auchan et Sephora, pointés du doigt pour avoir utilisé Google Analytics. La CNIL devrait rendre prochainement des décisions à ce sujet.

Une décision qui annonce un mouvement de fond

Plus fondamentalement encore, la décision de la DSB augure d’un mouvement de fond, issu de la décision « Schrems II » qui rend tout transfert de données personnelles de l’Europe vers les Etats-Unis – soit le cœur de l’activité des grands fournisseurs de « cloud » et des grandes plates-formes numériques – potentiellement problématique au regard du droit européen. L’autorité de protection des données irlandaise est justement censée aboutir prochainement à une décision dans laquelle elle pourrait ordonner à Facebook de cesser purement et simplement le transfert des données entre Europe et Etats-Unis.

Kent Walker, de Google, alerte sur les conséquences en cascade de décisions similaires à celles de la DSB : « Les gens dépendent de plus en plus des transferts de données pour leurs achats en ligne, leurs voyages, leurs livraisons, voir le télétravail, la gestion des relations clients ou les opérations de sécurité », alerte-t-il, assurant que des « centaines de milliards d’euros » sont en jeu. Mais que préconise Google ? L’entreprise estime que la décision de la CJUE de juillet 2020 n’impose pas de « stopper tout mouvement de données » en raison de la « simple possibilité d’accès par un autre gouvernement ». Google croit donc avoir pris des mesures de sécurisation supplémentaires qui assurent une « protection pratique et effective selon tout standard raisonnable ». Des protections justement jugées insuffisantes par la DSB.

Pour trouver une solution à la difficulté légale dans laquelle se trouvent Google et les autres grandes plates-formes numériques, le géant californien appelle les exécutifs américain et européen à s’entendre « rapidement » sur un texte encadrant les échanges de données entre l’UE et les Etats-Unis. Des discussions sont en cours entre Washington et la Commission européenne, mais un tel accord semble difficile à obtenir. Il supposerait un changement des lois américaines sur le renseignement, ce qui est un défi de taille, d’autant plus avec les très faibles marges de manœuvre politiques dont dispose le président Joe Biden au Congrès.

[freeshost]

Vous connaissez Threema (site officiel), ce logiciel de messagerie orienté vie privée et développé en Suisse ?

Je viens de lire ici qu'on pouvait l'installer sans passer par les cases Goût-Gueule-Plaie ou Boutique-Pomme !

D'ailleurs, désormais, les soldats de l'armée suisse n'auront plus le droit d'utiliser d'autres messageries. Ni Whatsapp, ni Telegram, ni même Signal.

[Tugdual]

Je ne connaissais pas, merci pour la découverte...

[Tugdual]

Google tente autre chose :

• pour de la publicité ciblée sans cookies...

[freeshost]

Cookies, brownies, FLoCons, Flakes able, nous ne voulons pas être pris pour cibles.

[Tugdual]

LG annonce de nouvelles fonctions de ciblage publicitaire :

• pour ses téléviseurs intelligents...

Extrait :

Ce qui signifie qu'il collectera les données personnelles des utilisateurs.

[...]

Si les publicités diffusées sur les téléviseurs connectés n'ont rien de nouveau, la dernière annonce de LG confirme tout ce qui semble aller de travers avec ces appareils. Le nouveau programme "Guaranteed Outcomes" de LG Ad Solutions - la régie publicitaire de LG - est conçu afin de permettre aux marques et à leurs publicités vidéo natives diffusées sur les téléviseurs connectés LG d'atteindre les objectifs de la campagne sur une série de KPI, notamment la fréquence, les données démographiques et le VCR. Les acheteurs ne paieront que pour les publicités qui sont visionnées à 100 % et pour les mesures de conversion.

[...]

« Et si l'histoire du ciblage publicitaire sur Internet nous a appris quelque chose, c'est que le potentiel de milliards de profits combiné à un manque de réglementation décente conduit non seulement à plus de publicités, mais à des publicités plus envahissantes, avec des formes de suivi encore plus dangereuses. Peu importe que vous dépensiez 200, 400 ou 900 dollars pour un nouveau téléviseur ; lorsque vous regardez un écran, il y a de fortes chances que vous soyez aussi le produit », a déclaré un critique. À titre d'exemple, les dépenses publicitaires en ligne ont atteint plus de 490 milliards de dollars à la fin de l'année dernière.

Ou comment payer un appareil plein pot pour en plus être fliqué.

Et pourquoi les journalistes s'obstinent-ils à qualifier « d'intelligent » un appareil simplement « connecté » !

[Fluxus]

EDIT : Je vais passer par le privé pour plus de confidentialité.

[Tugdual]

Votre télé connectée récolte et revend vos données personnelles :

• en toute tranquillité...

[Tugdual]

Le contrôleur de la NSA relève des dérives :

• dans la surveillance en ligne des Américains...

Extrait :

Les enquêteurs ont constaté que dans certains cas, les « sélecteurs » (adresse e-mail, nom, numéro de téléphone, adresse Internet Protocol) appartenant à des citoyens américains étaient entrés dans le système de recherche « sans que les procédures de la NSA ou les règles de droit » soient suivies. L’historique des sélecteurs n’était pas toujours enregistré, comme le prévoient pourtant les procédures internes, et l’agence de renseignement n’a pas non plus mis en place des garde-fous automatiques pour empêcher certaines recherches portant sur des citoyens américains d’être traitées, comme elle aurait dû le faire, selon ses règles internes.

Ces dérives, parmi bien d’autres, avaient été dénoncées par le lanceur d’alerte Edward Snowden en 2013. Dans ses mémoires publiées il y a deux ans (Mémoires vives, éditions du Seuil), il raconte notamment comment il avait constaté, lors d’une mission à l’antenne de la NSA en Suisse, comment les opérateurs du vaste système de surveillance de l’agence pouvaient mener des recherches sur n’importe qui, sans contrôle ou supervision, y compris leurs proches.

[Tugdual]

Il est possible de désactiver le haut-parleur d’un AirTag :

• et c’est un problème...

Extrait :

Sur PCMag, on apprend que les stalkers ont une nouvelle arme : des AirTags sans haut-parleur. Ces produits, qui se vendent sur les sites comme Etsy ou eBay, ne peuvent pas sonner pour avertir une personne de leur présence trop longue.

[...]

Un AirTag peut-il devenir l’arme parfaite pour un espion ? Si l’absence de haut-parleur devrait aider le traqueur à se dissimuler, Apple continue d’envoyer une notification aux iPhone autour d’un traqueur trop loin de son propriétaire au bout d’un certain temps. Il est donc probable qu’un AirTag caché quelque part finisse par se faire repérer… au moins sur iPhone. Sur Android, l’obligation de télécharger une application pose problème. Sans elle, impossible de savoir que l’on est surveillé. Apple et Google doivent se mettre d’accord pour trouver une solution native.

Également :

• Des AirTags silencieux avec des haut-parleurs désactivés...

[Tugdual]

Quadream, une deuxième société israélienne :

• a exploité une faille d'Apple pour pirater des iPhones...

[Tugdual]

La Commission européenne veut obliger les fournisseurs :

• à scanner toutes les correspondances privées...

Extrait :

L'UE envisage d’obliger les fournisseurs de services en ligne à scanner de façon automatique des contenus suspects dans tous les chats, messages et courriels privés, ce, de manière générale et sans distinction. L'objectif : lutter contre les abus sexuels des enfants en ligne. Le projet de loi est à controverse si l’on s’en tient à des résultats des sondages – publiés par la Commission – qui montrent que les populations y voient l’instauration d’une surveillance de masse. Le texte fera l’objet de présentation au début du mois prochain. Vers la fin de l’ère de la confidentialité des correspondances numériques en UE ?

[...]

La manœuvre n’est pas sans faire penser à la réintroduction à la réintroduction du projet de loi EARN IT qui « ouvre la voie à un système de surveillance massif géré par des entreprises privées chargées de casser le chiffrement », selon l’Electronic Frontier Foundation.

[user6375]

Pis quoi encore !!!

Ca va juste (re)lancer une course au cryptage, et ca va pousser à la délocalisation des applications de communications hors UE. Mais comme je suis content d'être en suisse, en espérant que jamais une telle directive soit reprise chez nous.

En attendant je suis bien content d'avoir mes propres clés de cryptage. Ca n'empêche pas les tentatives de cassage de mes clés, mais comme ils n'ont pas accès à la clé privée de l'autorité, ils vont devoir déployer une grosse capacité de cassage, et multiplier cette capacité pour chaque canal crypté (sans parler du renouvellement des clés). Ca va être drôle. je me demande d'ailleurs si ca sera énergétiquement tenable un tel processus !!!

[freeshost]

Ah ! Cette maudite surveillance globale !

J'encourage les fournisseurs d'accès à internet à monter au front.

L'Union Européenne va-t-elle se tirer plusieurs balles dans le pied ?

Mass surveillance ? No !

On ravive les mémoires vives qui rament.

[user3571]

Pis quoi encore !!!

Ca va juste (re)lancer une course au cryptage, et ca va pousser à la délocalisation des applications de communications hors UE. Mais comme je suis content d'être en suisse, en espérant que jamais une telle directive soit reprise chez nous.

En attendant je suis bien content d'avoir mes propres clés de cryptage. Ca n'empêche pas les tentatives de cassage de mes clés, mais comme ils n'ont pas accès à la clé privée de l'autorité, ils vont devoir déployer une grosse capacité de cassage, et multiplier cette capacité pour chaque canal crypté (sans parler du renouvellement des clés). Ca va être drôle. je me demande d'ailleurs si ca sera énergétiquement tenable un tel processus !!!

Oh bah pour ma part si ca devait arrivé, je crois bien que je me mettrais à un VPN avec un applicatif de messagerie cryptee