J’ai lu les 62 pages du rapport de Douglas Schmidt, professeur à l’université Vanderbilt (Etats-Unis), « Ce que Google collecte ».
Ce que Google collecte
Ce document est essentiel, car il permet de comprendre l’étendue de la collecte d’informations de Google. Si je connaissais déjà beaucoup d’éléments, ce travail apporte une assise technique précieuse. L’auteur et son équipe ont fait des tests, ont précisé les modes opératoires et les résultats, ont résumé les faits en graphes et tableaux. Bref, c’est un excellent travail et une référence solide.
La version originale en anglais est disponible sous format PDF. La traduction française, publiée initialement sur le Framablog, est due à l’équipe Framalang.
Voici quelques extraits. Tout ce qui suit est tiré du document.
———————————
Google est la plus grosse agence de publicité numérique du monde
Elle fournit aussi le leader des navigateurs web, la première plateforme mobile ainsi que le moteur de recherche le plus utilisé au monde. La plateforme vidéo de Google, ses services de courriel et de cartographie comptent 1 milliard d’utilisateurs mensuels actifs chacun. Google utilise l’immense popularité de ses produits pour collecter des données détaillées sur le comportement des utilisateurs en ligne comme dans la vie réelle, données qu’il utilisera ensuite pour cibler ses utilisateurs avec de la publicité payante. Les revenus de Google augmentent significativement en fonction de la finesse des technologies de ciblage des données.
Google collecte les données utilisateurs de diverses manières
Les plus évidentes sont « actives », celles dans lesquelles l’utilisateur donne directement et consciemment des informations à Google, par exemple en s’inscrivant à des applications très populaires telles que YouTube, Gmail, ou le moteur de recherche. Les voies dites « passives » utilisées par Google pour collecter des données sont plus discrètes, quand une application devient pendant son utilisation l’instrument de la collecte des données, sans que l’utilisateur en soit conscient. On trouve ces méthodes de collecte dans les plateformes (Android, Chrome), les applications (le moteur de recherche, YouTube, Maps), des outils de publication (Google Analytics, AdSense) et de publicité (AdMob, AdWords). L’étendue et l’ampleur de la collecte passive de données de Google ont été en grande partie négligées par les études antérieures sur le sujet. Une liste des études antérieures ou nouvelles sur la collecte de données par Google figure dans l’appendice du présent document.
La Figure 1 (plus haut) : présente une journée dans la vie d’une utilisatrice de Google.
Localisation et les mouvements de l’utilisateur
Android et Chrome collectent méticuleusement la localisation et les mouvements de l’utilisateur en utilisant une variété de sources, représentées sur la figure ci-contre. Par exemple, un accès à la « localisation approximative » peut être réalisé en utilisant les coordonnées GPS sur un téléphone Android ou avec l’adresse IP sur un ordinateur. La précision de la localisation peut être améliorée (« localisation précise ») avec l’usage des identifiants des antennes cellulaires environnantes ou en scannant les BSSID (’’Basic Service Set IDentifiers’’), identifiants assignés de manière unique aux puces radio des points d’accès Wi-Fi présents aux alentours. Les téléphones Android peuvent aussi utiliser les informations des balises Bluetooth enregistrées dans l’API Proximity Beacon de Google.
Traçage de sa localisation
Il est difficile pour un utilisateur de téléphone Android de refuser le traçage de sa localisation. Par exemple, sur un appareil Android, même si un utilisateur désactive le Wi-Fi, la localisation est toujours suivie par son signal Wi-Fi. Pour éviter un tel traçage, le scan Wi-Fi doit être explicitement désactivé par une autre action de l’utilisateur
L’omniprésence de points d’accès Wi-Fi a rendu le traçage de localisation assez fréquent. Par exemple, durant une courte promenade de 15 minutes autour d’une résidence, un appareil Android a envoyé neuf requêtes de localisation à Google. Les requêtes contenaient au total environ 100 BSSID de points d’accès Wi-Fi publics et privés.
Google peut vérifier avec un haut degré de confiance si un utilisateur est immobile, s’il marche, court, fait du vélo, ou voyage en train ou en car. Il y parvient grâce au traçage à intervalles de temps réguliers de la localisation d’un utilisateur Android, combiné aux données des capteurs embarqués (comme l’accéléromètre) sur les téléphones mobiles
(…)
Android a communiqué 11,6 Mo de données par jour
Au total, les téléphones Android ont communiqué 11,6 Mo de données par jour (environ 350 Mo par mois) avec les serveurs de Google. En comparaison, l’iPhone n’a envoyé que la moitié de ce volume.
(…)
Google collecte des données de tiers en plus des informations collectées directement à partir de leurs services et applications. Par exemple, en 2014, Google a annoncé qu’il commencerait à suivre les ventes dans les commerces réels en achetant des données sur les transactions par carte bancaire. Ces données couvraient 70 % de toutes les opérations de crédit et de débit aux États-Unis. Elles contenaient le nom de l’individu, ainsi que l’heure, le lieu et le montant de son achat
(…)
Conclusion : Google compte un pourcentage important de la population mondiale parmi ses clients directs, avec de multiples produits en tête de leurs marchés mondiaux et de nombreux produits qui dépassent le milliard d’utilisateurs actifs par mois. Ces produits sont en mesure de recueillir des données sur les utilisateurs au moyen d’une variété de techniques qui peuvent être difficiles à comprendre pour un utilisateur moyen. Une grande partie de la collecte de données de Google a lieu lorsque l’utilisateur n’utilise aucun de ses produits directement. L’ampleur d’une telle collecte est considérable, en particulier sur les appareils mobiles Android. Et bien que ces informations soient généralement recueillies sans identifier un utilisateur unique, Google a la possibilité d’utiliser les données recueillies auprès d’autres sources pour désanonymiser une telle collecte.
———————————
Le dossier est à lire pour être conscient des enjeux…
N’hésitez pas à consulter nos formations :
S1 – Formation surfer anonymement sur Internet
S2 – Formation Sécurité informationnelle et intelligence économique
Jérôme Bondu
