Comment vos données sortent : applications, cookies, localisation et registres publics

La leçon précédente décrivait ce que détiennent les courtiers en données. Celle-ci suit quatre chemins concrets par lesquels vos informations les atteignent : le code tiers intégré dans des applications ordinaires, les cookies et pixels sur les sites web, la localisation de votre téléphone, et les registres publics dont vous ne pouvez pas empêcher l’existence.

Les applications et les kits de développement logiciel qu’elles contiennent

La plupart des applications ne sont pas entièrement conçues par l’entreprise dont le nom apparaît dessus. Les développeurs ajoutent couramment des kits de développement logiciel tiers (SDK) pour l’analyse, le signalement de plantages ou la publicité. La documentation officielle d’Apple pour les développeurs, qui impose de divulguer cela, définit les « partenaires tiers » comme « des outils d’analyse, des réseaux publicitaires, des SDK tiers, ou d’autres fournisseurs externes dont vous avez ajouté le code à votre application », et elle met les développeurs en garde directement contre « le fait d’intégrer à votre application un SDK tiers qui combine les données d’utilisateurs de votre application avec celles d’utilisateurs d’autres applications pour cibler la publicité ou mesurer son efficacité, même si vous n’utilisez pas le SDK à ces fins ». Autrement dit, un SDK ajouté par un développeur pour une raison donnée peut, à lui seul, transmettre des données qui finissent combinées avec celles d’applications totalement sans rapport.

Cookies et pixels sur les sites que vous lisez

Sur le web, la même logique se manifeste par les cookies. Le Centre d’apprentissage de Cloudflare explique qu’un cookie propriétaire, défini par le site que vous consultez, diffère d’un cookie tiers, défini par un domaine qui n’est pas celui affiché dans votre barre d’adresse — le plus souvent une entreprise de publicité ou d’analyse intégrée à de nombreux sites différents. Comme ce tiers vous reconnaît à chaque fois que vous arrivez sur un autre site portant son cookie, il peut constituer un historique de votre navigation à travers des sites dont vous ne lui avez jamais dit que vous les visitiez. Les recommandations aux consommateurs de la FTC confirment que cela dépasse les cookies : les sites « peuvent suivre votre activité en ligne à l’aide d’un cookie ou d’un pixel pour vous identifier même après avoir quitté le site », et dans les applications, « les annonceurs peuvent utiliser un identifiant publicitaire unique pour vous suivre », parfois associé à l’empreinte numérique de l’appareil, qui reconnaît votre navigateur ou votre appareil à partir de ses réglages particuliers plutôt qu’à partir d’un fichier stocké.

La localisation de votre téléphone, souvent sans capteur spécial

La localisation est l’une des catégories les plus sensibles, et la FTC a mené une action directe à ce sujet. En 2022, l’agence a poursuivi Kochava, un courtier qu’elle décrivait comme vendant « des quantités massives de données de localisation précises collectées auprès de dizaines de millions d’utilisateurs mobiles ». L’alerte de la FTC notait que ce type de données peut révéler des visites à des « établissements de soins médicaux, lieux de culte, cliniques de santé reproductive, refuges pour sans-abri et pour victimes de violence domestique, et centres de traitement des addictions », et pour le démontrer, le personnel de la FTC a déclaré avoir pu utiliser les données de Kochava pour identifier un appareil ayant visité une clinique de santé reproductive pour femmes et remonter jusqu’à un domicile précis. Ces données commencent avec une application qui a demandé la permission de localisation, puis, indépendamment de ce que votre opérateur mobile peut déjà déduire des antennes-relais auxquelles votre téléphone se connecte, transmettent la localisation à des entreprises externes.

Les registres publics : la source dont vous ne pouvez pas sortir

L’étude de 2014 de la FTC sur neuf grands courtiers en données a révélé que tous sauf trois obtenaient des données directement auprès de sources fédérales telles que le Bureau du recensement et les registres de décès de la Sécurité sociale américaine, et que les gouvernements des États et locaux fournissaient des registres de biens immobiliers, d’inscription électorale, judiciaires et de licences professionnelles. Une partie de ce flux comporte bien des limites légales : le rapport de la FTC note qu’au moins vingt-deux États américains restreignent l’usage commercial des registres d’inscription électorale, et que la loi fédérale Driver’s Privacy Protection Act restreint la divulgation des registres de véhicules en dehors de finalités précises. Mais les registres eux-mêmes — un acte de propriété, un acte de mariage, une pièce judiciaire — existent parce que la loi l’exige, que vous le vouliez ou non.