Android plus permissif qu’Apple vis-à-vis de nos données
Quelles données de nos applications mobiles sont échangées, avec qui et pour faire quoi ? Difficiles de répondre à ces questions. C'est ce à quoi ce sont attelés la Cnil et l'Inria.
« Il y a plus de 30 millions de Français équipés de smartphones et de tablettes. Et chaque utilisateur consomme une trentaine d’applications. Leur usage est banal et pourtant nous ne les connaissons pas bien. Ces applications restent une boîte noire pour leurs utilisateurs, mais aussi pour les observateurs et les régulateurs que nous sommes », regrette Isabelle Falque-Pierrotin, présidente de la Cnil. Pour comprendre ces boîtes noires, la Cnil et l’Inria ont lancé l’étude Mobilitics avec des testeurs volontaires d’abord sur iOS en 2013, puis sur Android cette semaine.
Google et Apple même combat ?
Pendant trois mois, des téléphones ont été fournis aux testeurs Android avec le logiciel Mobilitics développé par les équipes de l'Inria. Celui-ci traçait les échanges et l’utilisation des données personnelles des utilisateurs. « Les conclusions générales de l’expérimentation sont largement convergentes entre iOS et Android, mais il y a des différences entre les deux écosystèmes », explique Isabelle Falque-Pierrotin. Pour simplifier, Apple (20 % des smartphones utilisés en France) est plus fermé qu’Android. Du coup, la société verrouille de manière plus stricte l’accès à certaines données de son système ce qui protège ses utilisateurs. Tandis que le système d'exploitation de Google (environ 66 % des smatphones en France) est plus ouvert et donne plus de liberté aux différents acteurs de l’écosystème.
Autrement dit, les développeurs d’application Android ont accès à beaucoup plus de données différentes que sur iOS. « Les applications sur Apple qui récupèrent le plus de données possible se comporteront pareil sur Google, mais elles auront accès à beaucoup plus de données, car le système est moins limitatif », résume Stéphane Petitcolas, ingénieur expert à la Cnil. Il est souvent difficile de comprendre à quoi servent toutes ces données collectées. Et pour y voir clair, difficile de s’en remettre aux CGU (Conditions générales d’utilisation). Elles sont parfois difficilement accessibles avec juste un lien cliquable dans le magasin d’applications. Sans parler des applications dont le comportement n’est pas cohérent avec les CGU comme l’application RATP qu’avait déjà épinglée en 2014 Inria sur son blog.
Ces différences entre Apple et Google n’ont rien d’étonnant puisque leurs modèles économiques sont différents : d'un côté, Apple vend des terminaux, de l’autre Google tire ses revenus de la publicité et donc des données personnelles. Le système Android, lui-même est loin d’être au-dessus de tout soupçon. Non seulement, Google est omniprésent à différents échelons, de la messagerie électronique à l’OS en passant par Google Analytics. Les téléphones Android sont ainsi liés à l’adresse Gmail de leur propriétaire. Mais, en plus, certaines applications installées par défaut consomment beaucoup de données ; notamment de géolocalisation. 24 % des applications lors du test ont accédé à la géolocalisation. « Certaines ont accédé à un million d’informations de géolocalisation pendant les trois mois du test. Difficile de comprendre quel est leur objectif », ajoute Stéphane Petitcolas.
Des données de géolocalisation sur-collectées
C’est l’une des autres conclusions du test : « la localisation est une donnée reine des services mobiles » explique Geoffrey Delcroix, chargé d’études innovation et prospective à la Cnil. 30 % des événements détectés par Mobilitics concerne ainsi les données de géolocalisation. Toutes les applications n'ont cependant pas des comportements aberrants. Certaines n’utilisent la géolocalisation que quand l’utilisateur le demande. Toutes les applications pourraient donc avoir le même type de fonctionnement. Sur Android, il faut autoriser la géolocalisation indistinctement pour toutes les applications, contrairement à Apple où des paramétrages par application sont possibles. Le système de Google ne donne donc pas assez le contrôle aux utilisateurs sur le comportement de chaque application. Et les choses risquent de ne pas changer de sitôt. Android 4.3 disposait d’un panneau de contrôle pour régler les paramètres de vie privée de l’utilisateur qui a été retiré ensuite.
IMEI, ICCID, adresse Mac... les codes d'accès à notre vie privée
Plus généralement, les stratégies de tracking et de ciblage des utilisateurs mises en œuvre sur le web se retrouvent dans l’univers du mobile. Du coup, « dès qu’ils sont disponibles les identifiants techniques sont recherchés. Sur Android, 63 % des applications ont accédé à au moins un identifiant et un quart au moins à deux identifiants différents. Or certains identifiants sont utilisés à des fins publicitaires », explique Geoffrey Delcroix. Parmi les identifiants, on compte l’IMEI (International Mobile Equipment Identity), le numéro de série du téléphone. Utilisé par 20 % des applications, ce code permet notamment de savoir que quelqu’un a acheté un nouveau téléphone.
De son côté, l’ICCID est le numéro de série unique des cartes SIM. Il permet de savoir que l’utilisateur a changé d’opérateur. 5 % des applications s’y intéressent. Ou encore, l’adresse Mac de la carte wifi utilisée pour détecter quand quelqu’un rentre dans un magasin. 7 % des applications y accèdent. Ces trois identifiants sont considérés comme des données personnelles car elles sont susceptibles de permettre l’identification du possesseur du smartphone. Elles ne peuvent donc pas être manipulées n’importe comment par les éditeurs d’applications. « Avec l’IMEI, les acteurs de la publicité savent que vous êtes la même personne, même si vous réinitialisez l’Ad-id (N.D.L.R. l’identifiant utilisé pour les publicités)», décrit Geoffrey Delcroix. Et la publicité est au centre de système Google. L'immense majorité des applications échangent des données publicitaires avec un voire plusieurs acteurs du secteur que ce soit Google ou Criteo. Et, plus de la moitié des échanges réalisés par les applications sont liés à la publicité. Nous voilà prévenus.
