Pour de nombreuses applications, accorder l’autorisation d’accéder à la localisation précise de votre appareil peut sembler logique. Par exemple, votre application météo préférée a besoin de savoir où vous êtes pour vous fournir les prévisions quotidiennes, ou votre application de fitness pour suivre votre parcours de course.
Cependant, certaines applications partagent aussi par inadvertance les données de localisation de leurs utilisateurs avec des tiers, y compris des annonceurs et des courtiers en données, car les développeurs d’applications ne réalisent pas toujours que ce paramètre de partage de données est activé par défaut.
De récentes découvertes de la Electronic Frontier Foundation (EFF) visent à alerter les développeurs d’applications sur le fait que certains éléments de code tiers intégrés dans leurs applications peuvent également collecter les données de localisation des utilisateurs lorsqu’ils donnent leur accord.
À moins que le développeur ne désactive activement cette collecte, le fragment de code (appelé kits de développement logiciel, ou SDK) héritera des autorisations de l’application et collectera la localisation précise de l’utilisateur.
La EFF souligne que de nombreux développeurs pourraient ne pas se rendre compte qu’ils partagent les données de localisation de leurs utilisateurs avec des tiers par défaut et invite les créateurs d’applications à désactiver la collecte de données inutiles chaque fois que cela est possible.
Bien que les SDK publicitaires soient présentés comme un moyen pour les développeurs de monétiser leur application, cet échange implique que les historiques de localisation des utilisateurs sont transmis à des courtiers en données, qui monétisent ces informations, qui peuvent ensuite être vendues à des militaires, des gouvernements et des agences de renseignement, comme le FBI. Ces données représentent également un risque pour la sécurité et la vie privée en cas de piratage ou de vol, ce que certains courtiers en données ont déjà subi.
Parmi les applications Android que la EFF a identifiées comme partageant discrètement les données de localisation des utilisateurs, deux avaient été téléchargées un total de 60 millions de fois.
L’EFF a réalisé ses tests en analysant le trafic réseau des applications et en déterminant quels services recevaient les données de localisation des utilisateurs.
Bill Budington, technologue senior à la EFF, a expliqué à TechCrunch que les SDK examinés ne représentent qu’un petit pourcentage de l’écosystème publicitaire global, mais parviennent tout de même à toucher des milliards d’utilisateurs à travers des dizaines de milliers d’applications. Cela donne une idée de l’ampleur de cette collecte de données de localisation.
Le rapport de la EFF indique qu’il n’existe “aucune autorisation de localisation spécifique aux SDK”, ce qui signifie qu’une fois que l’utilisateur permet la partage de ses données de localisation avec l’application, ces données sont également partagées avec des annonceurs. Les entités proposant ces SDK sont généralement incitées commercialement à inciter leurs clients à collecter davantage de données.
“Les autorisations de localisation au niveau de l’application ne peuvent pas signaler un consentement significatif à la collecte et au partage de localisation par des SDK publicitaires tiers,” a déclaré la EFF. “Les SDK publicitaires ne devraient pas faire du partage de données personnelles le paramètre par défaut, surtout pour des données aussi sensibles que la localisation d’une personne.”
Points à retenir
- La collecte de données de localisation par des SDK tiers peut se faire sans que les développeurs en soient conscients.
- Les développeurs sont encouragés à désactiver les collectes de données inutiles.
- Les données de localisation peuvent être revendues à des entités gouvernementales et militaires, ce qui pose un risque pour la vie privée.
- Des millions d’utilisateurs sont potentiellement touchés par cette collecte de données.
- Il est important de sensibiliser les utilisateurs à ces questions de données personnelles.
En tant que citoyen et utilisateur de technologies, je m’interroge sur les implications de cette collecte de données. Dans quelle mesure sommes-nous prêts à sacrifier notre vie privée pour bénéficier de services qui, paradoxalement, devraient protéger nos informations personnelles ? La responsabilité incombe-t-elle seulement aux développeurs, ou devons-nous également en tant qu’utilisateurs, exiger davantage de transparence et de contrôle sur nos données ? Réfléchissons ensemble à ces enjeux cruciaux pour notre avenir numérique.