Pour regarder la météo sur son smartphone, et tenter par exemple d'anticiper la canicule, il est tentant de se géolocaliser, et de laisser l’application trouver où l’on est. En attendant les prévisions, il faudra toutefois subir une première et agaçante conséquence, dont témoignent de nombreux commentaires : « Appli incontournable mais pub vraiment envahissante. » « Les publicités sonores type GIFI sont insupportables, d’autant que le son est extrêmement fort. ET surtout on ne peut pas les fermer immédiatement comme d’autres pub. » « Insupportable, on arrive toujours à charger la pub [...], en revanche, souvent impossible de charger ensuite la page des prévisions, et si on relance, re-pub et toujours pas de météo… »
Dans la boutique d’applications pour les téléphones Android, les critiques pleuvent sur la page de l’appli Météo-France. « Un établissement public n’est peut-être pas obligé de mettre une pub en grand écran avec 5 sec obligatoire à chaque démarrage de l’application », dit poliment un internaute.
Derrière ces publicités bien visibles, envahissantes, voire insupportables, se cache toute une industrie, celle du ciblage publicitaire individualisé, généralement en temps réel, réalisé grâce à la collecte de données personnelles. Un marché estimé à un milliard d’euros en France en 2018, sur mobiles et ordinateurs, et mollement surveillé par la Commission nationale de l’informatique et des libertés (Cnil) dans un plan d’action 2019-2020.
Dans ses toutes nouvelles « lignes directrices », la Cnil rappelle aux acteurs de ce marché publicitaire que « les opérateurs doivent respecter le caractère préalable du consentement au dépôt de traceurs. Ils doivent laisser la possibilité d’accéder au service même en cas de refus de consentir. Ils doivent fournir un dispositif de retrait du consentement facile d’accès et d’usage ». Elle leur laisse encore un délai de plusieurs mois pour se mettre en conformité avec les règles du RGPD, au grand dam de la Quadrature du Net, l’association en pointe dans la lutte pour la protection des données personnelles, qui déplore un « mépris total du droit européen ».
Embarqués dans les applications, les « traceurs », « pisteurs », ou encore « SDK » (software development kit) publicitaires sont aux applis mobiles ce que les cookies sont aux sites web : des machines à récupérer des données. À très, très grande échelle : « plus de 42 934 160 identifiants publicitaires et les données de géolocalisation correspondantes à partir de plus de 32 708 applications » ont par exemple été récupérés par la seule société française Vectaury.
La technique des enchères en temps réel permise par ces traceurs est dans le viseur de plusieurs associations européennes, dont en France la Quadrature, qui ont réuni leurs efforts pour déposer des plaintes dans neuf pays européens, et lancer la campagne « StopSpyingOnUs » (« arrêtez de nous espionner »).
Cette technique est précisément mise en œuvre pour afficher les publicités de l’application Météo-France, via la société parisienne Madvertise, chargée de la régie publicitaire de l’application (c’est-à-dire la vente des espaces), comme nous l’a confirmé Météo-France : « Notre régie publicitaire commercialise des emplacements publicitaires, avec deux typologies de ventes : des ventes directes en gré à gré ; des ventes programmatiques et aux enchères. » Par « programmatiques », il faut entendre automatisées.
Selon la plainte déposée par les associations, « le secteur [des enchères publicitaires en temps réel – ndlr], qui au départ visait à aider les entreprises à produire des publicités personnalisées, a généré un mécanisme de transmission de masse de données personnelles ». « Deuxièmement », poursuit le texte de la plainte, « le mécanisme ne permet pas au secteur de contrôler la diffusion des données personnelles une fois qu’elles ont été transmises (voire même avant) ».
Par l’intermédiaire d’une régie, le système des enchères en temps réel permet à des applications mobiles de trouver des annonceurs qui souhaitent afficher des publicités. Pour ce faire, les applications font parvenir à des sociétés tierces, les « clients », des données de géolocalisation et l’identifiant publicitaire du téléphone : ce dernier va « matcher », ou pas, avec les identifiants et les profils associés dont dispose chaque « client », et qui vont s’enrichir de quelques nouvelles infos. Dans le cas qui nous occupe, ce sera par exemple que la personne est dans telle station balnéaire.
Le client pourra alors décider d’enchérir ou pas, suivant l’intérêt du profil identifié, et de faire parvenir une offre à la régie, afin que celle-ci achète l’espace et y diffuse la publicité.
Voilà pour le schéma général. Mais il y a un hic supplémentaire dans l'appli Météo-France : des données personnelles sont transmises sans que l’utilisateur en soit informé, et donc sans qu’il ait eu l’occasion d’y consentir ou de refuser, comme le prévoit le RGPD. Des informations qui sont notamment transmises à Facebook et Retency, une société française de mesure d’audience.
Pire encore, comme a pu le constater Mediapart, des données sont transmises même quand l’utilisateur a manifesté son refus. Tout cela pour le revenu plutôt modeste de 1,2 million d’euros pour les six premiers mois de 2019 (lire en page 4).
La géolocalisation, une donnée « particulièrement intrusive »
Comme il est écrit en toutes lettres dans le Google Play Store (voir image ci-dessous), l’application Météo-France possède dès le départ de nombreuses autorisations : celle d’accéder aux photos, par exemple, d’en prendre, ainsi que des vidéos, de recueillir la géolocalisation (« même si [l’appli] n’est pas ouverte », précise de son côté l’Appstore d’Apple)… ou encore d’empêcher l’écran de s’éteindre si vous êtes devenu inattentif.
Pour quoi faire : obtenir directement la météo du lieu où l'on se trouve, poster des photos géolocalisées… C’est le côté pratique pour l'utilisateur. Mais aussi, et c’est là que les choses deviennent problématiques, pour alimenter en données la régie publicitaire qui pourra alors adresser aux personnes derrière l'écran des publicités ciblées en fonction de leur profil.
Selon la politique de confidentialité de Météo-France, « l’application stocke dans le téléphone des informations relatives à la navigation et aux préférences du mobinaute, celles-ci ne permettent toutefois pas d’identifier l’usager. Nous mémorisons actuellement les villes favorites ainsi que les préférences (présence, position) des blocs associés et des widgets, les points gagnés dans la rubrique “observation participative” ainsi que les autorisations (géolocalisation y compris pour la publicité ciblée, accès à l’appareil photo, usage des mesures d’audience et d’analyses de bugs, notifications) ».
Météo-France le précise bien : « Les informations recueillies […] après consentement de l’utilisateur » serviront à fournir des « prévisions météorologiques au plus proche de votre position », à la « mesure d’audience », à « améliorer et fiabiliser le comportement de l’application », à « vous proposer des publicités ciblées adaptées à vos centres d’intérêts » et enfin à « accéder à des réseaux sociaux lors de partages ».
« Les destinataires des données sont Météo-France et son prestataire Madvertise en charge de la publicité, AT Internet et Google pour les mesures d’audience, Google/Crashlytics pour les analyses de bugs. »
Comment lier ces données à un appareil, et aux habitudes de son propriétaire ? C’est le rôle de l’identifiant publicitaire que possède chaque smartphone, et qui peut être réinitialisé à volonté dans les réglages de l’appareil : le changement d’identifiant va mettre par terre tout l’édifice de recueil de données et le faire repartir de zéro… Mais comme Mediapart l’a découvert, Météo-France recueille également, et transmet, deux données particulières que le « mobinaute » ne peut modifier : l’Android ID et l’adresse MAC. Pire encore, ces données sont transmises à l’insu de l’utilisateur.
La géolocalisation, c’est-à-dire l’endroit où l’on se trouve, est aussi une donnée particulièrement sensible. Avec un smartphone toujours en poche, et une géolocalisation activée, se dessinent nos allées et venues 24 heures sur 24, en temps réel qui plus est. Pour la Cnil, « l’utilisation des dispositifs de géolocalisation est particulièrement intrusive au regard des libertés individuelles, dans la mesure où ils permettent de suivre de manière permanente et en temps réel des personnes, aussi bien dans l’espace public que dans des lieux privés. Ainsi, la CNIL estime que les données de géolocalisation ne peuvent être conservées que pour une durée strictement proportionnée à la finalité du traitement qui a justifié cette géolocalisation ».
La face cachée des applications
Présenté le 27 juin 2019 devant la FTC (Federal Trade Commission), le gendarme américain du commerce, un article intitulé 50 Ways to Leak Your Data: An Exploration of Apps' Circumvention of the Android Permissions System (50 façons d'aspirer vos données : une exploration du contournement des autorisations Android par les applications) a révélé les méthodes au moyen desquelles les applications contournent les refus de partage de données des utilisateurs. Ces résultats ont été obtenus par l’équipe d’AppCensus, qui travaille pour différents régulateurs et entreprises privées et examine la face cachée des applications. Les applications concernées seront présentées le 15 août.
Pour Mediapart, l’un des membres d’AppCensus, Joel Reardon, de l’université de Calgary (Canada), a testé l’application Météo-France. Dans trois configurations différentes : « Tout accepter », « Je valide mes choix » (avec le choix de tout désactiver) et enfin « Tout refuser ». Pendant 10 minutes chaque fois, le test a consisté à surveiller la transmission de quatre informations sensibles : l’identifiant publicitaire du téléphone ; l’identifiant Android ou Android ID ; la géolocalisation ; et l’adresse MAC du téléphone – à laquelle « on ne devrait plus pouvoir accéder du tout », estime le chercheur, à l’unisson de ses confrères. Android ID ou adresse MAC : pour Arthur Messaud, de la Quadrature du Net, « sans l’identifiant unique » d’un terminal, il n’y a pas de « croisement publicitaire possible ».
Le tableau ci-dessous récapitule les données transmises avec la troisième option, « Je refuse tout ».
Dans tous les cas, la géolocalisation est « de qualité GPS, avec 3 décimales de précision », nous explique Joel Reardon. Pour la recueillir, une appli va aller au plus facile : les coordonnées GPS. En cas d’échec, le « SDK » ira la chercher auprès des bornes téléphoniques à proximité, ou encore des bornes wifi, détectées par le téléphone.
Mediapart s’est également tourné vers Exodus Privacy, une association française pionnière dans la recherche des « pisteurs », selon son expression, installés dans les applis, et qui en a détecté 18 dans celle de Météo-France : celui de la société Madvertise, mais aussi de Google et Facebook, ou encore un SDK venu de Twitter et un autre de la société française Vectaury, elle aussi active dans les enchères en temps réel et mise en demeure en 2018, par la Cnil, de se conformer à la législation.
« Tous ne sont pas forcément actifs, ça peut être un reliquat de pisteurs utilisés avant, et il peut aussi y en avoir plus », explique un des membres d’Exodus Privacy à Mediapart. Certaines applications, au démarrage, vont demander à un serveur « quel pisteur utiliser aujourd’hui », pour activer ou désactiver les pisteurs en fonction des campagnes publicitaires, précise notre interlocuteur.
- Les données collectées par Météo-France
Météo-France collecte pour son compte les informations de géolocalisation – mais la transmission n’est pas cryptée, selon les résultats obtenus lors du test. Voilà ce qui en advient, selon les explications fournies à Mediapart : « Les fichiers contenant des informations de géolocalisation sont conservés 2 jours. Les informations ne sont accessibles qu’à des personnes identifiées et uniquement à des fins de diagnostic de problèmes ; au-delà de ces 2 jours, les informations sont agrégées et anonymisées. Elles ne contiennent donc plus de données personnelles ; concernant l’observation participative, laquelle a fait l’objet de deux déclarations auprès de la CNIL (en 2017 et 2018), nous recueillons des informations de géolocalisation, dégradées à une précision de 500 m. Ces informations sont conservées 5 ans à des fins de retour sur situation météorologique ancienne. »
- Les données collectées par Madvertise
La régie publicitaire de Météo-France – « sélectionnée à l’issue d’une procédure d’appel d’offres » – collecte l’identifiant publicitaire du téléphone et les données de géolocalisation. Le prestataire affirme dans sa politique de confidentialité qu’il collecte des « données indirectement identifiantes » qui « sont pseudonymisées par des clefs de cryptographie (chiffrement) quelques secondes après leur collecte ». La Cnil précise n’avoir « reçu aucune plainte concernant Météo-France et la société Madvertise ».
- Les données collectées par les « vendeurs autorisés »
Dans les réglages de confidentialité, l’application liste pas moins de 55 « vendeurs autorisés » (dont Madvertise) que l’on peut « accepter » ou « refuser » un à un ou d’un seul coup. En fait de vendeurs, il s’agit en réalité d’une liste d’acheteurs, les fameux « clients » : « Il s’agit des acheteurs actuels potentiels de notre régie publicitaire, via la publicité programmatique […]. Les données personnelles leur sont transmises en cas de consentement de l’utilisateur via le SDK de Madvertise Media. »
C’est-à-dire qu’en autorisant Météo-France à collecter la géolocalisation, et l’identifiant publicitaire, ces deux données seront potentiellement partagées avec 55 sociétés à travers le monde, « agréées IAB », précise Météo-France… C’est ce point de passage où les internautes perdent définitivement le contrôle de leurs données qui est dans le viseur des associations et des spécialistes de la confidentialité des données.
La transparence introuvable
Le marché de la publicité en ligne se partage en effet entre une kyrielle de sociétés de toutes tailles, réunies dans un lobby baptisé Interactive Advertising Bureau (IAB), et… Google et Facebook, concurrentes entre elles et de toutes les autres.
L’IAB propose sur son site un « Guide sur la traçabilité des flux programmatiques ». Dans un univers complexe « constitué d’une multitude d’acteurs interconnectés et agissant en cascade », « la traçabilité », écrit l’IAB, « constitue l’un des piliers de la confiance que doivent avoir les annonceurs et les éditeurs vis-à-vis de leurs clients, prestataires et partenaires ». La confiance dont il est question concerne pour un annonceur le fait de savoir que sa publicité a bien été vue par les bonnes personnes… et pour un éditeur que son espace a été vendu au meilleur prix. Il est peu de dire que pour les professionnels, comme pour les internautes, c’est plutôt l’opacité qui règne. Et conduit l’IAB à produire le schéma ci-dessous, intitulé « Limite usuelle de transparence »…
- Les données collectées par Facebook
« Le SDK de Facebook se met en marche automatiquement quand l’application est en fonction », explique Joel Reardon. Il récupère l’identifiant publicitaire des « mobinautes ». Souci : on n’en trouve nulle trace dans la politique de confidentialité de l’application, et notamment dans cette liste qui regroupe pourtant 55 noms.
« La liste des vendeurs ne comprend initialement que les vendeurs agréés IAB. Facebook ne fait pas partie de ces vendeurs agréés », précise Météo-France à Mediapart. L'établissement nous confirme au passage l’existence de « publicités fournies par Facebook sur l’application »… Dans quelles conditions ? « Le consentement actuel est bien demandé mais via l’application Facebook que le mobinaute a installée sur son smartphone/tablette », suggère Météo-France, qui promet : « Pour plus de clarté pour l’utilisateur, nous allons ajouter Facebook à la liste des vendeurs lors de la mise à jour très prochaine de notre application. »
C’est en fait le moyen utilisé par Facebook pour récupérer des informations sur des gens qui n’ont pas de compte Facebook, ou des infos qui vont être ajoutées à des comptes existants. « Dès que vous incluez un SDK Facebook dans une appli, il va collecter des infos », précise Exodus Privacy : « Par défaut, le fait que l’appli vient d’être lancée à telle heure, à tel endroit, avec tel identifiant publicitaire… »
- Les données collectées par Retency
Météo-France confirme la transmission de l’adresse MAC : « L’adresse MAC, destinée uniquement à la société Retency qui ne reçoit par ailleurs que cette donnée, est anonymisée systématiquement selon un procédé validé par la Cnil. »
À la question de savoir pourquoi l’utilisateur n’est pas informé de la transmission de cette donnée à Retency, voici la réponse de Météo-France : « Le traitement par la société Retency n’a pas lieu d’être regroupé avec ceux des autres vendeurs publicitaires car il ne nécessite pas le consentement de l’utilisateur, comme l’a établi la Cnil dans une délibération spécifique (délibération 2017-145 du 17 mai 2017). »
La délibération de la Cnil autorise la société Retency à collecter les adresses MAC des personnes… passant à proximité de panneaux publicitaires installés dans la gare de Dijon, afin d’en mesurer l’audience. Une autorisation que Retency a de nouveau sollicitée avec le même succès quelques mois plus tard.
Une double autorisation qui ne concerne donc pas l’application de Météo-France. Interrogée, la Cnil précise à Mediapart que Retency ne bénéficie pas « d’autres autorisations », car celles-ci ne sont plus nécessaires : « L’ordonnance no 2018-1125 du 12 décembre 2018 a supprimé le principe de l’autorisation préalable de la Cnil pour les dispositifs de mesure d’audience et de fréquentation dans les espaces publics prévus par l’article L. 581-9 du code de l’environnement. » Passez muscade. L'entreprise vient d'ailleurs d'installer ses capteurs à Toulouse et Paris, gare Saint-Lazare.
Reste que l’application Météo-France n’est pas un espace public…
Interrogée, Isabelle Bordry, cofondatrice de Retency, se prévaut pourtant de cette autorisation pour recueillir des données via l’appli de Météo-France, considérant que « l’espace public, c’est plus strict que l’appli ». Donc l’autorisation donnée pour le premier vaut pour la seconde…
Elle permet à l’entreprise de comparer « deux photos floues », selon la métaphore d’Isabelle Bordry : l’une où figurent des personnes qui ont vu telle pub dans leur téléphone, et l’autre les personnes détectées dans tel espace public, tel magasin. Des personnes assez nettes pour établir une correspondance, assez floues pour être anonymes, explique-t-elle : « On ne sait pas si c’est vous ou moi, on va dire “x % sont en commun” ». Bordry insiste sur le fait que la société ne fait que de la mesure d’audience et pas de « reciblage publicitaire ».
Comme elle nous l’a également confirmé, Retency collecte bien l’identifiant publicitaire (à l’insu, donc, de Météo-France, qui nous affirmait que Retency ne collecte « que » l’adresse MAC). Mais pourquoi collecter en plus cette adresse MAC jugée sensible par tous nos interlocuteurs ? « Parce que c’est ce qu’il y a de plus… » Isabelle Bordry ne finit pas sa phrase et poursuit : « Quand le téléphone est “on”, il y a l’adresse MAC qui est accessible » ; « C’est le lien entre un identifiant publicitaire et un appareil ».
De son côté, Météo-France reconnaît « qu’une information sur ce traitement spécifique [la présence du SDK de Retency – ndlr] devrait être mentionnée » et affirme à Mediapart qu’elle « sera rajoutée lors de la prochaine mise à jour des applications mobiles ».
Recettes en six mois : 1,2 million d’euros
- Les données collectées par Xiti
Pour Météo-France, « Xiti permet la mesure de l’audience des applications mobiles de Météo-France et n’a donc aucune raison de figurer » dans la liste des partenaires publicitaires. Soit. « L’autorisation de transmission des informations à la société Xiti est demandée dans la partie “Application Météo-France” >>> “Système de suivi des audiences et des crashs”. »
On peut encore une fois noter que Xiti utilise l’Android ID de préférence à l’identifiant publicitaire réinitialisable.
- Les données transmises sans consentement
Comme les tests réalisés pour Mediapart l’ont montré, l’identifiant publicitaire et la géolocalisation sont transmis à Madvertise même sans le consentement de l’utilisateur. Il s’agir « précisément », justifie Météo-France, « de pouvoir gérer le consentement. L’acceptation ou le refus du consentement sont en effet traités côté serveur publicitaire de notre prestataire régie. Ces données personnelles sont ensuite immédiatement détruites en cas de refus ; dans ce cas, le mobinaute reçoit une publicité non ciblée ».
Concernant l’Android ID transmis à Xiti, Météo-France ajoute qu’en cas « de refus de consentement sur la transmission totale des données, ce refus devient effectif lors du lancement suivant de l’application ».
Des revenus dérisoires
Dans le débat sur les données personnelles, quelques voix s’élèvent régulièrement pour suggérer que leurs détenteurs, considérés comme légitimes propriétaires, puissent les vendre eux-mêmes, ou au moins en tirer un revenu. Quel est le donc le prix de ces données… données à Météo-France, dont l’appli est utilisée par des millions de personnes ?
« Aucun revenu direct » n’est produit par les données en elles-mêmes, précise Météo-France. « En revanche », souligne l’établissement public, elles « permettent indirectement d’augmenter le niveau des recettes publicitaires générées par la commercialisation des espaces », en optimisant « le prix des publicités vendues ». De combien ? On ne le saura pas : « En l’état, il ne nous est pas possible quantitativement de connaître précisément l’apport de l’utilisation des données pour améliorer les prix de vente », reconnaît Météo-France.
L’établissement météorologique, dont les comptes sont auscultés chaque année à l’occasion de l’examen, au Parlement, des projets de loi de finances (voir ici et là), a transmis à Mediapart ses résultats pour le premier semestre 2019 : « Entre le 1er janvier 2019 et le 30 juin 2019, les recettes publicitaires générées par les applications mobiles de Météo-France (application grand public et application Météo Ski) se montent à 1 194 184,79 € hors commission. »
1,2 million d’euros sur six mois : tel est le prix des données personnelles cédées. « Pour l’exercice 2018 », ajoute Météo-France, les revenus générés par les applications mobiles « ont représenté 7,64 % des recettes commerciales totales (soit 0,6 % des ressources budgétaires de l’établissement) ».
Le 4 mars 2019, dans sa réponse au référé que lui avait adressé la Cour des comptes le 11 décembre 2018, Édouard Philippe invitait Météo-France (ainsi que l’IGN et le Cerema), à « redéfinir dans les plus brefs délais, et au plus tard à l’été 2019, son modèle économique et les conditions de son équilibre budgétaire » (voir doc /drop2019). C’est que « les données [météorologiques – ndlr] perdent continûment leur valeur marchande », explique le premier ministre, pointant une « fragilité économique » identifiée, selon lui, « indépendamment de la réduction de la subvention pour charge de service public ».
Météo-France comme l’IGN et le Cerema, avait noté la Cour des comptes, « sont depuis plusieurs années soumis à une forme d’injonction paradoxale : développer leurs ressources propres, notamment par la commercialisation des données, tout en procédant à leur diffusion gratuite » dans le cadre de l’open data. La loi du 7 octobre 2016 pour une République numérique dispose en effet que les données détenues ou produites par les administrations publiques (on parle toujours ici de la météo) doivent être ouvertes, accessibles au public et réutilisables gratuitement. Et c’est tant mieux.
Mais si les informations météorologiques ont perdu leur valeur marchande, ce n’est pas le cas des données personnelles, et ce sont celles-ci, qui ne lui appartiennent pas et qu’il ne produit pas, que Météo-France met donc en vente. Un phénomène de vases communicants, en quelque sorte. Au détriment du public, et pour des sommes dérisoires.
