Les dossiers du RGPD : ce que Mark Zuckerberg sait sur toi

Le règlement général sur la protection des données de l'Union européenne, ou RGPD (GDPR), est la régulation de la vie privée la plus complète au monde. Si tu es ici, tu sais probablement déjà qu'il te permet même de demander une copie de toutes les données qu'une entreprise détient sur toi. Mais est-ce que tu as déjà essayé toi-même ? Si tu veux le faire, voici quelques-unes des surprises que tu pourrais trouver.

Cet article est découpé en trois parties, chacune sur l'un des trois niveaux de collecte de données. Plus on descend le long de cet « iceberg de données », moins les moyens de collecte et les finalités de chaque information sont transparents.

Niveau 1 : les données que tu donnes

La pointe de l'iceberg : Facebook et Google savent tout ce que tu leur dis explicitement sur toi. Ça inclut en général au moins ton nom, ton adresse e-mail et ta date de naissance. Certains utilisateurs choisissent pourtant de donner tout un tas d'informations en plus, bien au-delà de ce dont les plateformes ont besoin pour fournir leurs services. Adresses, infos professionnelles, ou même situation amoureuse : tout ça est assez courant sur des plateformes comme LinkedIn ou Facebook.

Ce type d'information figure d'habitude sur ton profil, ou tu peux le voir et le modifier dans les paramètres du site. Les détails plus sensibles, comme ta date de naissance ou ton adresse, restent souvent privés par défaut. Une grande partie de ce que tu as fourni peut en revanche être publique, selon tes réglages de confidentialité.

Niveau 2 : les données collectées

Ça ne surprendra personne que les plateformes internet stockent et utilisent les données que tu leur donnes. Les choses deviennent beaucoup moins transparentes quand on parle des données qu'elles collectent à partir de tes activités et de ton usage des applis. Tout ce que tu cherches, cliques ou regardes est stocké. La plupart des services de navigation conservent aussi tout ton historique de localisation. Mon cofondateur Jakob a récemment regardé ses données Google Maps : le service avait enregistré environ 38,8 millions de lignes de données GPS. Si tu les imprimais, ça ferait plus de 1 000 livres aussi épais que la Bible.

Et ce n'est pas tout. Tu savais que beaucoup de services suivent tout ce que tu fais sur leur site, même si tu ne cliques sur rien ? Les données qui en sortent servent souvent à optimiser l'ergonomie d'un site, ou à voir quel type de contenu tu regardes le plus longtemps. Voilà à quoi ça ressemble quand on active les relectures de session dans notre outil d'analytics (PostHog). Tu regardes Jakob essayer de s'inscrire à notre newsletter pour la deuxième fois, parce qu'elle est juste trop bien. Regarde-le faire !

Certains outils d'analytics enregistrent aussi ce que tu tapes dans un champ de texte, même si tu n'appuies pas sur un bouton pour l'envoyer. Fais donc attention avant de saisir des mots de passe ou des informations sensibles dans des champs qui ne sont pas explicitement marqués comme champs de mot de passe, ou sur un site auquel tu ne fais pas confiance.

Les entreprises utilisent ce type d'information pour améliorer leurs services, comprendre ce que tu aimes, et te servir des pubs personnalisées. Pour les utilisateurs, en revanche, y accéder n'est en général pas aussi simple. Tu peux souvent voir un résumé de certaines informations collectées, comme les réactions, les commentaires ou ton historique de recherche. D'autres restent cachées. C'est là que l'UE et le règlement général sur la protection des données (RGPD) entrent en jeu. Le RGPD te permet de demander une copie de tes données. C'est-à-dire chaque information qui peut être rattachée à toi. Ça inclut la plupart des types de données collectées.

Demander ces informations peut être un peu plus lourd, et prendre plusieurs jours (au titre du RGPD, les entreprises ont 30 jours pour s'exécuter). Les données doivent être fournies dans un format lisible par machine, comme un fichier JSON. Ça ferait sans doute un roman qu'on ne lâche plus si tu t'appelles C-3PO. Les humains, eux, ont en général du mal à y prendre du plaisir. Tu ne vas pas regarder des uns et des zéros, mais quand tu parcours 38,8 millions de lignes de coordonnées GPS brutes, c'est tout comme.

Imaginons quand même que tu aies déjà demandé une copie de tes données à un service comme Facebook ou Google. Voici quelques éléments qui peuvent encore valoir le détour. Facebook garde par exemple trace de ta localisation la plus récente (last_known_location.json), des achats faits via leur appli (payment_history.html), et des pubs que tu as regardées.

Tu t'es déjà demandé pourquoi tu te mets parfois à voir, sur Facebook, des pubs pour des articles que tu as regardés sur un tout autre site ? Dans advertisers_using_your_information.html, Facebook liste toutes les entreprises qui utilisent tes informations personnelles pour te cibler avec des pubs. Ces entreprises ont déjà des informations sur toi dans ce qu'on appelle des listes d'audience, qu'elles ont collectées ou achetées elles-mêmes. Par exemple, le fait que tu aies regardé un article sur leur site. Facebook croise ensuite ces informations avec les siennes pour rendre les pubs encore plus hyper-personnalisées. Chez moi, cette liste fait environ 120 entreprises, et elle inclut divers courtiers en données.

Et il y a plus. J'ai récemment demandé une copie de mes données à Payback, le programme de fidélité du commerce de détail détenu par Master Card. J'ai reçu l'intégralité de mes achats en magasin, faits avec ma carte de fidélité, plus un historique détaillé de chaque fois où je me suis approché d'un de leurs magasins partenaires. Ou tu essaies de te rappeler quelle chanson tu écoutais le 9 mai 2022 à 6 h 28 ? Pas d'inquiétude, Spotify a ça : un historique d'écoute complet.

Les quelques exemples ci-dessus ne font qu'effleurer la surface des données collectées qui peuvent exister sur toi. Le volume de données d'usage que les entreprises collectent est énorme. Rien que le dossier de mes informations issues de certains services Google contient 3,7 Go de données brutes, stockées dans plus de 5 000 fichiers distincts.

Savoir que tu as mangé une boîte entière de 20 Chicken McNuggets un mercredi soir à 1 h 35 ne va pas, à lui seul, rapporter à Mark Zuckerberg 270 $ de revenu annuel moyen par utilisateur. Les entreprises utilisent plutôt ces informations pour faire des inférences sur toi, bien plus utiles pour elles. On arrive à la partie la plus profonde de l'iceberg de données, là où l'eau est trouble et où la lumière passe rarement...

Niveau 3 : les données inférées

C'est là que ça devient vraiment intéressant. Le stockage de données n'est pas gratuit, et les entreprises tech ne collecteraient pas des gigaoctets d'informations sur toi si elles ne pensaient pas que ça servirait un jour. La vérité, c'est qu'elles ont besoin de ces masses de données pour les analyser. Les résultats peuvent servir à améliorer certains services, ou à te ranger dans des groupes pour de la publicité ciblée ou des suggestions de contenu.

Par exemple, en plus de ton historique de localisation détaillé, Google utilise aussi la vitesse à laquelle tu te déplaces, et tout un tas d'autres facteurs, pour deviner quel mode de transport tu utilises. Il fait aussi des hypothèses sur l'itinéraire et l'horaire de ton trajet quotidien.

Les données que Meta fournit au titre du RGPD contiennent aussi une liste de tes centres d'intérêt inférés, pour le contenu (par exemple your_topics.json pour Instagram) et pour la publicité (par exemple ads_interests.html pour Facebook). Instagram pense que je suis dans la nourriture, les destinations de voyage et le design d'intérieur, ce qui est assez juste. En revanche, on m'a aussi collé la catégorie Insectes et vers, un passe-temps que je n'ai pas encore découvert.

Si un utilisateur s'intéresse à la politique américaine, Facebook peut même faire des hypothèses sur son affiliation politique, qui apparaissent aussi ici. Les annonceurs peuvent s'en servir pour montrer du contenu ciblé politiquement.

En revanche, si tu lances une campagne politique pour convaincre les gens de voter pour toi, les catégories fournies par Facebook peuvent être un peu trop grossières. Il y a une solution. Tu te souviens des listes d'audience, celles qui permettaient aux entreprises de croiser leurs propres données avec celles de Facebook ? En 2018, Facebook a eu des ennuis pour avoir laissé un cabinet de conseil politique, Cambridge Analytica, faire exactement ça.

CA a utilisé des profils psychologiques d'utilisateurs obtenus via un questionnaire, et les a croisés avec des données sur leurs amis Facebook, pour cibler des électeurs indécis et leur montrer du contenu qui discréditait l'adversaire de leur client. L'efficacité globale de la campagne reste incertaine, mais elle illustre l'une des nombreuses façons dont des entreprises et des acteurs politiques peuvent combiner les outils déjà cités avec une analyse de données puissante, et s'en servir à leur avantage.

Et ce n'est pas tout. Quand les entreprises n'utilisent pas leurs 1 000 bibles de tes informations personnelles pour influencer ton vote, ou pour décider si tu es plutôt insectes ou plutôt vers, elles peuvent devenir assez créatives.

Par exemple, les agences de notation de crédit (comme la SCHUFA en Allemagne) utilisent les données personnelles qu'elles obtiennent auprès d'établissements financiers pour calculer ton score de crédit, que les banques achètent ensuite pour estimer la probabilité que tu fasses défaut sur un prêt. Comme ton score de crédit est évidemment rattaché à toi en tant que personne, tu as aussi le droit de le demander gratuitement au titre du RGPD (même si les agences aimeraient te faire croire le contraire).

Selon plusieurs sources, la plateforme de rencontres Tinder calculait autrefois quelque chose de proche d'un score de crédit, sauf qu'elle notait l'attractivité de ses utilisateurs pour les mettre en relation avec des personnes d'un attrait comparable. L'entreprise affirme avoir abandonné cette métrique il y a quelques années, au profit d'un système plus dynamique. Tu ne pourras donc pas la voir en faisant une demande au titre du RGPD.

Reprendre la main sur tes données

Le RGPD est un outil incroyablement puissant pour te donner le contrôle des masses de données collectées par les Big Tech. Pouvoir accéder à ces données, les comprendre, et décider de ce qu'il en advient, est un grand pas pour protéger la vie privée et permettre à chacun de décider en connaissance de cause de son empreinte numérique.

Pourtant, accéder à tes données ou les supprimer peut être si décourageant que la plupart des gens choisissent de ne pas s'y coller. Et quand tu obtiens une copie, les informations fournies par les entreprises sont en général dans des formats lisibles par machine, comme le JSON. Autant le dire : ce n'est pas exactement agréable à lire pour la plupart d'entre nous. C'est là que Datapods intervient.

On a construit Datapods pour être ton allié numérique, et te donner le pouvoir de voir, gérer et même partager tes données de façon sûre et simple. Pense à un grand rangement de ta vie numérique, qui te remet au volant. Datapods, c'est rendre le monde complexe des données plus simple à utiliser, et remettre le contrôle là où il doit être : entre tes mains.