Comment les applications mobiles partagent illégalement vos données personnelles

Comment les applications mobiles partagent illégalement vos données personnelles

Aujourd’hui, nuit a déposé trois plaintes en France contre la Fnac (le plus grand magasin d’électronique de France), l’application immobilière SeLoger et l’application de fitness MyFitnessPal. Les applications de l’entreprise accèdent illégalement aux données personnelles des utilisateurs et les partagent avec des tiers à des fins d’analyse sophistiquée dès l’ouverture des applications. Les utilisateurs n’ont même pas le choix de consentir ou d’empêcher le partage de leurs données. Cette approche est illégale.

Transmission par défaut. Le plaignant a installé les applications populaires MyFitnessPal, Fnac et SeLoger sur son smartphone Android. Une fois ouvertes, les applications ont immédiatement commencé à collecter et à partager des données personnelles, notamment l’identifiant publicitaire unique (AdID) de Google, le modèle et la marque de leur appareil et leur adresse IP locale avec des tiers. Une collecte de données aussi étendue permet de profiler les utilisateurs afin de leur montrer des publicités personnalisées et des campagnes marketing visant à augmenter les revenus des entreprises mentionnées.

Aucun consentement. En vertu de la directive ePrivacy, le simple accès ou le stockage de données sur le terminal de l’utilisateur n’est autorisé que si l’utilisateur donne son consentement libre, éclairé, spécifique et sans ambiguïté. Deux des trois applications mobiles n’affichaient pas de bannière de consentement lors du lancement de l’application. La troisième application présentait une bannière qui donnait théoriquement au plaignant le choix de donner ou de refuser son consentement. En réalité, la transmission de leurs données personnelles a commencé sans aucune interaction de leur part et avant même qu’ils aient eu la possibilité de réfléchir au consentement.

Ala Krinickyt, avocate en protection des données chez nuit: Chaque application a besoin du consentement pour vous suivre. Au lieu de cela, ils utilisent la collecte et le suivi des données par défaut. Contrairement au suivi sur les sites Web, les applications mobiles n’ont jusqu’à présent pratiquement pas été appliquées.

Suivi détaillé. Les informations telles que l’AdID sont uniques et liées à l’appareil d’une personne spécifique. Cela permet aux annonceurs et à d’autres tiers de distinguer les utilisateurs et de cibler les utilisateurs à l’avenir. Certains fournisseurs d’applications suivent même le comportement des utilisateurs en dehors de leurs applications. Cela leur permet d’enrichir les données collectées avec encore plus d’informations sur la vie des utilisateurs.

Premier résultat d’une enquête plus large. La manière dont ces applications gèrent les données de leurs utilisateurs est symptomatique d’un problème plus large dans l’environnement des applications mobiles. Bien que ces applications comptent souvent des millions d’utilisateurs, elles ne se soucient pas de se conformer aux lois européennes sur la confidentialité mais partagent des données privées avec des tiers (y compris des courtiers publicitaires) afin de monétiser les données de leurs utilisateurs. Selon une étude de Konrad Kollnig et d’autres, seulement 3,5 % de toutes les applications donnaient aux utilisateurs la possibilité de refuser leur consentement.

Ala Krinickyt, avocate en protection des données chez nuit: La collecte et le partage illégaux des données personnelles des utilisateurs constituent un problème répandu dans l’environnement des applications mobiles. Il est essentiel que les autorités de contrôle prennent désormais les mesures appropriées pour mettre fin à cette pratique.

Analyse des violations de la confidentialité des applications mobiles. Afin d’obtenir des preuves des violations susmentionnées, une analyse technique du trafic réseau des applications pour smartphones était nécessaire. La capture et l’analyse du trafic réseau ont été réalisées à l’aide de la suite d’outils PiRogue développée par la Defensive Lab Agency. Vous pouvez trouver la méthodologie détaillée ici.

Suppression des données et éventuelle amende. nuit demande à la CNIL d’ordonner à MyFitnessPal, Fnac et SeLoger de supprimer toutes les données ayant fait l’objet d’un traitement illicite. En outre, tous les destinataires des données du plaignant doivent être informés que le plaignant a demandé la suppression de tout lien, copie ou réplication de ses données personnelles. Compte tenu de la gravité des allégations et du nombre potentiellement important de personnes concernées, nuit suggère également que l’autorité compétente inflige une amende. Ces plaintes ne sont qu’un début : nuit envisage de déposer davantage de plaintes contre les sociétés d’applications mobiles à l’avenir afin de mettre fin au partage illégal des données des utilisateurs.

Remerciements

• La capture et l’analyse du trafic réseau ont été réalisées à l’aide de la suite d’outils PiRogue développée par la Defensive Lab Agency.
• Le Dr Konrad Kollnig a apporté ses connaissances et son expertise approfondies sur le thème du suivi dans les applications mobiles.
• Tracking Weasel a apporté des informations précieuses sur le sujet des bibliothèques de trackers et du suivi dans les applications mobiles.