Lumières sur la sécurité

mardi 26 janvier 2021

Il y a un peu plus d’un an (précisément, en Décembre 2019), les médias ont largement diffusé une news disant que l'éditeur Avast vendait à des tiers des informations récoltées par ses produits au moins depuis 2013. Il s'agissait notamment de données relatives au comportement des utilisateurs sur le Web. La société elle-même ne l'a pas nié mais elle s'est prononcée à ce propos en disant qu'il n'y avait aucune violation de la confidentialité car les informations vendues étaient impersonnelles.

Selon les dires des médias, des données comme les requêtes de recherche, coordonnées GPS, informations sur l'affichage de contenu sur YouTube, sur les sites visités, y compris LinkedIn, ont été récoltées puis vendues, notamment, à Google, Microsoft et Pepsi.

Est-ce qu’Avast avait le droit de le faire ? Oui. Conformément au Contrat de licence, Avast a le droit " de partager vos informations avec des partenaires du fournisseur, notamment, avec les fournisseurs de la plateforme d'e-commerce, les acteurs qui traitent les paiements, les prestataires de services et les prestataires analysant les données sur les achats et les terminaisons anormales de la solution ". Une fois les termes du contant avec Avast acceptés, " Vous confirmez également que le fournisseur ou bien qu’un représentant du groupe de fournisseurs peut échanger des données généralisées et anonymisées avec des tiers à des fins d'analyse des tendances ".

Le scandale est mort tranquillement, mais pas le contenu du contrat de licence, qui ne change pas. Les utilisateurs sont toujours d'accord pour que leurs données soient disponibles pour des échanges anonymisés. En fait, il n'y a rien d'étonnant, car si vous ne payez pas un produit, il est logique de penser que son propriétaire utilise un autre moyen pour gagner de l'argent. Par exemple, en vendant des données utilisateurs.

Comment la récolte et la diffusion de données peuvent-elles menacer l'utilisateur ?

Envisageons la récolte de données. Contrairement à la société Doctor Web, qui ne collecte jamais les fichiers des utilisateurs, certains éditeurs antivirus déclarent une telle fonctionnalité directement dans leur contrat de licence. Ils le justifient par la nécessité d'obtenir des informations relatives à de nouvelles menaces. Il parait qu'il n'y a rien de préjudiciable. Mais il est à noter que les données envoyées au serveur d'un tel éditeur antivirus peuvent contenir vos photos personnelles, vos documents ou d'autres données personnelles ainsi que des informations sur les ressources que vous avez visitées et des fragments de correspondance électronique. Le simple fait de récolter de l'information sur les pages web visitées n'est pas souhaitable aux yeux des internautes. Tout le monde n’est pas d’accord pour partager ses intérêts personnels. Personne ne peut jamais garantir qu’une personne travaillant pour un éditeur ne sera jamais intéressé (même par pure curiosité ou ennui) par des faits concernant les utilisateurs.

La transmission de données à des tiers pose également des questions. Il est déclaré que les données sont transmises sous forme anonymisée, et qu'il est impossible d'identifier l'utilisateur d'après les données transmises. Mais tout dépend des possibilités de celui qui s’y intéresse.

Les technologies ADINT (advertising intelligence) permettent à des tiers d’accéder aux données collectées par l’écosystème publicitaire, d’identifier des utilisateurs uniques et de suivre ensuite leurs déplacements à travers le monde.

Voici un exemple de la vente de données : le commandement américain des opérations spéciales (USSOCOM) achète des données de localisation géographique des utilisateurs d'appareils mobiles. Naturellement, il s'agit de données impersonnelles. Mais, il semble qu'il existe des fonctionnalités qui permettent de désanonymiser complètement un utilisateur particulier. A titre d'exemple, nous avons la société X-Mode qui surveille au moins 40 000 000 d'appareils dans le monde. Ainsi, le SDK de X-Mode a été inséré dans une série d'applications de rencontre xxxx Social, dont l'appli Russia Social avec plus de 100 000 installations.

#législation #responsabilités #données_personnelles #contrat_de_licence #antivirus #securité