Google jure à gauche et à droite qu'il ne vend pas d'informations personnelles. "Nous ne vendons pas vos données" est presque leur mantra aujourd'hui. Mais est-ce vrai ? Oui, et non. Les mots peuvent servir à clarifier les choses ou à les obscurcir, et c'est ce que fait Google.
- Google ne vend pas vos données. Pas exactement...
- Que fait Google de ces données ?
- Conclusions
- Pourquoi cela me préoccupe-t-il ?
Google ne vend pas vos données. Pas exactement...
Dans le langage courant, la vente consiste à donner quelque chose en échange d'une autre chose de valeur. Cette définition est assez proche de la plupart des définitions juridiques de la vente. En ce sens, il est vrai que Google ne vend pas vos données. Google n'est pas un courtier en données : une entreprise ne peut pas payer Google pour acheter des courriels ou des adresses IP. Toutefois, en matière de protection de la vie privée, il ne suffit pas de ne pas vendre vos données.
Google monétise les données personnelles d'autres manières, dont certaines impliquent la divulgation de données personnelles à des tiers. L'un de ces moyens est le système d'enchères en temps réel (RTB) qui fait fonctionner Google Adsense.
Les protocoles RTB sont complexes, et je ne peux qu'en effleurer la surface ici. Si vous êtes intéressé, Brave propose une vidéo détaillée expliquant le fonctionnement du RTB.
En résumé, un site web met des espaces publicitaires à la disposition des annonceurs par l'intermédiaire de Google Adsense. Plusieurs annonceurs soumissionnent pour les mêmes espaces publicitaires chaque fois qu'un visiteur charge une page, dans le cadre d'une enchère automatisée en temps réel. Cette enchère en temps réel implique la divulgation de données personnelles aux annonceurs afin de mieux adapter leurs publicités.
Par exemple, supposons que Google découvre que vous aimez les guitares - que ce soit grâce à Google Analytics, aux données de Google Maps, à vos recherches sur Google, etc. Lorsque vous visitez un site web utilisant Google Adsense, un appel d'offres en temps réel pour des espaces publicitaires est lancé et Google indique aux annonceurs que vous aimez les guitares. Cela permet aux annonceurs de déterminer la valeur d'un espace publicitaire et de décider du type d'annonce à diffuser (ce visiteur aime les guitares, alors montrons-lui des guitares plutôt que des pianos ou des tambours).
Cela semble assez inoffensif, mais ce n'est pas le cas. Le profilage repose sur la collecte de milliers de données vous concernant, notamment vos recherches sur le web, les sites web que vous avez visités et vos données de localisation. Cela permet de faire des prédictions précises sur votre personnalité, votre comportement et bien d'autres choses encore. Vous ne verrez peut-être pas de publicités pour des médicaments ou des jouets sexuels, mais cela ne signifie pas que Google ne peut pas deviner votre état de santé ou vos penchants sexuels sur la base des données dont il dispose.
Si vous surfez sur l'internet, il y a de fortes chances que vos données personnelles soient vendues aux enchères des dizaines, voire des centaines de fois par jour. Vos données sont divulguées à tous les annonceurs participant à chaque vente aux enchères, et pas seulement au gagnant. En fait, certains courtiers en données participent aux enchères dans le seul but de recueillir le plus de données possible. Cela leur permet d'établir votre profil et de vendre les informations au plus offrant. En effet, Google n'a aucun contrôle sur ce qu'il advient de vos données une fois qu'elles ont été divulguées.
C'est ce qui arrive aux données de millions de personnes chaque jour, comme l'explique ce document du Conseil irlandais des libertés civiles.
Mais l'enchère en temps réel n'est pas une vente, car personne ne paie pour les données. Les annonceurs achètent des espaces publicitaires et Google reçoit sa part. Des données personnelles sont divulguées au cours du processus, mais ce n'est pas pour elles que les annonceurs paient.
D'une certaine manière, Google peut affirmer qu'il ne vend pas vos données. Mais du point de vue de la protection de la vie privée, le fait que le RTB soit une vente ou non n'a pas d'importance.
Soyons clairs : Google n'est pas la seule entreprise à agir de la sorte. Les protocoles RTB sont la norme pour tous les grands acteurs du marché de la publicité sur le web. Mais Google est l'acteur dominant de ce marché et détient donc une grande part de responsabilité. En insistant sur la notion de vente dans ses déclarations fallacieuses, l'entreprise détourne intentionnellement l'attention du public des méthodes irresponsables qu'elle utilise pour gagner beaucoup d'argent en divulguant d'énormes quantités de données personnelles.
Que fait Google de ces données ?
Google se qualifie de responsable du traitement des données pour Google Ads ainsi que pour d'autres services. En vertu du GDPR, l'entreprise ne traite pas seulement les données personnelles pour fournir le service au client (c'est-à-dire le site qui utilise Google Ads). Google peut utiliser les données à ses propres fins, notamment pour alimenter ses services publicitaires, développer de nouveaux produits et former des modèles d'intelligence artificielle.
Heureusement, Google n'est pas toujours le responsable du traitement des données. Par exemple, Google est un processeur de données pour les clients de l'UE qui interagissent avec Google Analytics, ce qui lui permet d'utiliser les données des visiteurs de manière plus limitée.
Bien entendu, vous pouvez refuser les cookies de Google Analytics. Mais Google peut toujours vous suivre sans eux. Pensez à toutes les données personnelles que Google recueille à partir des recherches Google, de Google Maps, de Youtube, des API de Google et des identifiants publicitaires des appareils Android.
En fin de compte, la politique de confidentialité et les pratiques de collecte de données de Google pour un service spécifique n'ont pas beaucoup d'importance. L'ensemble de l'écosystème des services Google fournit à l'entreprise d'énormes quantités de données, dont la plupart sont utilisées pour la publicité en ligne.
Conclusions
Les problèmes de confidentialité liés aux produits Google ne s'arrêtent pas là, loin s'en faut. Les appareils Android suivent les utilisateurs par défaut avec des identifiants publicitaires (ce qui est invasif et probablement illégal en vertu du GDPR). Android suit également tous les appels et les messages sans fournir d'informations sur le suivi, ni demander le consentement, ni même proposer une option de refus. Et nous avons récemment expliqué comment l'entreprise a modifié l'url de Google Maps pour étendre l'autorisation de localisation à l'ensemble du domaine https://www.google.com sur leurs navigateurs.
Google est constamment à la recherche de moyens pour collecter autant de données que possible et les transformer en autant d'argent que possible.
Google vend-il donc vos données ? Je laisse cette question ouverte à l'interprétation.
Pourquoi cela me préoccupe-t-il ?
Je crois en un web indépendant et convivial pour les visiteurs des sites web. C'est la raison pour laquelle j'ai construit une alternative à Google Analytics respectueuse de la vie privée, qui ne collecte aucune donnée personnelle et n'utilise pas de traceurs ou de cookies. Si vous vous sentez concerné, n'hésitez pas à l'essayer.