Mettre une fin à l’illusion : Les organismes de réglementation doivent protéger par défaut les renseignements personnels des utilisateurs

Cette page Web a été archivée dans le Web

L’information dont il est indiqué qu’elle est archivée est fournie à des fins de référence, de recherche ou de tenue de documents. Elle n’est pas assujettie aux normes Web du gouvernement du Canada et elle n’a pas été modifiée ou mise à jour depuis son archivage. Pour obtenir cette information dans un autre format, veuillez communiquer avec nous.

Archivée

Cette page Web a été archivée dans le Web.

Chris Soghoian
Centre de recherche appliquée sur la cybersécurité, Université de l’Indiana

Ce document a été commandé par le Commissariat à la protection de la vie privée du Canada dans le cadre de la série de conférences Le point sur la vie privée

Décembre 2010

Avis de non-responsabilité : Les opinions exprimées dans ce document sont celles de l’auteur. Elles ne reflètent pas nécessairement celles du Commissariat à la protection de la vie privée du Canada.

Vidéo connexe : Le point sur la vie privée - Chris Soghoian et Jesse Hirsh

---

Si vous écoutez les cadres de l’industrie de la publicité en ligne, les organismes d’agrégation de données, les sites de réseautage social et de courriel Web soutenus par la publicité, les consommateurs sont extrêmement futés. Selon ces cadres, les consommateurs savent comment supprimer des témoins,^{Note de bas de page 1} et gérer les paramètres de confidentialité de leur navigateur pour les protéger contre les fuites organisées de données par les en-têtes référents, les attaques par reniflage de l’historique CSS et les supertémoins.^{Note de bas de page 2} Les consommateurs lisent des centaines de politiques de protection de la vie privée émises par des réseaux de publicité et ne se désabonnent que des réseaux de publicité et des organismes d’agrégation de données dont les politiques révèlent des pratiques problématiques. Les consommateurs sont conscients des risques inhérents à la navigation non protégée sur le Web (HTTP) lorsqu’ils utilisent des réseaux Wi-Fi publics, et ils recherchent et activent les options SSL très peu documentées des services qu’ils utilisent régulièrement.^{Note de bas de page 3} Finalement, ils nous disent que les consommateurs personnalisent leurs paramètres de protection de la vie privée sur les réseaux sociaux et qu’ils ne font aucune erreur dans le processus.

Ce consommateur qui maîtrise la technologie n’existe pas, même pas parmi ceux qui travaillent dans les services informatiques, les bureaux de réglementation de la vie privée du gouvernement, ou même les cabinets de publicité.

La plupart des utilisateurs d’Internet ne comprennent pas ce que sont les témoins, n’ont jamais entendu parler de témoins Flash, de supertémoins, d’en-têtes référents, ou de reniflage de l’historique CSS. Ils n’ont probablement jamais essayé de modifier les paramètres de confidentialité de leur navigateur, n’ont jamais entendu parlé d’une politique de protection de la vie privée (et pensent probablement que le simple fait qu’un site ait une politique sur la protection de la vie privée signifie qu’il protège bien leurs données), ne se sont jamais désabonnés d’un réseau de publicité comportementale (et ne pourraient probablement pas en nommer un, si on le leur demandait), n’ont aucune idée des risques que comporte le fait de vérifier leur compte Facebook ou Hotmail chez Starbucks, même après le lancement de Firesheep.^{Note de bas de page 4} Finalement, s’ils avaient essayé de personnaliser les paramètres de protection de la vie privée de leur compte Facebook, ils auraient probablement fait plusieurs erreurs dans le processus, et sûrement cru que leurs données étaient mieux protégées qu’elles ne le sont en réalité.^{Note de bas de page 5}

Si le consommateur moyen connaissait un tant soit peu l’existence de ces nombreux outils, des modules d’extension au navigateur et des options pour protéger leur vie privée, beaucoup seraient impressionnés – cependant, la plupart ne savent même pas que ces options existent, et n’ont pas perdu de temps à les chercher, parce qu’ils n’ont aucune idée des menaces qui les guettent. Lorsque les gens pensent aux problèmes de protection de la vie privée sur Facebook – ils pensent à leurs parents, leur ex‑petit ami ou aux employés qui voient leurs articles sur leur page privée, pas aux courtiers en données comme Rapleaf qui montent des dossiers qu’ils vendent pour quelques dollars à n’importe quel acheteur intéressé.^{Note de bas de page 6} De même, le seul préjudice auquel la plupart des consommateurs s’attendent au Starbucks, c’est le prix exorbitant d’un latte, pas la possibilité de piratage de leur compte de courriel ou de réseautage social par un pirate informatique.

Comme l’explique bien le point suivant, si les cadres des principaux sites Web comme MSNBC, The Huffington Post et Dictionary.com n’ont aucune idée de ce que sont des témoins de suivi insérés sur leur propres sites Web,^{Note de bas de page 7} comment pouvons-nous raisonnablement nous attendre à ce que les consommateurs comprennent la pratique?

Il est temps que les organismes de réglementation du gouvernement arrêtent d’entretenir cette illusion liée aux politiques de protection de la vie privée que personne ne lit et les options d’exclusion que personne n’utilise. Les consommateurs n’ont pas besoin de savoir comment faire un changement d’huile pour conduire une voiture et ils ne devraient pas avoir à savoir comment modifier quelques paramètres obscurs de leur navigateur afin de naviguer en sécurité sur le Web. Les organismes de réglementation doivent s’assurer que les consommateurs reçoivent une protection complète de leur vie privée, par défaut.

Pour ce faire, je crois qu’il faut transformer les navigateurs Web en des technologies efficaces renforçant la protection de la vie privée. Les navigateurs Web contrôlent déjà le stockage et la transmission des témoins, des supertémoins et des en-têtes référents. De même, les navigateurs intègrent déjà de nombreuses options et paramètres de configuration et quand ils sont correctement utilisés, ils restreignent de façon importante la mesure à laquelle les consommateurs peuvent être secrètement suivis en ligne.

Malheureusement, aucun des navigateurs ne protège la vie privée efficacement par défaut en ce moment. Cet état de choses est dû, au moins pour Chrome et Internet Explorer, au fait que ces logiciels sont créés par des réseaux de publicité en ligne dont les profits seraient touchés si les utilisateurs ne pouvaient faire l’objet d’un suivi.

Un exposé du Wall Street Journal publié plus tôt cet été portait sur les délibérations internes sur la fonction de Filtrage InPrivate d’Internet Explorer, qui, lorsqu’elle est activée, bloque l’accès aux nombreux serveurs tiers, y compris les réseaux de publicité comportementale.^{Note de bas de page 8} Comme l’a révélé le journal, la division de la publicité en ligne de Microsoft a forcé l’équipe chargée d’Internet Explorer de désactiver cette fonction par défaut, ce qui par la suite, oblige les utilisateurs à la réactiver chaque fois qu’ils redémarrent le navigateur. Étant donné que la plupart des utilisateurs ne changent jamais les paramètres par défaut de leurs logiciels, les répercussions réelles de cette décision a été d’exposer des millions de consommateurs au suivi en ligne par des entreprises de publicité comportementale, y compris la division Atlas Solutions de Microsoft, qui n’aurait pas pu le faire si la fonction avait été activée par défaut.

Bien sûr, Microsoft et Google pourraient modifier leur navigateurs Web afin qu’ils bloquent tous les réseaux de publicité autres que les leurs. Une telle mesure empêcherait la plupart des formes de suivi, tout en protégeant les marges de profit respectives des entreprises (et même en les augmentant probablement, puisque les dollars de publicité seraient transférés à leurs propres réseaux). Cependant, cette mesure pourrait soulever des enjeux antitrust importants – et nous restons donc avec la situation actuelle, dans laquelle les consommateurs sont exposés à un suivi silencieux par des centaines de réseaux de publicité différents.

Afin de s’assurer de protéger les consommateurs de diverses formes de suivi en ligne, les organismes de réglementation de la protection de la vie privée devraient obliger les principaux fournisseurs de navigateurs à modifier leurs produits. Je recommande, au minimum, ce qui suit :

• Les sites de tierces parties ne devraient pas pouvoir faire le suivi des utilisateurs sur les différents sites et lors de multiples séances de navigation. Les fournisseurs de navigateurs devraient soit bloquer par défaut les paramètres et la transmission des témoins et des supertémoins au site d’une tierce partie,^{Note de bas de page 9} soit les bloquer « à double tour » aux domaines de première et troisième parties, de façon à ce qu’ils ne puissent plus les utiliser pour suivre les utilisateurs sur les différents sites de première partie.^{Note de bas de page 10}
• Les témoins Flash, et les Flash eux-mêmes, ne devraient jamais obtenir un laissez-passer gratuit. Les organismes de réglementation devraient tenir Adobe responsable pour la faible protection de la vie privée par défaut de son module externe de navigation qui est très répandu. Les sites de tiers ne devraient pas pouvoir régler des témoins Flash, et ce, jusqu’à ce que les témoins Flash puissent être contrôlés, examinés et supprimés par les navigateurs, tous les témoins Flash devraient expirer après une période de temps raisonnable (car ils durent actuellement pour toujours).
• Les en-têtes référents ne devraient plus transmettre l’adresse URL complète de la dernière page visitée par un utilisateur qui se connecte au site d’une tierce partie.^{Note de bas de page 11} Les propriétaires de sites Web n’ont aucun droit légal de connaître les termes recherchés par les visiteurs sur leur site Web, et il est temps de protéger les consommateurs d’une pratiques à laquelle les moteurs de recherche participent de façon proactive et volontaire. Le fait de couper des en-têtes référents des sites de tierces parties tout ce qui se trouve après la barre oblique éliminerait la fuite des requêtes des moteurs de recherche et le partage des identificateurs des réseaux sociaux en ligne qui ont récemment fait l’objet de reportages importants et de poursuites par des cabinets de recours collectifs.
• Les fournisseurs de navigateurs doivent suivre les traces de Chrome et intégrer des mises à jour automatiques transparentes des correctifs de sécurité.^{Note de bas de page 12} Les consommateurs ne devraient pas avoir à cliquer sur les dialogues agaçants (qu’ils ont été formés pour ignorer) pour recevoir une protection contre les menaces à la sécurité. Tous les fournisseurs de navigateurs et de plugiciels populaires comme Flash et PDF Reader d’Adobe doivent adopter ce modèle. Les consommateurs ne peuvent se protéger des réseaux de publicité malveillants qui abusent des défauts des navigateurs au niveau de la protection de la vie privée à moins de faire tourner des logiciels à jour.^{Note de bas de page 13}

L’industrie de la publicité comportementale dépend de l’ignorance très répandue des consommateurs des pratiques auxquelles participent ces entreprises : faire le suivi des utilisateurs sur le Web, monter des dossiers détaillés sur leurs activités de navigation et les combiner aux profils achetés des courtiers de données. Pendant trop longtemps, ces entreprises ont profité de l’ignorance des consommateurs et de l’état lamentable des outils de protection de la vie privée auxquels ils ont accès. Ce que ces entreprises ont fait de mieux est d’offrir des mécanismes d’exclusion pathétiques et très mal conçus lorsque la menace des organismes de réglementation est apparue à l’horizon et d’adopter de vagues cadres d’autoréglementation comportant des lacunes et difficiles à comprendre qui n’interdisent que les plus abominables des pratiques.

La protection de la vie privée par défaut aura vraisemblablement des répercussions sur l’industrie de la publicité et sur sa capacité à atteindre les consommateurs. L’industrie s’est adaptée aux changements technologiques par le passé et elle s’adaptera certainement à la protection de la vie privée par défaut. Les organismes de réglementation doivent mettre la priorité sur la protection de la vie privée des consommateurs et s’assurer que les outils que les consommateurs utilisent pour naviguer sur le Web les protègent au lieu de faciliter intentionnellement et furtivement le suivi en ligne.