Hier, la CNIL a déclaré illicites les activités de deux start-ups françaises, Teemo et Fidzup, qui géolocalisent des millions de personnes à des fins publicitaires et sans leur consentement. Elles ont trois mois pour cesser ces activités. Hélas, sur le long terme, leur modèle pourrait devenir licite : c’est en tout cas ce sur quoi l’Union européenne débat via un futur règlement ePrivacy.
Teemo
Teemo est l’emblème des start-ups qui n’existent pas pour durer, mais pour amasser un maximum de profits par une activité qui, depuis le début, est illicite. En mode « take the money and run ». Employant 35 salariés pour un chiffre d’affaires de 2,6 millions (en 2016), Teemo ne pourra pas survivre à la décision rendue hier par la CNIL.
Teemo analyse les données de géolocalisation de 14 millions de téléphones, obtenues via les applications mobiles de ses partenaires commerciaux, afin de faire de la publicité ciblée localement. Évidemment, les personnes surveillées ne sont pas informées de ce pistage et n’ont pas leur mot à dire. La CNIL exige aujourd’hui le consentement de ces personnes – ce que la loi « informatique et libertés » impose sans ambiguïté.
Teemo peut donc fermer boutique, puisque son chiffre d’affaires repose désormais sur l’espoir absurde que des utilisateurs renoncent à leur vie privée, sans contrepartie, mais simplement pour enrichir la start-up.
Bien. Mais que dire de ses nombreux partenaires qui ont financé et bénéficié de ce système de surveillance généralisée ? Sur le site de Teemo, on peut lire les témoignages de LeaderPrice, ToysRus, InterSport ou Volkswagen se réjouissant qu’une telle violation massive de nos libertés ait pu faciliter leurs activités publicitaires. Plus loin, parmi les entreprises qui ont « fait confiance » à Teemo (sans avoir consulté aucun juriste, on imagine), on retrouve encore Carrefour, Macdo, Decathlon ou la Fnac.
Par ailleurs, il y a un an, Numérama publiait une enquête sur Teemo qui, probablement, a conduit la CNIL à se saisir de l’affaire. L’enquête expliquait que Teemo s’était notamment infiltrée sur les applications mobiles du Figaro, du Parisien, de l’Équipe ou de Closer, avec l’accord de ceux-ci.
Depuis, Exodus Privacy a décrit précisément le fonctionnement de Teemo et les applications l’intégrant.
Aujourd’hui, l’ensemble de ces entreprises nous doivent de sérieuses explications : comment ont-elles pu se permettre de financer et d’autoriser une violation aussi manifeste de la loi au détriment des libertés fondamentales de leurs clients ? Leur responsabilité juridique et politique est en jeu.
Fidzup
Le cas de Fidzup est plus complexe.
La start-up, plus petite (24 salariés, 500 000€ de chiffre d’affaires), opère en deux étapes. Dans une première étape, elle installe des bouts de code sur les applications mobiles de ses partenaires commerciaux. La CNIL décompte neuf applications différentes, qui lui auraient permis d’infiltrer 6 millions de téléphones. Ces bouts de code permettent à Fidzup de collecter certaines données techniques sur les téléphones espionnés. Dans une seconde étape, Fidzup fournit à une centaine de magasins des boîtiers qui identifient les téléphones qui passent à proximité, à partir des données techniques collectées dans la première étape. Les magasins peuvent donc tracer leurs clients, tant en ligne que hors-ligne.
Cette seconde étape est particulièrement pernicieuse. Techniquement, nos téléphones émettent régulièrement des données techniques afin de se connecter aux bornes WiFi environnantes. Les boîtiers fournis par Fidzup interceptent ces données techniques pour identifier les téléphones, alors même qu’ils ne sont pas du tout des bornes WiFi.
Exodus Privacy décrit en détail le fonctionnement et les applications mobiles collaborant avec Fidzup.
Heureusement, en droit, cette technique d’interception est explicitement interdite. La directive 2002/58 de l’Union européenne, dite « ePrivacy », prévoit depuis 2002 à son article 5 qu’il est interdit « à toute autre personne que les utilisateurs d’écouter, d’intercepter, de stocker les communications et les données relatives au trafic y afférentes, ou de les soumettre à tout autre moyen d’interception ou de surveillance, sans le consentement des utilisateurs concernés ». Les données captées par Fidzup sont ici des « données relatives au trafic », car destinées à réaliser une connexion avec une borne WiFi.
Reprenant assez facilement cette logique, la CNIL a exigé que Fidzup demande le consentement préalable des personnes avant de collecter ces données – ce qui n’était pas le cas.
On pourrait ici donner la même conclusion que pour Teemo : aucun utilisateur n’acceptera de céder sa vie privée, sans contrepartie, pour enrichir Fidzup. L’avenir de la start-up semblerait donc aussi compromis.
Hélas, la situation est plus inquiétante.
ePrivacy
La directive ePrivacy, qui interdit aujourd’hui l’activité de Fidzup, est en cours de révision par l’Union européenne.
Il y a un an, le Parlement européen arrêtait sa position sur le texte (relire notre bilan sur ce débat). À l’article 8, §2, du nouveau texte, le Parlement a autorisé la collecte sans consentement des « informations émises par les terminaux des utilisateurs » – abandonnant ainsi une protection fondamentale qui nous est aujourd’hui offerte.
Le Parlement autorise cette surveillance en imposant une poignée de conditions aussi vagues que creuses : l’analyse doit être limitée à des fins de « comptage statistique » (c’est déjà le service que fournit Fidzup), les données doivent être anonymisées dès que la finalité est remplie (dès que Fidzup a fini de nous compter), les utilisateurs disposent d’un droit d’opposition (qui leur est indiqué par une affiche plus ou moins visible dans le magasin surveillé – ce que fait déjà Fidzup).
Aujourd’hui, la réforme de la directive ePrivacy est débattue entre les États membres de l’Union. Peu d’États membres semblent vouloir contrer les dérives du Parlement en matière de géolocalisation.
D’une main, l’Union européenne prétend nous offrir une protection importante avec le règlement général sur la protection des données (RGPD). D’une autre main, elle réduit la protection de nos libertés afin de sauver quelques start-ups illicites et néfastes (inutiles).
Si les débats sur le règlement ePrivacy se confirmaient comme allant dans ce sens, il faudra s’opposer à toute idée de réformer le droit actuel – qui, couplé au RGPD, nous protège encore aujourd’hui des volontés de surveillance de sociétés telles que Teemo ou Fidzup et de leurs partenaires.