Voici comment les apps vendent vos données de localisation malgré les règles d’Apple

Selon un nouveau rapport publié aujourd'hui, de nombreuses applications iOS vendent vos données de localisation à des courtiers en données, malgré les politiques de confidentialité et les mesures de répression d'Apple (et de Google). Une petite astuce leur permet de respecter la loi et d’augmenter leurs revenus.

Apple veut préserver la confidentialité de ses utilisateurs

Selon ce rapport, alors qu'Apple et Google ont pris des mesures contre unes techniques sournoises utilisées par les entreprises qui achètent et vendent les données des utilisateurs, une solution de contournement très simple s’est largement répandue ces dernières années.

Il était autrefois courant qu'un courtier en données crée des kits de développement logiciel (SDK) utiles aux éditeurs d'applications, car ils permettaient d'ajouter rapidement et facilement des fonctionnalités courantes. Le problème était que ces SDK recueillaient également des données sur les utilisateurs, notamment des données de localisation, que les courtiers pouvaient ensuite vendre.

L'année dernière, Apple a pris des mesures sévères à l'encontre de ces SDK, tout en exigeant des développeurs qu'ils incluent des étiquettes de confidentialité les obligeant à divulguer les données que leurs applications collectent et la manière dont elles sont utilisées.

Le point faible de ses garde-fous a été mise en évidence le mois dernier, lorsqu'il a été révélé qu'Apple compte sur l'honnêteté des développeurs en ce qui concerne les étiquettes - et beaucoup d'entre eux ne le font pas. Même si Apple propose aussi à ses utilisateurs de lister les SDK utilisés dans les apps, il n’existe aucune véritable contrainte pour connaître l’utilisation concrète des données récoltées.

Les apps arrivent à vendre nos données

Un rapport publié dans The Markup a révélé que de nombreuses applications continuent de vendre des données de localisation aux courtiers en le faisant directement plutôt que par l'intermédiaire d'un SDK - et en s'appuyant sur une phrase anodine dans leur politique de confidentialité.

Aujourd'hui, les courtiers en données adoptent une nouvelle méthode. Si le développeur d'applications a conclu un accord avec un courtier en données de localisation, il peut fournir les données des utilisateurs directement par des transferts "de serveur à serveur".

Cette méthode semble se dérouler en dehors de la vue des app stores et devient de plus en plus courante dans le secteur [...].

La politique d'Apple exige que les apps divulguent les données qu'elles collectent auprès des gens et la manière dont elles peuvent être utilisées, et qu'elles obtiennent le consentement des utilisateurs avant de partager leurs données. Cependant, elle n'exige pas que les applications révèlent exactement à qui elles vendent les données, et de nombreuses applications indiquent simplement qu'elles "partagent les données avec des partenaires".

Et comme par hasard, les applis populaires ne sont pas les dernières à le faire pour des gains substantiels.

Dans un courriel envoyé à un développeur d'applications et examiné par The Markup, Veraset, un courtier en données de localisation qui est un sous-ensemble de la société SafeGraph, a indiqué que le développeur pouvait "envoyer des données à Veraset de serveur à serveur (pas besoin d'installer ou de maintenir un SDK)". Le pitch indique également que les applications peuvent gagner entre 12 000 et 1 million de dollars par an en envoyant les données de localisation de leurs utilisateurs à la société.

L'article affirme qu'Apple et Google n'ont aucun moyen réaliste de contrôler cette pratique, et que seules les lois sur la protection de la vie privée peuvent l'empêcher. En effet, si chaque éditeur qui récolte des données sur ses serveurs peut ensuite les vendre directement à n’importe qui.