Il y a un an, Google annonçait l’arrêt de l’analyse automatique du contenu de nos messages Gmail à des fins de publicité ciblée. Une décision généralement présentée comme une victoire pour la vie privée en ligne.

Puis nous avons appris (non sans une certaine surprise) que Google permettait en réalité à certaines personnes de lire nos messages Gmail. Lundi 2 juillet, le Wall Street Journal a publié un reportage intitulé «Le secret gênant du monde de la tech: les développeurs d’application passent votre Gmail au peigne fin». Le papier explique comment de nombreuses entreprises tierces sont parvenues à scanner la boîte de réception d’utilisateurs avec leur accord –permettant même parfois à leurs employés de lire les mails.

Contrairement aux apparences, Google n’est pas en train de replonger dans ses pratiques intrusives. Il faut simplement y voir les retombées du scandale Facebook-Cambridge Analytica: les médias et l’opinion publique redoublent de vigilance, et réévaluent leurs relations avec les géants de l’internet mondial. C’est une excellente chose.

Pendant plus de dix ans, Google a utilisé des logiciels pour «lire» les messages Gmail de ses utilisateurs et ce, dans le but de leur montrer des publicités liées à leurs communications personnelles. Google a juré que ses employés ne lisaient pas –littéralement– les mails, mais la pratique fut néanmoins jugée intrusive et malsaine par beaucoup. Les détracteurs et les rivaux de Google y ont vu un exemple prouvant que le modèle commercial de l’entreprise reposait, au fond, sur la violation de la vie privée de ses utilisateurs.

Puis tout a changé en juin 2017. La version payante de Gmail, comprise dans sa G Suite (suite bureautique dans le cloud destinées aux entreprises), était alors en plein essor –sans aucune analyse des emails, et sans publicité ciblée. Google décida d’alimenter cette croissance et tenta pour ce faire de consolider sa réputation en matière de vie privée (en rendant la version gratuite de Gmail moins intrusive). L'entreprise a affirmé que ses ordinateurs cesseraient de scanner les messages des utilisateurs à des fins de publicités ciblées.

Autorisation bien plus vaste que nous ne le pensons

Mais il a continué à analyser les mails pour d’autres raisons: détection de spams et de malwares, personnalisation des résultats de recherche, suggestions de «réponses intelligentes» aux mails… En mai dernier, suite au fiasco Facebook-Cambridge Analytica, NBC News a révélé les nombreuses manières dont Google continuait de recueillir les données personnelles des utilisateurs, y compris via leurs emails.

Dans un article plus récent, le Wall Street Journal a mis en lumière une autre forme de collecte de données, peut-être encore plus inquiétante que celle révélée par NBC.

Dans certains cas, la permission permettrait au développeur d’accorder un accès accru à d’obscures tierces parties.

L’enquête montre que le géant numérique continue d’autoriser des centaines de développeurs de logiciels à analyser les boîtes mail de millions d’utilisateurs Gmail (à condition de recevoir leur autorisation au préalable). Ces derniers se sont inscrits à des services par mail: comparateurs de prix, calcul automatique d’itinéraire de voyage et autres outils. Google se montre peu enclin à rappeler à l’ordre ces développeurs, qui apprennent à leurs ordinateurs –et parfois à leurs employés– à lire les emails des utilisateurs.

Google oblige ces développeurs d’application à informer les utilisateurs quant au type de données qui seront recueillies, et les utilisateurs doivent donner leur accord avant d’utiliser les applications en question. Il faut reconnaître que les pop-ups d’avertissement sont claires, simples et concies (contrairement aux longues politiques de confidentialité pleines de termes juridiques qui accompagnent la plupart des services en ligne). Soulignons toutefois que depuis l’avènement de l’internet gratuit, nous sommes nombreux à donner notre accord (quelle que soit la demande) pour obtenir ou lancer l’application désirée. Et comme le souligne le Wall Street Journal, l’autorisation accordée aux développeurs d’applications Gmail est souvent bien plus vaste que ne le pensent les utilisateurs. Dans certains cas, la permission permettrait au développeur d’accorder un accès accru à d’obscures tierces parties (dont l’utilisateur n’avait parfois jamais entendu parler).

Apprendre aux algorithmes à filtrer les informations

Prenons l’exemple de la société de gestion et d'analyse des mails Return Path –elle qui semble avoir eu accès aux boîtes de réception de quelque deux millions d'utilisateurs de Gmail. Elle ne l'a pas fait en leur demandant directement la permission, mais bien à travers un réseau de 163 applications «partenaires». Ces applications demandent aux utilisateurs de les autoriser à surveiller leurs e-mails en échange d'un service gratuit, puis autorisent Return Path à accéder aux boîtes de réception des utilisateurs en question.

On peut aussi citer l’application Earny, qui promet de vous faire économiser de l'argent. Sa recette? Passer au crible votre boîte de réception et trouver la trace d’achats d’objets dont le prix a baissé depuis –ce qui vous permet de vous faire rembourser via la politique de «protection de prix» de votre société de carte de crédit [option qui n'existe pour le moment qu'aux États-Unis et au Canada, ndlr]. Or le Wall Street Journal rapporte qu'Earny ne se contente pas de passer vos emails au peigne fin: elle a conclu un partenariat avec Return Path, qui lui permet de recueillir et d’analyser vos messages. Return Path utilise ces données pour renseigner ses clients professionnels (tels que Overstock) sur vos habitudes de lecture de mails, dans le but d’affiner la précision de leur marketing de messagerie. Enfin, Return Path permet à certains de ses salariés de lire les emails des utilisateurs afin d’apprendre à ses algorithmes à mieux filtrer les informations.

On peine à croire que les utilisateurs de Gmail inscrits sur Earny aient réellement compris ce qu'il adviendrait de leurs données.

Earny affirme que sa politique de confidentialité est très claire: en l’acceptant, l’utilisateur autorise des tiers (tels que Return Path) à filtrer sa boîte de messagerie selon leurs propres politiques de confidentialité. Mais on peine à croire que les utilisateurs de Gmail inscrits sur Earny aient réellement compris ce qu'il adviendrait de leurs données, et combien d'entreprises pourraient les utiliser à leurs fins. Une représentante de Google avec laquelle j’ai échangé a elle-même reconnu qu'elle ne saisissait pas entièrement le fonctionnement du partenariat Earny-Return Path, ni en quelle mesure cette alliance était conforme à la politique de confidentialité de Google.

Pour l’heure, rien ne prouve qu’Earny, Return Path, ou toute autre entreprise a abusé de son accès aux données des utilisateurs de manière dommageable, comme l’a fait un développeur tiers d'applications Facebook en livrant les informations personnelles d’utilisateurs du réseau social –sans leur consentement– à la société de ciblage politique Cambridge Analytica. C'est là une bonne nouvelle pour Google, car sans preuve de préjudice évident, il est peu probable que le PDG de Google, Sundar Pichai, ou le PDG d'Alphabet, Larry Page, puisse être convoqué devant le Congrès américain, comme l’a été Mark Zuckerberg pour Facebook.

Des outils pour se prémunir contre l'utilisation abusive des données

Il est toutefois possible d’établir des parallèles entre ces deux affaires. Facebook et Google ont tous deux cherché à transformer leurs produits en «plateformes» permettant aux développeurs tiers de créer leurs applications. Et ils étaient prêts à sacrifier le contrôle des données personnelles sensibles de leurs utilisateurs pour y parvenir. Google s’est visiblement montré plus prudent que Facebook, mais pas assez prudent au regard des normes actuelles, plus strictes que par le passé.

Il convient de souligner que Gmail n'est pas le seul service de messagerie qui permet aux développeurs d'applications et aux explorateurs de données d'analyser les mails de ses utilisateurs. Microsoft et Oath (filiale de Verizon comprenant les vestiges d'AOL et de Yahoo) semblent accorder différentes formes d'accès aux mails à des tiers. Oath s’est notamment enorgueilli de sa capacité à extraire des données marketing des boîtes de messagerie.

Google a montré qu'il prenait l'histoire du Wall Street Journal au sérieux en publiant un billet sur son blog Keyword pour expliquer et défendre ses pratiques de confidentialité. Pour se prémunir contre l'utilisation abusive des données des utilisateurs Gmail par des applications tierces, le géant a mis en place un «processus d'examen en plusieurs étapes qui inclut un examen automatisé et manuel du développeur, une évaluation de la politique de confidentialité et de la page d'accueil de l'application pour s’assurer de sa légitimité, et un test de l’application pour s’assurer qu’elle fonctionne comme elle le dit». L'article du Wall Street Journal cite cependant au moins un développeur d'applications affirmant qu'il n'a jamais été témoin d’un examen de ce type réalisé par un humain.

Le blog de Google a également mis en avant une fonctionnalité appelée «Vérification des paramètres de sécurité», qui encourage périodiquement les utilisateurs à passer en revue ces paramètres –y compris l'accès qu'ils ont accordé aux développeurs d'applications Gmail. Vous pouvez utiliser cet outil de vérification dès maintenant pour obtenir la liste des applications auxquelles vous avez accordé le droit d’analyser votre boîte de réception.

Les acteurs sociaux bienveillants et leurs logiciels magiques

En testant cette fonctionnalité, j’ai découvert que j’avais accordé cette permission au système d’exploitation OS X d’Apple, à l’application iOS Mail d’Apple, et à l’application Calendrier pour Mac d’Apple. Aucune des trois ne me posait problème. Mais j’ai également remarqué que j'avais ouvert ma boîte Gmail à une application tierce de calendrier, CalenMob, que je n’utilise plus depuis des années. Je me suis empressé de révoquer cet accès.

C’est là un autre parallèle entre l'affaire des passe-droits Gmail et le scandale Cambridge Analytica: dans les deux cas, il s’agissait de pratiques de longue date que la plupart des utilisateurs, et les médias, avaient tacitement acceptées. Oui, nous accordions l'accès à nos données sensibles à tout bout de champ –mais c'était un prix que nombre d'entre nous étaient prêts à payer pour l'internet «gratuit». Nous accordions une confiance implicite aux géants de type Facebook et Google, mais également à d’obscures et minuscules start-ups, ainsi qu’à des développeurs d'applications individuels. Et nous leur avons donné accès à nos profils de médias sociaux et à nos boîtes mail personnelles.

Des activistes d'Avaaz ont posé des silhouettes cartonnées de Mark Zuckerberg sur lesquelles est écrit «Réparez Fakebook», le 22 mai 2018, jour de l'audition du patron de Facebook au Parlement européen après les révélations Cambridge Analytica. | John Thys / AFP

Avec le recul, il est difficile de justifier cette confiance aveugle. On peut certainement imputer une partie de ce phénomène au fait que les géants technologiques de la Silicon Valley étaient généralement perçus comme des acteurs sociaux bienveillants: ils rendaient nos vies plus faciles, et demandaient si peu en échange de la magie de leurs logiciels. Ces géants faisaient tout leur possible pour que nous ne nous intéressions pas de trop près à la véritable monnaie d’échange: ils nous incitaient à valider des conditions d’utilisation incompréhensibles et trop longues pour être lues en diagonale, à sacrifier notre conception désuète de la vie privée sur l’autel du big data.

C’est précisément pour cette raison que la défense de Facebook a sonné si faux dans l’affaire Cambridge Analytica: il était vain d’essayer de reporter la faute sur un développeur isolé et malfaisant. Ce n’est pas à cet homme –Aleksandr Kogan– que les utilisateurs de Facebook ont accordé leur confiance lorsqu’ils se sont inscrits pour réaliser le test «This Is Your Digital Life», mais bien à Facebook lui-même. Google, lui, semble au moins comprendre que la veille contre l’utilisation abusive des données Gmail n’incombe pas uniquement aux applications de type Earny ou Return Path. Rappelons-nous, il y a quelques années, la politique de Google (obliger les applications à obtenir l’accord des utilisateurs en employant un langage clair, examiner le dossier des développeurs, s’assurer que l’application fonctionne comme elle le dit) aurait été considérée comme suffisante, sinon superfétatoire.

Les utilisateurs ne devraient pas accepter ces arrangements

Seulement, voilà: entre l'affaire Cambridge Analytica, la mise en œuvre des nouvelles normes européennes de protection de la vie privée, et le désenchantement suscité par la Silicon Valley et son «internet gratuit», les efforts –honnêtes mais modestes– de Google ne sont plus suffisants. Les utilisateurs cessent désormais de faire l’autruche, comme lorsque les géants des nouvelles technologies livrent leurs informations sensibles à des tiers douteux. On l’a vu dans la manière dont les justifications de Facebook (face au scandale Cambridge Analytica) ont été reçues par le Parlement britannique et le Congrès américain. On l’a également vu le mois dernier, lorsque les principaux opérateurs mobiles américains ont accepté de ne plus partager les données de localisation en temps réel de leurs utilisateurs avec certains agrégateurs de données tiers. Le récent examen des pratiques de confidentialité de Gmail est la dernière preuve en date de ce bouleversement.

Je me suis entretenu avec un porte-parole de Google. Il m’a affirmé que la compagnie n'avait annoncé aucune modification ou sanction en réponse à l'article du Wall Street Journal. Google ferait pourtant bien de sauter le pas: l'arrangement qui permet à Return Path d’obtenir et de stocker les informations des utilisateurs de Gmail pour servir les intérêts de ses clients professionnels n’est pas une pratique que les utilisateurs du plus grand service de messagerie au monde devraient accepter. Nous ne devrions pas plus accepter les arrangements similaires de Microsoft ou d'Oath.

Le gouvernement américain ne semble ni désireux, ni capable de protéger la vie privée en ligne.

Le fait d’imposer des normes de confidentialité plus strictes aux plateformes numériques a un coût conséquent. Les géants (Facebook, Google) consolident leur contrôle des données des utilisateurs, tandis que les écosystèmes d'applications autonomes –qui ont contribué au lancement de tant de start-ups– disparaissent peu à peu. La polémique soulevée par l’affaire des mails lus (occasionnellement) par des employés humains semble potentiellement peu judicieuse. Toujours selon le Wall Street Journal, Return Path a permis à certains de ses employés de lire un sous-ensemble de messages d’utilisateurs de Gmail pour une durée limitée dans le but précis d’apprendre à ses algorithmes à reconnaître et à filtrer leurs mails personnels dans son système de collecte. Si nous comptons nous appuyer sur des algorithmes d'apprentissage automatique, il faudra que les humains puissent former ces algorithmes pour gérer correctement nos données.

Mais il semble toutefois que les choses progressent dans la bonne direction. Le gouvernement américain ne semble ni désireux, ni capable de protéger la vie privée en ligne, et ce malgré le fait que les représentants des deux parties reconnaissent l’existence du problème. Aussi incombe-t-il aux médias, au public et aux organisations à but non lucratif de faire pression sur les géants de la tech pour les amener à modifier leurs pratiques. Ils semblent –enfin– répondre à cet appel.