“Étiquettes de confidentialité activées par Apple” : quelles données les applications collectent à votre sujet

L’efficacité de ces avertissements n’est pas tout à fait claire, mais la tentative elle-même est prometteuse.

Les applications Mac et iOS de l’AppStore afficheront désormais les étiquettes requises où elles fournissent un résumé de leur politique de confidentialité. Il s’agit d’une sorte d’"information sur les compléments nutritionnels", réservée aux candidatures. Ainsi, Apple montre clairement à quelles données l’application aura accès, ainsi que ce qu’elle fera ensuite avec ces données.

L’idée même de développer la vie privée et des étiquettes avertissant de sa violation n’est pas nouvelle. Au début des années 2010, des chercheurs universitaires avaient déjà développé des prototypes d’étiquettes de confidentialité pour les applications mobiles. Encore plus tôt, des pays comme la Finlande, Singapour et le Royaume-Uni ont commencé à promouvoir des labels dédiés à la sécurité des appareils IoT. Mais Apple semble être le premier géant de la technologie à utiliser et à promouvoir cette tactique à grande échelle.

"L’approche d’Apple semble prometteuse, mais on ne sait pas combien de tests utilisateurs ont été effectués pour cela", déclare Lorrie Cranor, directrice du CyLab Privacy and Security Lab de CyLab chez Carnegie Mellon. "Au fur et à mesure que le scénario évolue avec de vraies applications et de vrais utilisateurs, il sera intéressant de voir ce qui fonctionne et ce qui ne fonctionne pas – si les développeurs comprennent comment fournir correctement des informations, s’ils disent vraiment la vérité et si les utilisateurs comprennent ce que cela signifie – toutes ces questions restent ouvertes."

L’étiquette comporte trois catégories: Données utilisées pour le suivi, Données associées à vous et Données non associées à vous, avec des cases à cocher pour chacune détaillant ce que l’application a sous le capot. L’étiquette peut indiquer que l’application souhaite collecter votre emplacement, vos services financiers ou vos contacts, et les associe à un compte ou à des identifiants valides, tels que l’ID de votre appareil.

L’étiquette de confidentialité peut aller plus loin et vous faire savoir que l’application partage vos données avec des tiers, tels que des entreprises qui vous suivront via leurs sites Web et leurs services.

De nombreuses applications ont déjà envoyé des informations sur leur fonctionnement et recevront leur étiquette de confidentialité d’un jour à l’autre, mais elles ne deviendront omniprésentes qu’après un certain temps. La fourniture d’informations de confidentialité est requise lorsqu’un développeur soumet une nouvelle application ou une mise à jour à Apple pour examen, et de nombreuses applications ont des cycles de mise à jour peu fréquents. Cependant, Apple dit que certains développeurs ont quand même ajouté les informations, peut-être pour éviter de cacher quoi que ce soit.

Mais dans les réalités d’aujourd’hui, il est difficile de trouver une application qui ne trace pas et n’identifie pas les utilisateurs. Étant donné que la fourniture de données pour les raccourcis est désormais obligatoire dans les magasins d’applications iOS et macOS, il appartient au développeur de fournir des informations factuelles et de les mettre à jour au fil du temps.

"Vous êtes responsable de l’exactitude et de la rapidité de vos réponses", indique le guide du développeur d’Apple.

Les magasins d’applications tels que Google Play et l’App Store ont constamment sévi contre les applications malveillantes qui échouent à ces processus d’audit et de vérification au fil des ans. Compte tenu de la nature régulière de ce phénomène, il semble que des déclarations de confidentialité trompeuses apparaissent également occasionnellement, du moins jusqu’à ce que des chercheurs ou des utilisateurs concernés découvrent et signalent des incohérences.

Pardis Emami-Nayini, chercheur en confidentialité à l’Université de Washington qui a travaillé avec Cranor et d’autres pour développer des étiquettes de sécurité pour l’Internet des objets, note que les fausses informations ne sont pas le seul obstacle. Certains développeurs peuvent ne pas comprendre pleinement les exigences relatives à la fourniture d’informations ou ne pas avoir une compréhension complète de la manière dont leur application collecte et gère les données. Cela peut sembler évident, mais en fait, les développeurs créent souvent ce qu’on leur dit sans donner une direction qui reflète spécifiquement le flux d’informations.

Par exemple, il va sans dire que les applications incluent souvent du code open source préexistant qui peut contenir des mécanismes de suivi ou de collecte de données dont les développeurs ne sont pas pleinement conscients. Le processus de partage de la confidentialité d’Apple peut être une bonne occasion pour les développeurs de s’assurer qu’ils comprennent réellement ce qui se passe dans leur logiciel. Mais il est tout aussi facile d’imaginer comment certains développeurs ne sont pas intéressés et manquent des détails importants.

Il existe également certains types de collecte de données qui sont «facultativement divulguées» car les données ne sont pas utilisées à des fins de suivi ou sont rarement collectées. Le type est destiné à faciliter les choses, car il existe des situations favorables où une application collecte, par exemple, un ping de localisation unique, mais ne le transmet nulle part et offre aux utilisateurs une option de désactivation claire. Le problème, cependant, est que la catégorie « divulgation facultative » semble être un champ inculte pour les échappatoires et les solutions de contournement.

« Si vous répondez à tous les critères, vous n’êtes pas obligé de divulguer certaines informations que vous collectez, ce qui ne semble pas être une bonne idée », déclare Emami-Nayini. « Les développeurs d’applications doivent simplement dire : « Nous respectons ces paramètres ».

Emami-Naeni félicite Apple d’avoir fait un si grand pas vers la normalisation de la présentation des informations de manière conviviale, éliminant ainsi la nécessité pour eux d’apprendre une politique de confidentialité complexe et opaque. Mais elle souligne qu’elle est également préoccupée par la manière dont Apple contrôlera l’exactitude des informations sur les étiquettes.

Comme pour les données sur les additifs alimentaires, de nombreux utilisateurs les ignorent tout simplement ou ne vérifient que le seul critère qui les intéresse. Mais pour les personnes qui étudient et utilisent réellement les étiquettes, les informations doivent brosser un tableau précis pour être utiles.

Si vous avez trouvé cet article utile, partagez-le avec vos amis sur les réseaux sociaux !

Selon Filaire.