Données personnelles : un eurodéputé demande une enquête sur Pokemon Go

« Pokemon Go viole la législation UE ! » Voilà l’affirmation toute en douceur claironnée par Marc Tarabella, eurodéputé du groupe de l'Alliance progressiste des socialistes et démocrates au Parlement européen.

Ce membre de la Commission du marché intérieur et de la protection des consommateurs estime que les conditions d’utilisation (CGU) du jeu développé par Niantics Labs, « sont truffées de clauses semblant être abusives qui créent un déséquilibre significatif dans les droits et obligations au détriment du joueur ». Un déséquilibre qui violerait, selon son analyse, le droit européen sur les données à caractère personnel.

Dans sa foulée, après avoir épinglé voilà quelques jours des applications notamment de rencontres pour des raisons similaires, il entend déposer une demande d’enquête à la Commission européenne dès cette semaine. « Tinder ou Pokemon : quoique vous chassiez cet été, il y a danger » avance avec classe l’eurodéputé belge.

La question du consentement explicite du consommateur

Dans le détail, il doute par exemple qu’un seul utilisateur de Pokemon « ait pris la peine de lire ces conditions, plus de 10.000 mots sur un téléphone portable donnent souvent envie de cliquer à l’aveugle ». Or ces CGU recèlent à ses yeux, de « surprises » :

• « Jouer sur l’application équivaut à accepter la politique de confidentialité, politique qui se trouve sur un document tiers.
• Niantic recueille votre adresse email Google, celle de votre compte Facebook, et/ou encore celle laissée dans le club des dresseurs de Pokemon ainsi que les paramètres de confidentialité que vous avez déterminés pour ces sites.
• Des cookies sont placés sur votre appareil pour pister sa navigation. Rien n’est mentionné sur leur durée de vie et les désinstaller empêche le jeu de fonctionner.
• L’entreprise peut aussi, via des web beacons, pister quelles pages web sont visitées par les chasseurs.
• Niantic se réserve le droit de récupérer la position de l’utilisateur, son adresse IP, mais aussi la dernière page web ouverte par l’utilisateur ».

Contacté, le bureau parlementaire de l’eurodéputé nous indique que la demande d’enquête sera adressée vendredi à la Commission européenne. « Même si elle n’est pas toujours très partante pour de telles initiatives, elle a les ressources, les moyens et les enquêteurs pour le faire ». Il caresse ainsi l’idée de voir l’institution bruxelloise jouer un rôle moteur sur le sujet afin d’éviter « qu’un État membre parte seul à l’abordage des géants de l’informatique ». Le sujet sera par ailleurs lancé également en commission parlementaire cette fois, sans doute dans celle dédiée à la protection des consommateurs.

Mais quel est le problème exactement ? « Les utilisateurs peuvent faire ce qu’ils veulent de leurs données, mais ceci doit passer par une phase d’information claire et explicite. Le cas échéant, il n’y a aucun problème. Notre rôle n’est pas de dire que Pokemon Go est le mal absolu, simplement que l’usager soit correctement éclairé » poursuit notre interlocuteur.

Vers un RAPEX des applications à risque ?

Ainsi, pour résumer, trop d’éléments seraient glanés sans le consentement explicite et préalable de l’utilisateur. « L’application s’appuie donc sur un large accès aux données à caractère personnel, bien au-delà des besoins de son fonctionnement, et leur impose de nombreuses clauses considérées comme abusives ». Dans la lignée de ce long format de The Intercept, il alimente ses convictions avec le passé du CEO de l’entreprise. « Le fondateur de Niantic, John Hank, fut (…) aussi le directeur de Google Maps. Dans la description du brevet qu’il a déposé pour Pokemon Go, ses intentions sont claires : ‘le vrai challenge est de motiver les joueurs à donner constamment des données, même après l’excitation initiale de l’innovation technologique. Le processus de collecte de données doit être divertissant’ ».

Google, qui a soutenu Niantic « justifie sa participation à des fins de recherche et d’analyse, de profilage démographique et de buts similaires. À leurs yeux, la traque aux données intimes des gens est visiblement considérée comme un jeu et une source de recherche ou de revenus. En Europe, la protection de la vie privée reste un droit fondamental. Il faut réagir, avertir et condamner sévèrement ces fraudes massives ».

« Machine à collecter les données » ou à « violer l’intimité ou la vie privée de ses utilisateurs », bref, n’en cherchez pas : l’eurodéputé n’a pas de Pokemon dans sa tasse de thé. Inspiré par le RAPEX (Rapid Alert System for non-food Consumer Products), un système européen d’alerte sur les produits dangereux, il suggère au passage la mise en ligne d’une plateforme similaire pour les applications dites à risque. Une initiative que seule pourrait prendre la Commission européenne.

En France, la CNIL se contente d'un message d'attention

Ces propos certes fleuris rejoignent le message d’attention publié voilà quelques jours par la CNIL. La gardienne des données personnelles a regretté que trop d’utilisateurs n’aient « pas conscience de la quantité d’informations personnelles » susceptibles d’être envoyées à flux tendus chez ce genre d’éditeurs.

Or, « les jeux basés sur la localisation - comme Pokemon Go qui bénéficie d’une base importante d’utilisateurs - attirent les personnes vers des espaces physiques commerciaux (des magasins partenaires, des marques sponsorisant des lieux…). Concrètement, plutôt que de revendre les données de ses utilisateurs, l’éditeur du jeu préfèrera inciter ses joueurs à se rendre chez ses partenaires commerciaux. Ces derniers rémunéreront plus ou moins l’éditeur selon la qualité des profils qui franchiront leur porte. Ainsi, plus les données collectées par l’application sont précises, plus le profilage du joueur/consommateur est fiable, meilleure sera la rémunération de l’éditeur ».