Sur le sujet, il faut aborder quelques points techniques. D’abord, que ce soit sur Android ou iOS, l’activation du micro par une application ne peut pas se faire sans que le système affiche une pastille de couleur pour indiquer qu’un enregistrement est en cours. L’application n’a pas le choix : l’accès au micro passe par une demande d’autorisation, que l’utilisateur doit valider. La fonction est gérée par le système, qui se charge d’afficher la pastille, pour des raisons de protection de la vie privée justement. La simple acceptation des conditions d’utilisation n’est pas suffisante.

Le cas des assistants vocaux

Cette pastille s’affiche aussi quand on déclenche les mots-clés qui provoquent l’activation de l’assistant vocal, les fameux « Hey Google » et autre « Dis Siri ». Preuve que le micro écoute tout ? Oui et non. On parle d’écoute passive : le micro est ouvert, mais aucun enregistrement n’est lancé tant que les mots-clés ne sont pas prononcés. Si c’est le cas, l’enregistrement démarre et il y a émission de données vers un serveur, pour que celui-ci génère sa réponse.

Précisons que les requêtes faites à ces assistants ne sont pas toutes envoyées vers un serveur. Avec Siri par exemple, certaines requêtes simples peuvent être exécutées localement, notamment pour la gestion de certaines configurations domotiques accessibles en Wi-Fi. Mais le sujet n’est pas très clair.

En outre, Apple et Google ont chacune une politique de confidentialité (ici pour Apple, là pour Google). Les sociétés y expliquent ce qui se passe quand on appelle leur assistant. Identifiant aléatoire, absence de profilage marketing et de lien avec le compte, minimisation des données ou encore préservation des données sont autant de thématiques abordées. Et si vous n’avez quand même pas confiance, ces fonctions peuvent être désactivées.

Toute activité peut être source de personnalisation

Mais alors, d’où vient ce puissant à propos publicitaire ? Il y a ici de nombreux facteurs, dont le plus important : il ne faut jamais sous-estimer le marché de la publicité. Il s’est développé presque en même temps que le web. En plus de trois décennies, les systèmes se sont adaptés et utilisent toutes les données passant à leur portée pour personnaliser les contenus.

De là à espionner activement ? Tout dépend ce que l’on appelle activement. Si vous voulez dire qu’une application peut déclencher d’elle-même le micro pour écouter ce que vous dites et y piocher des informations susceptibles de générer une publicité adaptée, la réponse est non. C’est techniquement impossible, à moins d’une faille. Une vulnérabilité de cet acabit a d’ailleurs été corrigée chez Apple tout récemment.

Pour le reste, les fonctions dévolues à la publicité font feu de tout bois. Le suivi de ce que vous faites sur le web est primordial bien sûr, mais les applications peuvent également communiquer entre elles. C’est d’autant plus vrai quand elles émanent d’une seule société.

C’est ainsi le cas chez Google et Meta, deux entreprises dont le chiffre d’affaires provient en très grande majorité des recettes publicitaires et dont les applications sont utilisées par des milliards de personnes. Partez du principe que dans la plupart des applications gratuites, tout ce que vous faites peut servir de support à une publicité. Ne vous étonnez donc pas si vous voyez apparaître sur Instagram une publicité liée à un sujet que vous avez évoqué une heure plus tôt sur Messenger.

Une question de proportionnalité

Il faut également garder en tête la question de la proportionnalité : s’il était possible d’écouter tout le monde, tout le temps, l’opération serait-elle rentable ? Non, d’autant qu’elle serait immédiatement visible. Car un flux audio permanent se manifesterait par une activité réseau certaine. En outre, il faudrait que les entreprises puissent absorber des centaines de millions de ces flux, les enregistrer pour ensuite les travailler. Des algorithmes de détection seraient alors utilisés pour extraire les sujets potentiels. Une débauche de moyens, coûteuse en stockage et en énergie.

Il faut en outre casser quelques idées reçues. D’abord sur les VPN. Vous le savez, nous nous sommes exprimés régulièrement sur le sujet depuis des années, dont un édito en avril dernier. Un VPN peut-il garantir un anonymat ? Non, ne serait-ce que parce que vous allez vous servir de vos comptes.

En outre, le VPN utilisé sait tout de vous, puisque tout passe par lui. Selon la formule consacrée, utiliser un VPN, c’est utiliser la connexion de quelqu’un d’autre. Et pour mettre fin à la confusion, l'utilisation d'une telle solution ne supprime pas la personnalisation de la publicité. Au mieux, certains critères sont moins présents, comme la géolocalisation. Jamais, en tout cas, un VPN ne rendra votre appareil indétectable.

Un peu de géolocalisation, quelques grammes de Wi-Fi

Cette position géographique participe activement à la personnalisation de la publicité. Elle peut être obtenue de diverses manières. Le positionnement précis par GPS peut être utilisé si l’application dans laquelle apparait la publicité l’a obtenu. Nous évoquions déjà l'importance de la géolocalisation dans le monde de la publicité il y a dix ans.

Mais, comme pour le micro, l’accès à la géolocalisation précise réclame une autorisation de l’utilisateur. En revanche, l’antenne cellulaire « accrochée » par le smartphone et la connexion Wi-Fi sont fréquemment utilisées pour obtenir une localisation approximative. Largement suffisante par exemple pour savoir dans quelle ville vous êtes.

Puisque l’on parle du Wi-Fi, plusieurs appareils reliés au même réseau peuvent-ils « s’échanger des informations » ? Pas dans le sens où on l’entend. Cependant, chaque appareil dispose d’un identifiant publicitaire ou d’un mécanisme équivalent. Le réseau Wi-Fi utilisé est également pris en compte, ne serait-ce qu’à travers l’adresse IP.

Il est donc simple pour une plateforme publicitaire d’envoyer des publicités d’un de ces appareils vers les autres. Par exemple, une personne chez vous fait une recherche sur le web, et vous voyez apparaitre une publicité sur votre propre écran. Une technique appelée « cross-device advertising », qui fonctionne aussi bien entre plusieurs appareils d’une même personne que ceux de plusieurs personnes connectées au même endroit.

« Regarde cette publicité. C’est fou, on en parlait il y a une heure ! »

Toutes ces informations alimentent la personnalisation de la publicité et peuvent donner l’impression que les smartphones espionnent. Mais il ne faut pas confondre ciblage et espionnage. En outre, n’oublions pas l’illusion de fréquence. Un biais classique de sélection qui survient par exemple lorsque l’on apprend un nouveau mot et que celui-ci a l’air soudainement d’apparaitre partout.

En l’état actuel des connaissances, un smartphone ne vous espionne donc pas. En revanche, il sert de relai à vos applications et au marché publicitaire qui vous ciblent intensément par tous les moyens disponibles (et ils sont nombreux).

Il y a bien sûr une exception notable : les logiciels espions. On entre ici dans une toute autre catégorie d’activité, punie par la loi. Les fréquents remous provoqués par le logiciel Pegasus de NSO Group l’ont montré à de multiples reprises.

Mais même sorti de logiciels nécessitants des budgets élevés et/ou réservés à des États, les logiciels espions sont une réalité. Parmi ceux que l'on pourrait effectivement croiser, on distingue deux catégories. D'abord, ceux développés par des groupes de pirates et qui ont, le plus souvent, besoin d'une faille à exploiter pour s'installer. Ensuite, ceux que des personnes malintentionnées peuvent installer sur des appareils de leur entourage pour les espionner.