Sur le Net, nous sommes tous traqués. Ce n'est pas une supposition ou une question, c’est une constatation. Pour mettre des chiffres derrière cette affirmation, nous avons effectué des relevés avec environ 50 000 requêtes externes pendant une seule journée de navigation.

Si vous voulez voir l’état des dégâts, nous avons mis en ligne une extension maison baptisée DTC (pour Domaines Tiers Contactés). À utiliser sans modération. Aucune donnée n’est transmise, vous seul accédez à vos statistiques (le code source est sur GitHub).

• [Outils Next] Une extension pour traquer toutes les requêtes externes des sites

Marquage à la culotte des utilisateurs et RGPD

Mais il n’y a pas que cela, il existe aussi des outils permettant de suivre à la trace les utilisateurs… et c’est peu de le dire. On parle d’enregistrement ou de relecture (rejeu, replay…) de session, permettant de reconstituer le parcours complet d’un utilisateur, « sous forme de vidéos », explique la CNIL. Elle vient en effet de lancer une concertation « sur les outils d'enregistrement et de relecture de session de navigation ».

« Ces outils offrent à l’éditeur d’un site ou d’une application mobile la possibilité d’enregistrer l’ensemble des interactions des utilisateurs telles que les mouvements de souris, les interactions tactiles, les clics, le défilement des pages et, dans certains cas, les saisies de formulaires », précise la CNIL.

Et cela concerne aussi bien les sites web que les applications mobiles. On s’en doute, mais la Commission le formalise : cela « pose des défis importants en matière de respect du RGPD », à la fois aux éditeurs de ces outils, et à leurs clients.

Comme souvent en pareille situation, c’est l’occasion de remettre en avant un excellent dessin de CommitStrip sur le sujet :

Drôle de bots https://t.co/j7drtuLixU pic.twitter.com/gYkursxI9C

— CommitStrip FR (@CommitStrip_fr) October 21, 2020

Données personnelles (sensibles) et vie privée

Ces outils sont en effet « susceptibles d’entrainer des risques élevés pour les droits et libertés des internautes ». La CNIL met notamment en avant deux points : « la collecte d’un volume important de données de navigation incluant des données personnelles parfois sensibles, sans que les utilisateurs en aient conscience », et « la déduction d’informations sur la vie privée d’un grand nombre d’utilisateurs telles que leurs habitudes, croyances, centres d’intérêts, etc. ».

Lorsque l’on navigue un peu sur des sites de sociétés proposant ce genre de service, on se rend compte de l’ampleur de la tâche. « Normalement, les principaux outils de relecture de session sont conformes au RGPD et anonymisent leurs enregistrements de visiteur, ce qui rend difficile l’identification de qui est le visiteur », explique l’une d’elles. On apprécie le « normalement » et « rend difficile », donc pas impossible. Un exemple parmi d’autres.

Le registre est différent, mais la problématique est identique à la fonction Recall de Microsoft. Elle est depuis peu en cours de déploiement dans les préversions de Windows 11.

• Microsoft retente sa chance avec sa fonction Recall, cette fois pour de bon

Des ateliers, et la question de l’usage transversal de ces outils

En lançant cette concertation, la CNIL cible large avec la volonté d’appréhender les « enjeux juridiques, techniques mais également éthiques et sociétaux associés à ces outils ». Le but est de proposer, au cours du second semestre, des recommandations pratiques aussi bien aux développeurs des outils de rejeu qu’aux éditeurs de sites et d’applications mobiles.

Avant cela, des ateliers sont prévus d’ici fin juin afin de dresser un état des lieux des applications existantes, « d’étudier les aspects pratiques des modalités d’information et, le cas échéant, de recueil du consentement des personnes concernées », et d’aborder la question de l’usage transversal de ces outils. En effet, ils permettraient « d’accéder au parcours de navigation d’un internaute sur l’ensemble des sites web des éditeurs utilisant l’outil d’un même fournisseur ».