Le régulateur américain des télécoms veut renforcer la protection des données des internautes, en forçant les opérateurs à plus de transparence. Une initiative qui n'enchante pas le secteur, qui vit en partie du partage de ces données. L'un d'eux, Verizon, a d'ailleurs accepté de verser 1,35 million de dollars pour de mauvaises pratiques.

La bataille entre le régulateur américain des télécoms, la FCC, et les opérateurs bat son plein. Hier, le gendarme a publié une proposition pour renforcer la protection des données personnelles des internautes, qui n'est pas du goût du secteur. Les mesures, simples, mettraient un frein à certaines pratiques des opérateurs. Ceux-ci partagent ainsi régulièrement les données de leurs clients avec des tiers pour des besoins marketing.

Renforcer le choix des internautes

La proposition autorise toujours ce partage, qui sera bien mieux encadré. La FCC souhaite que chaque internaute puisse interdire le partage de ses données avec des sociétés tierces, tout en laissant l'opérateur les exploiter en interne pour lui fournir son service Internet (fixe ou mobile). De même, pour tout autre usage, l'opérateur devra obtenir l'accord exprès du client. Il devra savoir plus facilement quelles données sont utilisées par son FAI ou opérateur mobile.

Privacy protections require #transparency. Consumers need to understand what info is being collected, used and shared by ISPs #ItsYourData

— The FCC (@FCC) 10 mars 2016

En outre, la FCC veut mieux s'assurer de la protection de ces précieuses données par les groupes télécoms. La proposition renforce la responsabilité des opérateurs en matière de protection des données, notamment via une meilleure formation des équipes et l'application de bonnes pratiques. En cas de fuite de données, chaque opérateur devra prévenir les utilisateurs touchés au plus tard dix jours après sa découverte. Sous sept jours, l'entreprise devra prévenir la FCC et, si la brèche concerne plus de 5 000 utilisateurs, le FBI et les services secrets.

« Un FAI gère tout le trafic réseau de ses clients, ce qui veut dire qu'il a une vue complète de toute leur activité en ligne non-chiffrée (les sites qu'ils visitent, les applications qu'ils utilisent). Si les clients ont un terminal mobile, leur fournisseur peut suivre leur activité physique et en ligne sur la journée en temps réel » justifie la FCC dans sa proposition, en expliquant que même avec le chiffrement, un FAI peut toujours connaître les pages auxquelles l'utilisateur accède.

Le débat s'accélère sur la vie privée aux États-Unis

En fait, cette initiative de la FCC n'est une surprise pour personne, surtout pas les opérateurs. À la mi-février, six associations s'étaient liguées pour affirmer au régulateur que le cadre actuel est bien suffisant. Deux visions s'opposent : celle portée par le secteur télécoms, qui estime que les règles fixées par l'autorité américaine de la concurrence (FTC) sont suffisantes en matière de vie privée, quand la FCC estime pour sa part qu'il faut les réviser. Le gendarme est, comme d'habitude, soutenu par les associations de défense des libertés sur le sujet.

Le débat intervient environ un an après l'adoption de la neutralité du Net par le régulateur, qui induit notamment des obligations renforcées en matière de transparence et de vie privée pour les opérateurs. Jusqu'ici, la forme du renforcement sur les données personnelles était encore à déterminer. C'est ce que vient d'accomplir la FCC avec la proposition d'hier.

Le lobby des opérateurs câble américains, la NCTA, a d'ailleurs rapidement répondu à la publication de l'autorité. « Nous sommes déçus de la décision apparente du président Wheeler de proposer des règles pour les FAI en contradiction avec celles requises des autres grandes entités du Net » affirme l'association, qui demande encore une régulation calquée sur celle des GAFA, par exemple. Pour eux, cette décision est motivée par la peur et non les faits.

Verizon et les « supercookies » impossibles à supprimer

En clair, elles estiment qu'un opérateur doit avoir les mêmes obligations que les géants du Net, qui manipulent également des données. C'est le principal argument de l'industrie, que le régulateur bat (encore) en brèche. « La relation d'un consommateur avec son FAI est très différente de celle qu'elle avec un site ou une app. Les internautes peuvent changer instantanément de service, de moteur de recherche ou d'application. Mais quand ils s'abonnent à une offre Internet, les consommateurs peuvent à peine éviter le réseau pour lequel ils paient des frais mensuels » répond ainsi la FCC.

Une nouvelle récente devrait d'ailleurs beaucoup peser dans les discussions. Après plus d'un an d'enquête, la FCC a signé cette semaine un accord avec l'opérateur Verizon, qui injectait des « supercookies » indélébiles dans le trafic web de ses clients mobile. Ils ont notamment servi à des sociétés marketing pour recréer des cookies supprimés par les utilisateurs, sans que ceux-ci n'en soient jamais prévenus.

Verizon a accepté de payer 1,35 million d'euros d'amende et doit donner les moyens à ses utilisateurs de se désinscrire de ce programme. De même, il devra les prévenir en cas de partage de ces données avec des tiers. Soit des demandes proches que celles formulées par la FCC dans sa proposition d'hier. L'opérateur a trois ans pour se conformer à la loi.