La semaine dernière, le courtier en données de géolocalisation Gravy Analytics a subi une fuite par un pirate. Une liste de plus de 12 000 applications utilisées par le databroker pour sa collecte était ensuite révélée, dont Vinted, Tinder ou encore celle du média people français Gala, celle du Bon Coin ou encore du programme TV Télé-Loisirs. La maison mère de Gravy Analytics, Unacast, a d'ailleurs confirmé à la Datatilsynet, l'autorité de protection des données norvégienne, la fuite [PDF], expliquait en fin de semaine le média public norvégien NRK.

Mais Gravy Analytics n'est pas le seul courtier en données à s'intéresser à la géolocalisation. Nos confrères du Monde, de netzpolitik.org et Bayerischer Rundfunk (Allemagne), de Wired (États-Unis), de SRF et RTS (Suisse), de NRK Beta (Norvège), de BNR Nieuwsradio (Pays-Bas) ainsi que de Dagens Nyheter (Suède) ont pu analyser un échantillon envoyé à des fins de présentation commerciale de Datastream.

Suivie sans s'en rendre compte

Par exemple, la NRK explique avoir rencontré Line, une habitante de la ville de Moss, dans le sud de la Norvège. L'application Kik Messaging & Chat qu'elle avait installée sur son smartphone partageait sept fois par jour sa localisation sans que Line ne s'en aperçoive. « Je pense que c'est terrible et tragique », a réagi la Norvégienne quand le média lui a expliqué l'avoir retrouvée grâce aux données partagées par cette application. L'entreprise responsable de l'application n'a pas répondu aux questions de la NRK.

Le média a montré à Line comment, après avoir récupéré un simple échantillon commercial, il avait pu avoir accès non pas à son numéro de téléphone ou à son adresse email, mais aux données de localisation GPS et à l'IP de son smartphone. Line s'est étranglée : « Quoi ? C'est si simple ? Que quelqu'un puisse s'asseoir là et en savoir autant ? »

47 millions d’identifiants publicitaires dans l'échantillon

NRK explique que le smartphone de Line fait partie des 17 000 téléphones norvégiens suivis pendant une journée de l'été dernier et qui ont envoyé leurs mouvements 160 000 fois.

En effet, la base de données récupérée par nos collègues correspond au seul 2 juillet 2024. En tout, elle contient plus de 47 millions d’identifiants publicitaires distincts dans 137 pays, dont plus d’un million pour la France, explique le Monde. Ces identifiants sont générés par leur smartphone (Android ou iOS) et liés au nom de l'application utilisée par Datastream.

NRK a cartographié toutes les données du fichier représentées en rouge vif ci-dessous :

Le Monde a lui aussi pu suivre les déplacements d'une personne utilisant l'application Wordbit. Elle s'est trouvée « à proximité du village de Fussey (Côte-d’Or), en plein vignoble bourguignon, en début d’après-midi ». « Peu avant 15 heures, elle chemine le long de la départementale qui serpente dans les vignes, traverse Nuits-Saint-Georges et bifurque vers le nord, longeant certaines des parcelles viticoles les plus prestigieuses au monde avant d’entrer dans l’agglomération dijonnaise sur les coups de 15 h 30 », détaillent nos confrères.

Le Bon Coin et Vinted en bonnes places

Dans les données à leur disposition, nos collègues ont pu constater que les applications du Bon Coin et de Vinted étaient de « gros pourvoyeurs de données personnelles ». En effet, la première a partagé 177 630 données de géolocalisation fine et la deuxième 71 609 données de localisation approximative. Mais comme pour Gravy Analytics, ils ont retrouvé d'autres applications populaires comme Grindr ou Candy Crush.

Nos confrères expliquent que les données de géolocalisation fine sont collectées après que les applications ont demandé aux utilisateurs l'autorisation de les géolocaliser pour affiner les recommandations publicitaires ou leur fonctionnement. Si l'accès à celles-ci peut être refusé, l’adresse IP de l’appareil est toujours disponible pour enregistrer des données de localisation approximative.

Le Monde montre dans son article qu'un trajet d'un utilisateur peut être facilement surveillé. On peut aisément déduire son domicile ou surveiller ses déplacements dans une zone précise, comme sur le campus de l'École polytechnique à Paris-Saclay.

Netzpolitik.org précise que plus de 40 000 applications sont listées dans cet échantillon commercial de Datastream, aussi bien sur des smartphones Android que des iPhone.

Une « énorme perte de contrôle »

Interrogé par Netzpolitik.org, Martin Baumann, de l'association noyb, parle d'une « énorme perte de contrôle ». Et il constate qu'il est « pratiquement impossible pour les individus de savoir où leurs données aboutissent. [...] Les utilisateurs sont en fait privés du contrôle de leurs données ».

La plupart des entreprises responsables des applications en question n'ont pas répondu au Monde. « Le Bon Coin se borne à rappeler son attachement à "la protection des données et la sécurité des informations de ses utilisateurs", ainsi qu’au respect des réglementations en la matière », expliquent nos confrères. Du côté de Vinted, l'entreprise assure examiner le sujet « déterminer comment [ses] utilisateurs ont pu être affectés, y compris de manière indirecte via des services tiers ».