Sur la piste des pisteurs : comment les géants de la tech contournent discrètement vos demandes de refus

Imaginez cliquer sur « Ne pas me pister » dans votre navigateur, pousser un soupir de soulagement, puis continuer à naviguer sur le web - sans savoir qu’en coulisses, les plus grandes entreprises technologiques du monde pourraient ignorer votre choix. De nouvelles recherches menées par le groupe de surveillance de la vie privée webXray révèlent une réalité inquiétante : pour des millions d’utilisateurs, refuser le pistage en ligne n’est qu’une illusion.

En bref

• L’audit de webXray en mars a identifié 194 services publicitaires ignorant les signaux de refus dans le trafic web californien.
• Google a ignoré les demandes de refus dans 86 % des cas, Microsoft dans 50 % et Meta dans 69 %, selon le rapport.
• La loi californienne impose de respecter les signaux Global Privacy Control (GPC) - les contrevenants ont déjà écopé d’amendes de plusieurs millions de dollars.
• Les entreprises technologiques défendent leurs pratiques, affirmant que le rapport ne comprend pas le fonctionnement de leurs systèmes de gestion de la vie privée.
• Le PDG de webXray, ancien responsable de la confidentialité chez Google, affirme que le non-respect des règles « se cache à la vue de tous ».

L’illusion du contrôle

Le California Consumer Privacy Act (CCPA) était censé donner aux utilisateurs le pouvoir de dire « non » au pistage et à la vente de leurs données. Grâce au Global Privacy Control (GPC), les utilisateurs peuvent signaler leur préférence de refus via une extension ou un paramètre du navigateur, s’attendant à ce que les sites web et les annonceurs respectent leur choix. Mais l’analyse médico-légale du trafic web californien par webXray suggère le contraire : même après l’envoi d’un message clair « ne pas me pister », les principales plateformes publicitaires continuent d’implanter des cookies de suivi.

Selon le rapport, Google n’a pas respecté les signaux GPC dans 86 % des cas. Des preuves flagrantes sont apparues dans le trafic réseau : lorsqu’un navigateur envoyait un signal GPC, les serveurs de Google ordonnaient tout de même la création d’un cookie publicitaire nommé « IDE » - précisément le mécanisme que les régulateurs cherchent à restreindre. Le taux de non-respect de Microsoft était de 50 %, avec un schéma similaire d’implantation de cookies malgré les demandes de refus. Meta (maison mère de Facebook) ne fait guère mieux, ignorant 69 % des refus et, selon le rapport, ne vérifiant même pas la présence de signaux GPC.

Les trois entreprises contestent ces conclusions. Google affirme respecter la loi et évoque une « incompréhension fondamentale » de ses systèmes. Microsoft soutient que certains cookies sont nécessaires au fonctionnement, même en présence d’un signal GPC. Meta qualifie la recherche de « coup de marketing », arguant que le GPC limite le partage, mais pas la collecte des données, et que la responsabilité incombe aux annonceurs utilisant ses outils.

Pourtant, les régulateurs californiens ont déjà infligé des amendes à des entreprises comme Sephora et Disney pour des manquements similaires. Avec l’accumulation des preuves et l’attention croissante, l’écart entre les promesses de confidentialité des géants de la tech et leurs pratiques réelles devient de plus en plus flagrant.

Pourquoi c’est important

Pour les utilisateurs, ces résultats sont un signal d’alarme : vos clics sur les paramètres de confidentialité ne vous protègent peut-être pas autant que vous le pensez. À mesure que les législateurs et les régulateurs intensifient les contrôles, la pression monte sur les géants du secteur pour qu’ils offrent une véritable transparence et respectent réellement le consentement des utilisateurs. D’ici là, la bataille pour la vie privée numérique se joue autant dans le code caché que dans les promesses inscrites en petits caractères.

WIKICROOK

• Cookie : Un cookie est un petit fichier de données stocké dans votre navigateur web pour mémoriser votre activité, vos préférences ou vos identifiants sur les sites internet.
• Global Privacy Control (GPC) : Le Global Privacy Control (GPC) est un paramètre du navigateur qui permet aux utilisateurs de signaler automatiquement leurs préférences de confidentialité aux sites web, facilitant le respect des lois sur la vie privée.
• California Consumer Privacy Act (CCPA) : Le CCPA est une loi californienne qui accorde aux résidents le droit de savoir, d’accéder, de supprimer et de contrôler l’utilisation de leurs données personnelles par les entreprises.
• Suivi publicitaire : Le suivi publicitaire surveille votre comportement en ligne afin de diffuser des publicités ciblées, en collectant des données sur vos centres d’intérêt, votre localisation et vos habitudes de navigation.
• Opt : Opt est un signal du navigateur qui indique aux sites web que vous ne souhaitez pas que vos données personnelles soient partagées ou vendues, renforçant ainsi votre confidentialité et votre contrôle en ligne.