Google vs. Viacom : l'internaute à nouveau perdant
Ces listes incluront, entre autres, l'adresse IP de l'ordinateur client (pour rappel, l'adresse IP est l'identifiant unique associé à un ordinateur lorsqu'il se connecte directement à Internet), la date et heure de consultation, le nom d'utilisateur en cas de consultation depuis un compte authentifié ainsi que les détails de la vidéo consultée.
Ainsi décrite, cette liste fournira à Viacom deux informations essentielles :
- La liste des internautes ayant consulté une vidéo particulière, en l'occurrence, protégée par le droit d'auteur.
- La liste des vidéos consultées pour un internaute donné.
Là où cela devient plus intéressant, c'est lorsque l'on sait que Google enregistre une série d'informations pour chacune des connexions effectuées sur ses services (certainement plusieurs millions par minute) et stocke ces informations durant 18 mois (au moins).
Le cas est ici quelque peu anecdotique dans la mesure où Google a été plusieurs fois "tapé sur les doigts" par des groupements d'utilisateurs inquiets pour la protection de leurs données personnelles. De nombreux internautes ont demandé à Google de réduire la durée de rétention de ce genre d'informations ou au moins de les anonymiser, ce qui permettrait d'en conserver la valeur "statistique" tout en protégeant les internautes. En vain.
Google est aujourd'hui contraint de mettre à disposition ces informations. Contrainte à laquelle la société n'aurait certainement pas pu plier si elle avait suivi les recommandations de ses fidèles utilisateurs...
NDA
Ce cas soulève une interrogation prenant une place de plus en plus prépondérante en matière de protection des internautes.
La question à se poser lorsque l'on utilise un service quelconque est de déterminer quelle est la durée de rétention des données et sous quelle forme.
L'on s'intéresse ici tout particulièrement à deux types d'information :
- les données actives, découlant directement du service proposé à l'internaute ;
- les données passives, " créées " indirectement par l'utilisation du service ;
Afin d'imager ces deux catégories, je prends exemple sur le service de réseautage social Facebook. La première catégorie réunit tout le contenu créé "activement" par l'utilisateur, à savoir, son profil, ses photos, ses liens et surtout, ses discussions privées. Cette base de données sait "qui" fait "quoi", "comment" et "quand".
La seconde catégorie de données enregistrées (celles découlant de l'utilisation du service mais enregistrées de manière passive) s'apparentera plutôt à l'utilisation des ressources : date et heure exactes de connexion, ressource demandée, provenance de la demande, adresse IP de l'utilisateur et compte associé, paramètres du navigateur etc. Cette base de données sait donc "qui" a fait "quoi" et "quand", sans pour autant y inclure le "contenu" des activités de l'internaute.
Lorsque l'on demande à un service tel que Facebook quelle est sa politique de rétention des données, il devra donc répondre selon trois aspects :
- Combien de temps les informations "actives" sont-elles conservées dès lors que l'utilisateur ne se connecte plus au service ou décide de supprimer son compte ?
- Combien de temps les informations "passives" sont-elles conservées, indépendamment de l'utilisation du service, et qu'advient-il de ces données lorsque l'utilisateur souhaite supprimer son compte ?
- Les informations stockées sont-elles anonymisées passé un certain délai?
La problématique posée ici dans le cas de Google est particulièrement vicieuse : l'internaute a accepté que Google effectue des analyses sur les données collectées suite à l'utilisation du service. En revanche, l'internaute n'acceptera pas, du moins explicitement, que les données lui concernant soient exploitées par un tiers. C'est pourtant ce qu'il se passe ici, suite à un ordre du juge.
Dès lors, toute entreprise souhaitant à la fois collecter des données permettant une meilleure compréhension de ses utilisateurs tout en protégeant leur vie privée (dans le cas d'une éventuelle action en justice) devra mettre en place des mesures adaptées en conséquence.
Lesquelles ? Le débat est d'actualité sur le web.
Certains proposent que les données soient anonymisées. Un fournisseur de services internet peu par exemple supprimer les adresses IP de ses journaux d'activité après une année. Cela lui permettrait de répondre à la fois à ses obligations légales en matière de rétention tout en conservant la valeur statistique de ces données en cas d'exploitation ultérieure. Dans le cas d'un ordre d'un juge ou, vision plus pragmatique, dans le cas où la base de données serait piratée, l'identité des internautes serait un peu mieux protégée.
D'autres internautes proposent que les services web transmettent leurs données à des entreprises tierces, chargées exclusivement de la conservation de ce genre d'information. Dans le cas de l'affaire Google-Viacom, le juge n'aurait ainsi pas pu contraindre Google à livrer des informations : Google ne les aurait pas eu en sa possession! Une autre action aurait donc du être entamée envers la société tierce, et des bases légales justifiées seraient nécessaires, rendant ainsi beaucoup plus complexe le processus d'acquisition de ces données pour un concurrent.
Quoi qu'il en soit, la question est aujourd'hui posée mais la réponse adéquate n'a pas encore été trouvée. L'Europe se concentre actuellement sur la légitimité de l'enregistrement systématique des adresses IP des internautes lorsqu'ils accèdent à un service sur le web. C'est déjà un bon début.
Et puis bon..Viacom possède MTV, j'espère que vous cernez déjà plus ou moins où se situe l'intérêt de pouvoir accéder à ces données... éthique et respect du droit d'auteur ou tout simplement une bonne vieille action désespérée d'un concurrent?
http://www.monblog.ch/commedansdubeurre/?story=google-vs-viacom-l-internaute-a-nouveau-perdant
Pour en savoir plus:
- Finding Fault With Google's Privacy Policy