La protection des données sur internet en questions

Le Conseil de l’Europe organisait lundi la deuxième journée de la protection des données. Une question particulièrement sensible sur internet, depuis la polémique de la publicité ciblée sur Facebook. À quoi correspondent ces données ? Peut-on s’opposer à leur récolte ? Que dit la loi ? Réponses dans ce dossier.

Célibataire sur Facebook, vous tombez sur une publicité pour un site de rencontres. Coïncidence ? Non : publicité ciblée. Grâce aux données que vous lui avez communiquées, le site de socialisation, comme beaucoup d’autres, sait afficher de la publicité collant à votre profil.

La semaine dernière, la Commission européenne des libertés civiles a demandé à Facebook une clarification sur la durée de conservation des données personnelles, des adresses IP et l’analyse des profils de ses membres pour délivrer les publicités. La CNIL en a profité pour dénoncer le flou de la politique de confidentialité du réseau social, malgré la mise en place d’une option pour désactiver le nouveau système publicitaire, Beacon.

Ces questions devaient être au cœur de la deuxième journée européenne de la protection des données personnelles. Organisée par le Conseil de l’Europe, elle vise à « sensibiliser le public à la protection des données et l’informer de ses droits et des bonnes pratiques, lui permettant ainsi d’exercer ces droits de manière plus efficace ».

Quelles données sont utilisées dans le ciblage comportemental et comment sont-elles recueillies ?
Il s’agit généralement d’informations comme le type de pages consultées, les requêtes effectuées, le nombre de clics sur une bannière. Les régies publicitaires les récoltent grâce à grâce à un cookie mis sur les pages d’un panel de sites partenaires. L’usage de logiciels espions comme les spyware et adware n’est pas autorisé en Europe, contrairement aux Etats-Unis.

Des données issues de panels d’audience (type Nielsen NetRatings et Comscore) corrigent et complètent ces informations. Un profil statistique de l’individu est dressé grâce au recoupement des informations recueillies. Les publicités adressées à l’internaute dépendront alors de ce profil, qui évolue en fonction de la fréquence et de l’actualité des visites sur les différents sites.

De leur côté, les moteurs de recherche conservent, pour une durée n’excédant pas 24 mois les requêtes des internautes.

Peut-on empêcher la récolte de données ?
Selon les régies publicitaires, il est simple de s’opposer au ciblage comportemental. Il suffit de supprimer le fichier « cookie » stocké dans le navigateur web. L’internaute peut également paramétrer son navigateur pour qu’il empêche le dépôt de cookie. Ce qui demande une attention particulière et fait perdre quelques avantages comme les connexions automatiques et les configurations antérieures de pages d’accueil.

De nombreux logiciels existent également pour effacer les traces des internautes comme Free Internet Eraser, Tor, NoTrace. Mais l’anonymat complet est impossible. Il est fonction des habitudes des internautes dans la navigation, les application qu’ils utilisent et le nombre d’informations transmises. A noter que les versions britanniques et américaines du moteur de recherche Ask sont dotées d’une fonction “AskEraser” permettant de supprimer toute trace de requêtes, cookies et identifiants stockés sur ses serveurs. La version française devrait être équipée courant 2008.

Ces données sont-elles protégées ? Quelles sont les limites de la législation ?
Tous les acteurs (autorités de régulation, associations de consommateurs, régies publicitaires et moteurs de recherche) s’accordent sur au moins un point. : il est indispensable de définir rapidement un statut international de la protection de la vie privée des internautes.

Selon la législation européenne, les données utilisées par les régies publicitaires doivent être anonymes, c’est-à-dire ne pas permettre l’identification de l’internaute. L’Europe, qui est pourtant l’une des plus protectrices dans le monde, ne considère toutefois pas un ensemble d’informations sur le comportement de l’internaute et ses actions comme une donnée à caractère personnel. Le statut de l’adresse IP – ce numéro qui identifie un ordinateur à chaque connexion à internet – reste lui sujet à débat.

La question de l’anonymat de ces informations se pose tout de même lorsque l’internaute devient acheteur et communique ses données personnelles. En principe, les bases de données de la régie et du site ne sont pas communes et sont stockées séparément. C’est ce type d’argument que Google a avancé à la FTC américaine et à la Commission européenne pour faire valider par ces deux institutions le rachat de la régie DoubleClick.