Quelles données sont collectées par les acteurs du marché de la téléphonie ?

Depuis la poche de leurs usagers, systèmes d’exploitation, opérateurs mobiles et fabricants de smartphones siphonnent les données.

Avec une telle accroche, on se doute que cet article va adopter un ton assez polémique. Toutefois, il nous en dit plus sur la position d’Orange sur cette thématique.

Chez l’opérateur Orange, on indique ne pas commercialiser les informations des abonnés. « On ne vend pas nos bases de données », précise avec fermeté, la cellule RGPD du groupe. Des services comme Flux Vision d’Orange Business Service commercialisent toutefois certains éléments les concernant. Orienté à destination des acteurs du tourisme, des transports et du commerce, Flux Vision collecte ainsi, via les antennes-relais d’Orange, les métadonnées mobiles des abonnés : âge, genre, catégorie socioprofessionnelle, géolocalisation, leur origine géographique, les appels émis et reçus, SMS, la consommation de données mobiles.« On va pouvoir connaître les lieux de nuitée des personnes, toujours de façon anonyme, également leur lieu d’activité en journée, et pouvoir déterminer des flux pendulaire entre lieu de résidence et lieu de travail, et qualifier ces mobilités », expliquait Jean-Luc Chazarain, responsable priorité des ventes chez Orange Business Services lors d’une keynote organisé par Acteurs Publics.

Orange indique que ces données sont anonymisées, en supprimant l’identifiant unique universel du téléphone, conformément aux exigences de la CNIL et le RGPD. « Quand ces acteurs parlent d’anonymat, il s’agit en réalité de pseudonymat, qui n’est pas une garantie de la protection de la vie privée, estime toutefois la Quadrature du Net. Les données de géolocalisation peuvent permettre de retrouver la personne, l’adresse où elle habite, et par corrélation ses proches, quand plusieurs numéros de téléphone bornent au même endroit. »

Ce scénario est-il crédible ? Des chercheurs de l’Université catholique de Louvain, en Belgique, et de l’Imperial College de Londres ont développé, en 2019, un algorithme capable de ré-identifier des individus à partir de données anonymisées. Leur expérience démontre qu’à partir de 15 données démographiques, et plus particulièrement l’âge, le genre et le domicile, « 99,98 % des Américains seraient correctement ré-identifiés dans n’importe quel jeu de données ».

Pour les chercheurs, ces résultats suggèrent que « même des jeux de données anonymisés fortement échantillonnés sont peu susceptibles de satisfaire aux normes modernes d’anonymisation énoncées par le RGPD, et remettent sérieusement en question l’adéquation technique et juridique du modèle de libération et d’oubli de l’anonymat ». Les risques pour la vie privée dépendent alors des situations. Une analyse des localisations et des trajectoires des taxis de New York a souligné la possibilité d’évaluer les revenus de 91 % des chauffeurs qui sillonnent la grosse pomme.

L’information dont disposent les abonnés sur leurs données personnelles est-elle suffisante pour faire un choix éclairé ? Contactée pour savoir si cet enjeu fait l’objet d’une réflexion chez les principaux opérateurs français, la Fédération Française des Télécoms indique : « Les opérateurs se conforment à la réglementation (…) Il revient à la CNIL d’assurer le contrôle de l’existence du consentement préalable, spécifique et éclairé, de la prospection directe par courriel ou sur les réseaux sociaux donné à l’émetteur du message. À ce stade, nous n’avons jamais eu d’alertes sur le sujet. »

Plus d’informations dans Numerama – Moran Kerinec – 07/07/2021