Google, Microsoft et Meta vous suivent même lorsque vous désactivez leur suivi, selon un audit indépendant
« C’est le détroit d’Ormuz de l’économie des données. Si vous voulez un changement, c’est ici qu’il faut couper court. Tout autre choix n’est que posture politique théâtrale. »
Un audit indépendant de la protection de la vie privée mené sur le trafic web de Microsoft, Meta et Google en Californie a révélé que ces entreprises pourraient enfreindre la réglementation de l’État et accumuler des milliards de dollars d’amendes.
Selon cet audit réalisé par le moteur de recherche spécialisé dans la protection de la vie privée webXray , 55 % des sites analysés déposent des cookies publicitaires dans le navigateur des utilisateurs, même si ces derniers ont refusé le suivi. Chaque entreprise a contesté les résultats de l’étude, Google affirmant qu’ils reposaient sur une « méconnaissance fondamentale » du fonctionnement de son produit.
L’audit de confidentialité californien de webXray a analysé le trafic web de plus de 7 000 sites web populaires en Californie au mois de mars et a constaté que la plupart des entreprises technologiques ignorent les demandes de désactivation du suivi par cookies. La Californie dispose d’une législation stricte et bien définie en matière de protection de la vie privée grâce à la loi californienne sur la protection des données des consommateurs (CCPA), qui permet notamment aux utilisateurs de s’opposer à la vente de leurs informations personnelles. Il existe un système appelé Global Privacy Control (GPC), qui comprend une extension de navigateur signalant au site web lorsqu’un utilisateur souhaite désactiver le suivi.
D’après l’audit webXray, Google n’a pas permis aux utilisateurs de se désinscrire du suivi publicitaire dans 87 % des cas. « Le non-respect par Google du signal de désinscription du suivi publicitaire est facilement repérable dans le trafic réseau. Lorsqu’un navigateur utilisant le suivi publicitaire se connecte aux serveurs de Google, il encode le signal de désinscription en envoyant le code « sec-gpc: 1 ». Cela signifie que Google ne devrait pas renvoyer de cookies », indique l’audit. « Or, lorsque le serveur de Google répond à la requête réseau avec le signal de désinscription, il envoie explicitement une commande pour créer un cookie publicitaire nommé IDE à l’aide de la commande « set-cookie ». Cette non-conformité est flagrante et facile à détecter. »
L’audit a révélé que Microsoft ne parvient pas à désinscrire les utilisateurs de la même manière et affiche un taux d’échec de 50 % dans le trafic web analysé par webXray. Le taux d’échec de Meta était de 69 % et l’analyse plus détaillée. « Meta demande aux éditeurs d’installer le code de suivi suivant sur leurs sites web. Ce code ne vérifie pas les signaux de désinscription standardisés : il se charge systématiquement, déclenche un événement de suivi et installe un cookie, indépendamment des préférences de confidentialité de l’utilisateur », indique l’audit. Ce dernier a présenté une copie des données de suivi de Meta, ne comportant aucune vérification GPC.
webXray est une entreprise technologique indépendante qui exploite un moteur de recherche permettant de détecter les atteintes à la vie privée sur Internet . Son fondateur, Timothy Libert, était auparavant responsable de la politique et de la conformité en matière de cookies chez Google. Libert a déclaré à 404 Media qu’il estimait que son rôle chez Google était de protéger les utilisateurs, mais que sa hiérarchie ne partageait pas cet avis. Il a quitté l’entreprise en 2023 pour fonder webXray.
« Peu avant mon départ, mon patron m’a dit, je cite textuellement : “Mon travail est de protéger l’entreprise.” Une autre fois, j’ai eu une discussion ontologique très sérieuse avec un ingénieur assez expérimenté sur la différence entre les taxes et les amendes, et il ne comprenait pas qu’il y avait une différence », a-t-il déclaré.
Microsoft, Meta et Google ont collectivement versé des milliards de dollars d’ amendes pour des violations de la vie privée similaires à celles que Libert et webXray ont mises au jour lors de leur audit. Selon Libert, les géants de la tech ne craignent pas ces amendes. « À bien des égards, les amendes ont remplacé les impôts », a-t-il déclaré. « Ce que je cherche à démontrer, c’est : “Comment l’application de la loi échoue-t-elle ?” Notre objectif est de permettre aux acteurs des milieux juridiques et réglementaires qui travaillent sur ces questions de comprendre ce qui se passe réellement en coulisses. »
L’un des aspects techniques révélés par l’audit concerne le fonctionnement des bannières de cookies. Tous les internautes ont déjà vu ces fenêtres contextuelles agaçantes qui demandent aux utilisateurs comment ils souhaitent gérer les cookies émis par le site. On les appelle des plateformes de gestion du consentement (CPM). Google, l’un des principaux fournisseurs de cookies, exploite un service appelé « Cookiebot » qui certifie les CPM.
« Ce conflit d’intérêts manifeste nous a amenés à nous interroger : ces plateformes de gestion de cookies (CMP) sont-elles réellement efficaces ? », indique l’audit. « En mesurant ce qui se passe lorsqu’un signal de désactivation est envoyé à un site web, nous avons pu le déterminer, et les conclusions sont sans équivoque : aucune des CMP certifiées par Google que nous avons évaluées ne fonctionne à 100 %, et toutes échouent souvent à empêcher Google de déposer des cookies malgré la présence de signaux de désactivation. »
webXray a indiqué avoir testé trois fournisseurs de services de gestion de contenu (CMP) et constaté des taux d’échec de désactivation de 77 %, 91 % et 90 %. « Ça ne marche pas. Ça ne fonctionne pas. Ça permet à Google, et plus précisément à la partie qui affirmait que cela fonctionnerait, de déposer des cookies », a déclaré Libert.
Google, Meta et Microsoft ont tous contesté l’audit. « Ce rapport repose sur une incompréhension fondamentale du fonctionnement de nos produits. Nous respectons les options de désabonnement proposées par les annonceurs et les éditeurs, conformément à la loi », a déclaré un porte-parole de Google à 404 Media.
« Il s’agit d’une stratégie marketing qui dénature le fonctionnement du GPC et le rôle de Meta », a déclaré Meta. « Le GPC limite uniquement certaines utilisations des données tierces et permet aux exploitants de sites web de passer outre les signaux GPC. Nous proposons la fonctionnalité d’utilisation limitée des données (LDU) pour aider les sites web à indiquer les autorisations dont ils disposent. Lorsque des données nous sont transmises avec l’indicateur LDU, nous en limitons l’utilisation, conformément à nos conditions d’utilisation spécifiques à chaque État. »
« La protection de la vie privée des consommateurs est une priorité absolue pour nous, et nous restons attachés à la transparence et au respect des exigences applicables en matière de confidentialité. Comme indiqué dans notre Déclaration de confidentialité, lorsque nous recevons un signal GPC, nous refusons que l’utilisateur partage ses données personnelles avec des tiers à des fins de publicité personnalisée, et nos systèmes publicitaires sont conçus pour respecter ce choix », a déclaré un porte-parole de Microsoft. « Certains cookies Microsoft sont nécessaires au fonctionnement du service et peuvent donc être placés et lus même lorsqu’un signal GPC est détecté. »
« À mon avis, ce n’est pas compliqué. On leur dit : “Ne trichez pas.” Ils trichent quand même », a déclaré Libert. « Les autorités voient un renard entrer dans le poulailler et le renard dit : “Je suis juste là pour compter les œufs, pas pour manger les poules.” Et elles le croient sur parole. Elles ne leur demandent aucun document public. »
Lorsqu’elles sont prises en flagrant délit, les entreprises se voient infliger des amendes par les gouvernements, et ces dernières les paient. Selon Libert, cela ne suffit pas. « Elles peuvent payer des amendes indéfiniment », a-t-il déclaré.
L’élément clé de l’audit réside dans la solution simple proposée par Libert et son équipe pour remédier aux infractions. Selon webXray, il suffit d’ajouter une ligne de code. « Lorsque le serveur publicitaire de Microsoft reçoit du trafic avec Sec-GPC : 1, il lui suffit de renvoyer un code d’état 451 (Indisponible pour des raisons légales) pour indiquer que le contenu ne peut être diffusé en raison du refus légal exercé par l’utilisateur. Aucun cookie n’est installé dans ce cas », précise l’audit.
« C’est le détroit d’Ormuz de l’économie des données. Si vous voulez un changement, c’est ici qu’il faut couper court. Tout autre choix n’est que posture politique théâtrale », a déclaré Libert.