Les opérateurs de téléphonie mobile gagnent de l'argent sur vos données à votre insu

À première vue, la relation entre un client et un opérateur de téléphonie mobile semble assez simple. Vous payez une redevance mensuelle et, en retour, vous pouvez passer des appels et naviguer sur l'internet jusqu'à ce que vous manquiez de données ou que vous receviez la prochaine facture. Cependant, ce n'est qu'à première vue que cette relation n'est rien d'autre qu'un simple échange "service contre paiement".

Ce que beaucoup d'entre nous ne réalisent pas, c'est que les opérateurs de téléphonie mobile ne se contentent pas de fournir un service, mais qu'ils collectent et vendent également nos données personnelles. Chaque fois que nous utilisons leurs réseaux cellulaires, nous leur donnons accès à notre historique web, à notre historique d'appels, aux SMS que nous envoyons, aux applications mobiles que nous utilisons, etc. Ces données peuvent en dire long sur nos préférences, nos habitudes et nos comportements. Naturellement, elles peuvent profiter aux annonceurs qui les utilisent pour nous proposer des offres personnalisées.

Nous entendons souvent parler de la manière dont des entreprises comme Meta et Google utilisent nos données à des fins publicitaires. Mais leurs services - pensez à Instagram ou à Gmail - sont au moins gratuits, et nous nous attendons en quelque sorte à ce qu'ils soient assortis de conditions (après tout, vous ne trouverez du fromage gratuit que dans la souricière). En revanche, lorsqu'il s'agit d'opérateurs de téléphonie mobile, nous payons déjà une facture de téléphone portable de plus en plus élevée, et nous pourrions supposer que c'est tout ce qu'ils obtiennent de nous. Malheureusement, ce n'est pas le cas.

Les opérateurs de téléphonie mobile, tels que AT&T, Verizon et T-Mobile - respectivement 1er, 2e et 3e fournisseurs de services mobiles aux États-Unis en termes de parts de marché - sont tous actifs dans le domaine du partage des données (c'est-à-dire de la vente de données).

Comment les opérateurs de téléphonie mobile américains accèdent aux données sensibles et les partagent

Pour savoir comment les principaux opérateurs de téléphonie mobile utilisent les données de leurs clients, il suffit de consulter leur politique de confidentialité. Mais avant de plonger dans leurs eaux troubles, il convient de préciser qu'ils partagent vos données de deux manières : par défaut et avec votre consentement.

L'option par défaut signifie que vous êtes automatiquement inscrit dans un programme de personnalisation des publicités et que vous devez modifier vos paramètres pour vous y soustraire (ce qui n'est pas réaliste si vous ne savez pas que ce programme existe). Les informations vous concernant qui sont partagées et collectées par défaut sont généralement moins personnalisées que celles qui sont collectées sur une base volontaire, en raison des lois sur la protection de la vie privée.

En ce qui concerne les programmes de personnalisation des publicités qui requièrent le consentement explicite de l'utilisateur, les opérateurs disposent d'une plus grande marge de manœuvre quant aux types de données qu'ils peuvent collecter et à la manière dont ils peuvent les utiliser. Le principe est le suivant : vous avez accepté la collecte et le partage de toutes ces données, et vous n'avez donc aucun scrupule à le faire. La réalité est cependant plus complexe. Ce n'est pas un secret que de nombreuses personnes ne lisent pas les politiques de confidentialité ou les formulaires de consentement avant de cliquer sur "accepter" : un tiers des Américains admettent qu'ils n'ont jamais pris l'habitude de lire une politique de confidentialité avant de l'accepter. Les entreprises, quant à elles, profitent de la réticence des utilisateurs à lire les petits caractères et utilisent des motifs sombres dans l'interface utilisateur pour nous inciter à accepter de partager nos informations personnelles. Elles peuvent le faire en utilisant délibérément un langage "vague" dans les formulaires de consentement et/ou en laissant entendre que vous obtiendrez un moins bon service ou que vous ne bénéficierez pas de certains avantages si vous n'acceptez pas.

Comment les opérateurs de téléphonie mobile exploitent les données de leurs clients pour gagner de l'argent

Il est vrai que le consentement est une question délicate. Les opérateurs de téléphonie mobile peuvent prétendre qu'ils partagent les données de leurs clients avec leur permission, mais ils peuvent aussi les inciter à donner leur accord. Cela étant dit, examinons de plus près le cas de T-Mobile, un opérateur de téléphonie mobile dont le programme de suivi a été qualifié de "effrayant ", "invasif " mais aussi "fréquent ".

T-Mobile

La politique de confidentialité de T-Mobile indique que l'entreprise recueille les données d'utilisation des applications de ses clients et les partage avec des annonceurs pour des "publicités pertinentes", à moins que les clients ne s'y opposent. Il est à noter que cela ne concerne que les utilisateurs d'Android, puisque les utilisateurs d'Apple sont épargnés. L'identifiant publicitaire mobile (MAID) des utilisateurs d'iOS - qui est un identifiant utilisé pour suivre le comportement et les préférences des utilisateurs à des fins publicitaires - n'est plus aussi facilement accessible depuis 2021, date à laquelle Apple a introduit la fonction App Tracking Transparency (ATT). Cette fonction a permis aux utilisateurs d'iOS de refuser plus facilement le suivi par des tiers, ce qui a rendu les appareils iOS moins utiles pour la publicité.

T-Mobile affirme qu'elle n'utilise pas les données d'utilisation des applications pour sélectionner des publicités en tant que telles, mais qu'elle les analyse pour créer des "modèles et des déductions " sur les utilisateurs, tels que leurs intérêts et leurs intentions d'achat. Ces informations sont basées sur les noms des applications qu'ils ont installées et sur le temps qu'ils y consacrent. T-Mobile combine ces données avec les informations que les clients fournissent eux-mêmes, telles que le sexe et la tranche d'âge, et les partage avec les annonceurs en même temps que les MAID des utilisateurs. Cela permet aux annonceurs de cibler les publicités en fonction des profils des clients.

On peut toutefois se demander dans quelle mesure MAID représente un risque pour la vie privée, puisque T-Mobile affirme qu'il n'est pas lié au nom d'un client ou à toute autre information permettant de l'identifier. S'agit-il de beaucoup de bruit pour rien et d'une question mineure qui prend des proportions démesurées ? Pas vraiment. Si MAID ne révèle pas directement l'identité d'une personne, cela ne signifie pas qu'elle est à l'abri d'être exposée par des tiers, tels que des spécialistes du marketing. Ceux-ci peuvent utiliser des services spéciaux proposés par des courtiers en données pour "démasquer" les utilisateurs et, par exemple, obtenir leur nom complet, leur adresse physique et d'autres détails personnels, comme l'a révélé un rapport de Motherboard il y a quelques années.

Comme si le programme "Relevant Ads" ne suffisait pas, T-Mobile propose également un autre programme appelé "Personalized Ads and Offers" qui recueille encore plus de données. Pour s'inscrire à ce programme, les clients doivent donner leur "autorisation expresse", mais celle-ci n'est peut-être pas très difficile à obtenir, compte tenu de la manière dont les formulaires de consentement sont souvent conçus. Ce programme analyse le trafic des clients de manière plus détaillée et recueille des données telles que la "localisation précise" et les "informations sur le domaine de premier niveau concernant votre activité de navigation sur le web à partir de vos données à large bande". Cela signifie que T-Mobile recueille et partage des informations sur les URL des sites web que vous visitez, mais pas sur les pages spécifiques qu'ils contiennent. Ces données peuvent néanmoins révéler beaucoup de choses sur vos intérêts et vos besoins, et peuvent être utilisées par les spécialistes du marketing pour adapter les publicités à vos besoins avec une grande précision.

Verizon

Le traitement des données des utilisateurs par T-Mobile n'est pas unique. Verizon collecte et "vend" également des données sur les utilisateurs, mais avec des programmes différents. L'un d'eux est "Business and Marketing Insights," auquel tous les utilisateurs sont automatiquement inscrits. Ce programme permet de savoir comment vous utilisez votre téléphone en analysant votre historique Web, la localisation de votre appareil, vos applications, vos fonctions, vos données démographiques et vos centres d'intérêt. Certaines de ces données peuvent provenir de tiers. Verizon les vend ensuite sous forme agrégée à des annonceurs, à moins que vous ne choisissiez de ne pas le faire. Les deux autres programmes sont "Custom Experience" et "Custom Experience Plus", ce dernier étant une option volontairement choisie. Le programme "Custom Experience Plus" recueille davantage de données que le programme "Custom Experience". Outre les sites web que vous visitez et les applications que vous utilisez, il enregistre également les numéros de téléphone que les clients appellent ou dont ils reçoivent des appels, ainsi que les données de localisation de l'appareil.

Verizon affirme qu'elle "s'efforce" d'éviter la collecte de données sensibles, telles que les visites de sites web liés à la santé et à la sexualité, ainsi que les données de localisation sensibles, en utilisant des filtres spéciaux. Mais, comme nous l'avons vu avec Meta et d'autres, ces filtres peuvent ne pas être efficaces. Verizon affirme également qu'elle ne partage pas les informations recueillies dans le cadre des programmes "Customer Experience" avec des tiers "afin qu'ils les utilisent pour leur propre publicité ", mais elle admet qu'elle partage les données avec "des fournisseurs de services qui travaillent pour nous " et qu'elle utilise les données elles-mêmes pour "personnaliser nos communications avec vous, vous donner des recommandations de produits et de services plus pertinentes et développer des plans, des services et des offres qui sont plus intéressants pour vous ".

Cela ressemble à de la publicité, même si Verizon ne l'appelle pas ainsi (les programmes "Business and Marketing Insights" et "Customer Experience", par exemple, n'ont même pas le mot "publicité" dans leur nom). Un tel manque de transparence est troublant. Et il semble encore plus troublant à la lumière de l'histoire récente de Verizon. En 2021, après avoir rebaptisé son programme Verizon Selects "Customer Experience", l'entreprise a été critiquée pour avoir inscrit des clients qui s'étaient précédemment retirés. Un simple oubli ? Nous n'en sommes pas si sûrs.

AT&T

Bien que les politiques de protection de la vie privée soient accessibles au public, ce qui permet à tout un chacun de les consulter et de savoir comment leurs données personnelles sont utilisées, ce n'est pas quelque chose que vous feriez normalement. De plus, pour comprendre une politique de confidentialité, il faut souvent se frayer un chemin à travers des murs de texte éparpillés sur de nombreuses pages et rédigés dans un langage vague et confus. Parfois, nous n'apprenons les pratiques des opérateurs de téléphonie mobile en matière de données que lorsque des violations de données les exposent au public. En mars de cette année, une violation de données d'un fournisseur tiers de services de marketing d'AT&T a révélé que près de 9 millions de clients d'AT&T avaient vu leurs données, telles que leurs noms, numéros de compte, numéros de téléphone, adresses électroniques, appareils utilisés et données relatives à l'accord de paiement, partagées avec le fournisseur de services de marketing.

La politique de confidentialité d'AT&T indique qu'elle recueille des informations sur la manière dont vous utilisez son réseau, ainsi que des informations sur votre appareil. Il s'agit notamment des données relatives à la navigation sur le web et aux applications, telles que les sites que vous visitez, les vidéos que vous regardez et les liens vers les publicités que vous voyez.

Source: Politique de confidentialité AT&T

AT&T peut enrichir ses dossiers déjà impressionnants sur ses clients avec des informations provenant de sources extérieures, telles que des rapports de solvabilité, des listes de diffusion marketing, des informations géographiques et démographiques, et même des messages publics sur des sites de réseautage social. Par défaut, tous les clients d'AT&T sont inscrits au programme de "publicité personnalisée" de la société. Ce programme permet aux annonceurs de cibler les publicités sur les clients en fonction de leurs données, y compris leurs données ethniques et raciales. Toutefois, ce programme n'utilise pas les données de navigation sur le web. Le programme "Personalized Plus", en revanche, permet aux annonceurs de tirer parti des informations relatives à l'utilisation des applications, de l'historique web, des Informations sur le réseau appartenant au client et de la localisation précise.

Est-ce différent dans l'Union Européenne ?

L'UE applique des réglementations plus strictes en matière de protection des données et de la vie privée que les États-Unis, qui n'ont toujours pas de loi fédérale sur la protection de la vie privée. Il est donc plus difficile pour les opérateurs de téléphonie mobile de collecter subrepticement les données de leurs clients, car le règlement général sur la protection des données (RGPD) de l'UE exige qu'ils obtiennent le consentement des clients avant d'utiliser leurs données à des fins publicitaires. Bien que la collecte et le partage de données en masse soient plus difficiles à réaliser dans l'UE que partout ailleurs, cela ne signifie pas que les opérateurs de téléphonie mobile de l'UE ne le font pas.

Récemment, les quatre grands opérateurs de télécommunications européens (Deutsche Telecom, Orange, Telefonica et Vodafone) ont décidé de passer à la vitesse supérieure en formant une co-entreprise de technologie publicitaire pour monétiser les données de leurs clients par le biais de la publicité numérique. Ils prévoient d'utiliser un nouveau système de suivi publicitaire appelé TrustPid, dans lequel les opérateurs attribuent des "jetons pseudo-anonymes" aux utilisateurs en fonction de leur adresse IP et de leur numéro de téléphone mobile. Bien que cette technologie ait été présentée comme respectueuse de la vie privée, elle a déjà été comparée au tristement fameux "supercookie", un code de suivi controversé qui, contrairement à un cookie ordinaire, ne peut pas être simplement bloqué.

Le groupe European Digital Rights (EDRi), par exemple, affirme que la manière dont le nouveau système est censé fonctionner "permettra aux sites web et aux applications d'identifier facilement les personnes et de corréler les identités avec les jetons de marketing TrustPid ".

Comment empêcher les opérateurs de téléphonie mobile d'établir votre profil pour des fins publicitaires ?

Pour empêcher les opérateurs de téléphonie mobile d'établir votre profil à des fins publicitaires, la première chose à faire est de déterminer les programmes auxquels vous avez été automatiquement inscrit et de vous en désinscrire. Normalement, chaque opérateur de téléphonie mobile dispose d'un formulaire de désinscription enfoui quelque part sur son site web ou dans votre compte personnel. Dans le cas d'AT&T, par exemple, vous devez d'abord vous connecter à votre compte pour vous désinscrire du programme de "publicité personnalisée". Il existe également une page séparée où vous pouvez refuser que vos CPNI soient utilisés pour des publicités par AT&T et ses filiales, comme les entités Cricket, et DIRECTV. Il en va de même pour Verizon et T-Mobile.

Vous pouvez également limiter l'accès des fournisseurs de téléphonie mobile à votre trafic en utilisant un réseau privé virtuel (VPN). Un VPN dissimule votre adresse IP réelle, votre localisation et crypte votre trafic internet. Ainsi, ni votre fournisseur d'accès à Internet, ni les publicitaires ne pourront voir les sites web que vous visitez et vous cibler en fonction de votre historique web. Toutefois, cela ne signifie pas qu'ils ne pourront pas vous cibler sur la base d'autres données qui ne sont pas liées à votre navigation en ligne, telles que les informations sur votre âge et votre sexe que vous avez volontairement fournies à l'opérateur, ainsi que votre type d'appareil, votre utilisation du réseau, vos enregistrements d'appels et votre localisation, qui peuvent être localisés par d'autres moyens que l'identification, par exemple, par triangulation des tours de téléphonie cellulaire.

En ce qui concerne TrustPid - l'avenir probable de l'ad-tracking en Europe - un VPN au niveau de l'appareil qui vous permet d'utiliser un autre serveur DNS (par exemple, AdGuard DNS), au lieu du serveur par défaut de votre fournisseur d'accès, pourrait vous aider. Au lieu des serveurs de votre FAI, vos requêtes DNS seront cryptées et envoyées au serveur DNS du VPN, ce qui devrait rendre plus difficile pour TrustPid de relier vos activités en ligne à votre identité.