(veuillez noter que cet article existe en version audio MP3 ou en version audio OGG enregistrée par Anne-Lise)

La traque sur le Web et la proie

Le modèle d’affaires de nombreux sites Web consiste à exposer l’utilisateur à de la publicité tout en fournissant un service. Afin que la publicité soit plus efficace pour l’annonceur, il devient nécessaire d’établir un profil détaillé des préférences et des habitudes des utilisateurs. Dès qu’une personne utilise un service qui n’est pas facturé, les actions réalisées sont collectées et agrégées (les services payants collectent également certaines données).

Chaque utilisateur possède une empreinte numérique qui le rend identifiable plus ou moins précisément à travers le réseau, d’autant plus lorsqu’il est enregistré pour un service spécifique. Le logiciel de messagerie, le moteur de recherche, les réseaux sociaux, les journaux en ligne, les magasins en ligne, tous ces sites sont des sources de collecte de données.

Afin de rendre les profils plus pertinents, les acteurs du Web se sont spécialisés. Certaines sociétés placent des témoins, traceurs (cookies) dans le navigateur permettant au service de mieux comprendre le profil de l’utilisateur. Ces sociétés sont utilisées par de nombreux sites Web et bénéficient ainsi d’une plus grande surface de collecte. C’est un peu comme si dans une ville, le supermarché, la boulangerie, le marchand de journaux, le café, le restaurant, etc. utilisaient tous un marqueur unique pour identifier chaque personne. Ils collectent au fur et à mesure par l’intermédiaire d’une société tierce les horaires et produits que la personne achète mais également regarde. Le parcours à travers les différentes allées du magasin sera enregistré.

La société civile et l’industrie du Web

Certaines personnes commencent à se plaindre de cette trace excessive sans pour autant demander la possibilité de payer les services en retour. Un des aspects les plus troublants pour les utilisateurs est le « retargeting ». Par exemple, une personne regarde un sac à dos sur un magasin en ligne mais finalement ne l’achète pas. Dans les jours qui suivent, sur d’autres sites complètement différents du site initial, l’image spécifique de ce cadeau est affiché parmi les publicités. La centrale de collecte de données reconnaît l’utilisateur à travers les différents sites et l’expose donc à des publicités susceptibles de déclencher un acte d’achat.

Lorsqu’une pratique est perçue comme abusive par un groupe suffisamment important de la société, le législateur commence à s’intéresser de près à cette pratique. La commission européenne ainsi que la FTC (Federal Trade Commission) ont commencé à s’intéresser de près à ces pratiques commerciales. L’industrie commerciale sur le Web, ne voulant pas subir l’établissement de règles contraignantes dépendantes des pays et donc coûteuses à mettre en place, décide de s’auto-réguler. Le W3C (World Wide Web Consortium) est une plate-forme permettant aux différents acteurs d’un domaine de négocier une résolution face à un enjeu sur le Web.

Un groupe de travail a été créé au W3C sur le sujet de la traque des utilisateurs. Le groupe comprend des représentants du monde de la publicité en ligne, des fabricants de navigateurs, d’associations de consommateurs et de défense de la vie privée, ainsi que des législateurs. Le groupe a pour mission de réaliser un système permettant :

• à l’utilisateur d’exprimer sa préférence face au pistage de ses données en ligne,
• à l’industrie publicitaire de répondre sur leur attitude face à ce choix.

Il s’agit bien d’une négociation où une personne exprime sa préférence et l’interlocuteur répond ce qu’il accepte de faire en retour face à cette préférence.

Une étiquette pour exprimer son choix : DNT

Cette préférence pour l’utilisateur est exprimée sous la forme d’une en-tête HTTP. Pour les non spécialistes, il s’agit d’une étiquette, représentée par les trois lettres DNT, au niveau du protocole qui est envoyée avec chaque requête du navigateur vers les serveurs visités. Cette étiquette peut, dans l’état actuel de la définition technique du protocole DNT, prendre deux valeurs :

• DNT: 1 - La personne ne souhaite pas être tracée sur le site visité.
• DNT: 0 - La personne souhaite être tracée sur le site visité.

Si aucune étiquette n’est envoyée, cela peut signifier soit que le programme utilisé n’a pas ce mécanisme pour permettre à l’utilisateur de spécifier sa préférence, soit que l’utilisateur n’a pas réglé le programme afin d’envoyer l’étiquette. Microsoft a récemment proposé de livrer IE10 avec DNT: 1 par défaut sans le consentement explicite de l’utilisateur. Le consensus du groupe de travail du W3C à ce jour estime qu’il est important que l’utilisateur valide. Une règle normative a été ajoutée dans le protocole pour éviter que les logiciels ne soient configurés à l’avance sans un consentement explicite. Il est également interdit à tout logiciel intermédiaire de modifier la valeur définie par l’utilisateur sauf bien sûr si c’est l’utilisateur qui a choisi d’installer un tel logiciel. Il est à noter que le document technique du W3C n’est pas encore achevé. De nombreuses choses restent à définir sur les modalités de fonctionnement de cette préférence.

La réponse du chasseur

Une fois qu’une personne a spécifié l’étiquette, il est important de définir la modalité de la réponse du serveur. Le groupe du W3C travaille également sur ce document miroir du premier. Lorsqu’une compagnie commerciale reçoit un signal de l’utilisateur avec DNT: 0 ou DNT: 1, quelles sont les modalités spécifiques de réponse et d’actions possibles vis à vis des données de l’utilisateur ?

Cette partie est encore loin d’être définie car elle est au cœur du modèle d’affaires de nombreuses compagnies du Web. Les discussions entre les différents acteurs du groupe tournent autour des définitions de la traçabilité, de la collecte de données, de ce qui représente une entité commerciale unique, de ce qui est de nature anonyme ou identifiée. Voici quelques exemples de questions qui sont discutées avec passion par le groupe :

• Une collecte de données de masse est-elle acceptable ? Par exemple, un utilisateur est clairement identifié comme ayant 42 ans, mais lors de la revente des données aux annonceurs, il est juste communiqué qu’il y a 25% d’utilisateurs dans la quarantaine avec ses habitudes spécifiques.
• Lorsque l’utilisateur envoie un signal DNT: 1, cela veut-il dire qu’il ne veut pas être tracé du tout, ou juste tracé pour le site visité mais pas partagé avec d’autres sites, ou juste tracé pour tous les sites d’une compagnie ?
• Quelle est la signification d’un contrat d’affaires entre deux sociétés et quelles sont les responsabilités dans l’échange des données mutuelles ?
• Quelle place donner aux données de l’utilisateur permettant d’optimiser la performance du site ? Les statistiques de visite peuvent être utiles à la fois commercialement et techniquement.

Ce ne sont pas les seules questions, il en existe de nombreuses autres. Le serveur bien sûr répondra à travers le protocole au logiciel de l’utilisateur quelle est son attitude face à l’étiquette envoyée. Cela pose un nouvel enjeu. Un utilisateur peut se retrouver face à ces types de serveurs :

• Un serveur n’ayant pas mis en pratique le protocole de réponse.
• Un serveur avec le protocole de réponse mais informant qu’il tracera l’utilisateur.
• Un serveur avec le protocole de réponse et informant qu’il suivra le choix de l’utilisateur.

Il s’agit bien d’une négociation et non d’une obligation. L’utilisateur exprime un choix que les compagnies peuvent respecter ou pas.

Les enjeux

Il s’agit là des enjeux de la société civile.

Une fois le protocole bien défini, la société civile (à travers les législateurs) peut décider de rendre le protocole obligatoire pour les entreprises commerciales, ou bien d’établir un programme de certification. Cela signifie qu’il y a encore de longues années avant que les acteurs du Web trouvent une situation d’équilibre satisfaisante pour tous.

Le protocole DNT n’est pas un outil pour arrêter la traque des utilisateurs, mais bien pour leur permettre d’exprimer qu’ils ne veulent pas être tracés en ligne. La portée de cette technologie n’est pas encore claire puisqu’elle est toujours en cours de définition. Les acteurs du Web en sont à la phase d’expérimentation. La partie la plus facile à mettre en place est celle de l’étiquette envoyée aux serveurs par le navigateur Web. Mozilla a le premier donné une option dans son navigateur Firefox, puis Apple (Safari 5), Microsoft (IE10) et Opera (Opera 12) ont également la fonctionnalité dans leurs navigateurs respectifs.

Un autre enjeu souvent mal compris des utilisateurs est qu’il ne s’agit pas de bloquer les publicités. Les utilisateurs recevront donc toujours des publicités, probablement moins ciblées.

Autres parades

Il existe cependant des moyens techniques plus agressifs pour les utilisateurs aujourd’hui leur permettant de diminuer leur traçabilité en ligne. Ghostery, une des options les plus courantes, est disponible sous la forme d’une extension installable dans les navigateurs. Cet outil permet de bloquer nombre des traceurs installés dans les services que nous utilisons et qui permettent d’établir un profil de nos activités. Une fois encore, il ne s’agit pas d’un bloqueur de publicités pour lesquelles il existe des systèmes sous la forme d’extensions.

Cela soulève une question finale. Si nous refusons la publicité et la collecte de nos données en ligne, quels sont les modèles que nous accepterions pour faire vivre ces services en ligne ? Sommes-nous prêts à payer nos abonnements à chacun de ces services ?