Street View War épisode 2 : L’attaque des CNIL

par Camille Gévaudan

tags : vie privée , Google Street View , Italie , Royaume-Uni , Espagne , Canada

CC BY ND - MiNe

Des adresses e-mail et des contenus de courriels, des identifiants et des mots de passe, des prénoms et des noms, des adresses postales et des numéros de téléphone : c’est le type de données privées que les voitures de Google ont collectées en sillonnant les rues, selon le Commissariat à la protection de la vie privée. L’équivalent canadien de notre CNIL, en publiant les conclusions alarmantes de son enquête, vient de relancer la polémique de plus belle et obliger Google à réagir officiellement une seconde fois. Le Royaume-Uni a rouvert sa propre enquête, et le rapport français ne devrait plus tarder à voir le jour. L’Espagne a déposé une plainte ; l’Italie pose des conditions à la circulation des Google cars sur son territoire. Bref, l’affaire a pris des tournures de conflit mondial. Ecrans.fr fait un point sur les tensions et rapports de force actuels de la SVW2 (Street View War épisode 2, ou « guerre de Street View »).

Origines du conflit

Les historiens situent le début du conflit le 22 avril 2010 en Allemagne. Ce jour-là, le Commissaire fédéral à la protection des données Peter Schaar révélait, à la grande consternation de tous les pays visités par les fameuses Google Cars, que ces dernières avaient capté et conservé plus de 600 gigaoctets de données transitant sur les réseaux Wifi non sécurisés croisés en chemin. « Nous avons conscience que nous avons commis une grave erreur », reconnaissait alors l’espion américain. Mais, tout en promettant d’effacer les données récoltées, il a maladroitement tenté de reporter la faute sur les internautes en les accusant de mal protéger leurs réseaux Wifi. Nulle précision n’a été apportée, en revanche, sur la nature des données enregistrées.

Opérations d’investigation

Plusieurs pays ont ouvert une enquête sur la question via leurs instances chargées de surveiller l’utilisation des données personnelles, à l’instar de la CNIL française. Dans l’Hexagone, justement, les investigations sont toujours en cours mais devraient aboutir « dans les semaines qui viennent », selon de récentes déclarations d’Alex Türk, président de la CNIL. La Corée du Sud n’a pas été aussi patiente : début août, son agence de police nationale se lançait dans une opération de perquisition des locaux de Google, à la recherche de données illégalement collectées et détenues. Aux États-Unis, 38 États ont demandé des comptes à Mountain View. Outre-manche, le bureau du commissaire à l’Information (ICO) a été plus coulant : l’enquête britannique a été fermée fin juillet, faute de preuve que Google ait collecté des données personnelles « significatives » et liées à des personnes identifiables (PDF).

La bombe canadienne

C’est finalement l’enquête canadienne qui a abouti en premier. Mardi dernier, 19 octobre 2010, le Commissariat à la protection de la vie privée a rendu ses conclusions par communiqué de presse : « l’incident a été causé par une faute d’imprudence commise par un ingénieur, et par un manque de mesures de contrôle. » L’ingénieur en question avait consacré ses fameux 20% de temps de travail libres à développer un mystérieux code « pour échantillonner toutes les catégories de données diffusées publiquement sur des réseaux Wi-Fi » et recueillir des « données utiles » sur le contenu de ces communications. Le petit bout de code a été intégré — parmi d’autres — au capteur Wifi des Google Cars (habituellement chargé de repérer les hotspots Wifi pour les intégrer aux services de géolocalisation) sans que personne ne trouve à y redire, car l’ingénieur avait malencontreusement « omis » de présenter ses travaux à un avocat de chez Google, comme il aurait dû le faire. D’après le Commissariat, qui confirme la version des faits défendue dès le début par Google, ses collègues se seraient donc contentés de le croire sur parole quand il mentionnait des « répercussions superficielles sur la vie privée » et n’étaient « aucunement conscients » que le code recueillait ces « données utiles ».

En guise de répercussions superficielles, le programme a donc enregistré des gigaoctets de toutes sortes de données transitant par les réseaux Wifi ouverts. Les enquêteurs canadiens se sont rendus dans les bureaux de Mountain View pour examiner manuellement des échantillons de données et dressent une liste inquiétante de leurs trouvailles : mots de passe, contenus d’e-mails dans leur intégralité, coordonnées de personnes dont certaines « de nature très délicate », comme « une liste de noms de personnes atteintes de certains troubles médicaux, ainsi que leurs adresses et numéros de téléphone ».

Googla Culpa

Trois jours après la publication du rapport d’enquête, Google a repris la plume sur son blog officiel pour un second mea culpa en bonne et due forme : « nous travaillons dur pour gagner votre confiance, et sommes pleinement conscients de cet échec cuisant. » L’entreprise promet de se racheter une conduite par un programme en trois points inspiré des recommandations canadiennes : la nomination d’une directrice de la protection de la vie privée en la personne d’Alma Whitten, chargée de contrôler l’usage des données personnelles dans les services Google, la mise en place de nouvelles formations spécifiques pour les employés et l’obligation, pour les ingénieurs, de rendre un document sur l"utilisation des données personnelles pour chaque projet conçu à Mountain View.

Google explique en outre n’avoir jamais inspecté le contenu des disques de données via une enquête interne, et avoir découvert — « mortifiés » — la nature de ces données en même temps que le reste du monde.

Shocking !

Devant tant de révélations transcendantes, l’ICO britannique semble s’être rendu compte que sa propre enquête avait été bouclée un peu rapidement. Ni une ni deux, le dossier est rouvert : « Nous allons tenter de définir si les données collectées par inadvertance concernent des citoyens britanniques, avant de décider des suites à donner à l’affaire », annonce un porte-parole du bureau.

Les tensions internationales envers Google Street View au cours de la SVWI, par Ecrans.fr. En bleu, les pays ayant ouvert une enquête sur l’affaire des captations wifi. En rouge, les pays où les Google cars sont bannies. En jaune, les différends dus aux clichés pris par les voitures.

Passablement irrité par les derniers rebondissements de l’affaire Street View, le président du Garante per la protezione dei dati personali — CNIL italienne — rajoute une couche à l’« hostilité » (selon ses propres mots) des pays européens à l’égard de Google Street View en imposant de nouvelles contraintes aux Google Cars. Aucune incursion des caméras sur roulettes ne pourra désormais se faire en territoire italien sans avoir publié son trajet détaillé 3 jours auparavant sur le site de Google, dans deux journaux et au moins une radio locale. Les voitures devront en outre être clairement identifiées comme appartenant à Google par de gros autocollants ou pancartes.

L’Espagne, de son côté, semble avoir profité de ce climat joyeusement bordélique pour déposer sa plainte contre Google promise depuis des mois. L’Agencia Española de Protección de Datos estime que 13 gigaoctets de données ont été enregistrées uniquement sur le sol espagnol. Cinq infractions à la loi sont reprochées à la firme américaine, qui encourt jusqu’à 600 000 euros d’amende.

Une médaille d’or, pour finir, à la visionnaire République tchèque : cinq jours avant la publication des données canadiennes, le pays a fait connaître sa décision d’interdire purement et simplement la circulation des Google cars. Hana Stepankova, porte-parole de la CNIL tchèque, disait ne pas avoir « la certitude absolue que l’information est traitée dans le respect de la loi ». Son intuition n’a pas dû la décevoir.

Sur le même sujet :

 Les voitures Google en excès de vitesse (23/8/2010)
 La guérilla urbaine de Google en Allemagne (10/8/2010)
 Le Wifi et les Google Cars, un accident de parcours ? (17/5/2010)

Il y a 2 réactions à cet article.

Lire les réactions.
Réagir à cet article.

Partager cet article

Partager Tweet