Si vous êtes un utilisateur de Facebook, des milliers d'entreprises vous surveillent

Cet article a été co-publié avec Consumer Reports , une organisation indépendante à but non lucratif qui travaille aux côtés des consommateurs pour la vérité, la transparence et l'équité sur le marché. En savoir plus ici .

La plupart des internautes savent désormais que leur activité en ligne est constamment suivie. Personne ne devrait être choqué de voir des publicités pour des articles qu'il a précédemment recherchés, ou de se voir demander si ses données peuvent être partagées avec un nombre inconnu de « partenaires ».

Mais quelle est l’ampleur de cette surveillance ? À en juger par les données collectées par Facebook et récemment décrites dans une étude unique réalisée par l'organisme de surveillance des consommateurs à but non lucratif Consumer Reports, elles sont énormes, et l'examen des données peut vous laisser plus de questions que de réponses.

En utilisant un panel de 709 volontaires qui ont partagé des archives de leurs données Facebook, Consumer Reports a constaté qu'un total de 186 892 entreprises ont envoyé des données les concernant au réseau social. En moyenne, chaque participant à l'étude a vu ses données envoyées à Facebook par 2 230 entreprises. Ce nombre variait considérablement, les données de certains panélistes répertoriant plus de 7 000 entreprises fournissant leurs données.

Le balisage a aidé Consumer Reports à recruter des participants pour l'étude. Les participants ont téléchargé une archive de leurs données des trois dernières années à partir de leurs paramètres Facebook, puis l'ont fournie à Consumer Reports.

En collectant les données de cette manière, l'étude a pu examiner une forme de suivi qui est normalement cachée : le suivi dit « de serveur à serveur », dans lequel les données personnelles passent des serveurs d'une entreprise aux serveurs de Meta. Une autre forme de suivi, dans laquelle des pixels de suivi Meta sont placés sur les sites Web des entreprises, est visible par les navigateurs des utilisateurs.

Étant donné que les données proviennent d'un groupe d'utilisateurs auto-sélectionnés et que les résultats n'ont pas été ajustés démographiquement, l'étude ne « fait aucune déclaration sur la représentativité de cet échantillon de la population américaine dans son ensemble », a noté Consumer Reports.

Les participants étaient également probablement plus soucieux de leur vie privée et plus enclins à la technique que les utilisateurs typiques et plus susceptibles d'être membres de Consumers Reports.

Malgré ses limites, l’étude offre un aperçu rare, en utilisant les données directement de Meta, sur la manière dont les informations personnelles sont collectées et agrégées en ligne.

Le porte-parole de Meta, Emil Vazquez, a défendu les pratiques de l'entreprise. "Nous proposons un certain nombre d'outils de transparence pour aider les gens à comprendre les informations que les entreprises choisissent de partager avec nous et à gérer la manière dont elles sont utilisées", a écrit Vazquez dans une déclaration envoyée par courrier électronique à The Markup.

Bien que Meta fournisse des outils de transparence comme celui qui a permis l'étude, Consumer Reports a identifié des problèmes avec ceux-ci, notamment le fait que l'identité de nombreux fournisseurs de données n'est pas claire d'après les noms divulgués aux utilisateurs et que les entreprises qui fournissent des services aux annonceurs sont souvent autorisées à ignorer. demandes de désinscription.

Une entreprise est apparue dans 96 % des données des participants : le courtier de données LiveRamp, basé à San Francisco. Mais les entreprises qui partagent votre activité en ligne sur Facebook ne sont pas de simples courtiers en données peu connus. Des détaillants comme Home Depot, Walmart et Macy's figuraient tous parmi les 100 entreprises les plus fréquemment consultées dans l'étude.

Des sociétés d'évaluation du crédit et de données sur les consommateurs telles qu'Experian et Neustar de TransUnion figuraient également sur la liste, tout comme Amazon, Etsy et PayPal.

LiveRamp n'a pas répondu à une demande de commentaire.

Que contiennent exactement ces données ?

Les données examinées par Consumer Reports dans cette étude proviennent de deux types de collecte : les événements et les audiences personnalisées. Les deux catégories incluent des informations sur ce que les gens font en dehors des plateformes Meta.

Les audiences personnalisées permettent aux annonceurs de télécharger des listes de clients sur Meta, comprenant souvent des identifiants tels que des adresses e-mail et des identifiants publicitaires mobiles. Ces clients, et ce que l'on appelle les « audiences similaires » composées de personnes similaires, peuvent ensuite être ciblés avec des publicités sur les plateformes de Meta.

L'autre catégorie de collecte de données, « événements », décrit les interactions que l'utilisateur a eues avec une marque, qui peuvent se produire en dehors des applications Meta et dans le monde réel. Les événements peuvent inclure la visite d'une page du site Web d'une entreprise, la montée de niveau dans un jeu, la visite d'un magasin physique ou l'achat d'un produit.

Ces signaux proviennent du code du logiciel Meta inclus dans de nombreuses applications mobiles, de leur pixel de suivi, qui est inclus sur de nombreux sites Web, et du suivi de serveur à serveur, où le serveur d'une entreprise transmet des données à un serveur Meta.

The Markup a beaucoup écrit sur le Meta Pixel et sur la manière dont il a été utilisé pour surveiller les gens lorsqu'ils appellent des lignes téléphoniques d'urgence , font leurs courses , passent les SAT , déclarent leurs impôts et prennent rendez-vous avec leur médecin .

Les propriétaires de sites Web peuvent configurer le pixel pour suivre les interactions des utilisateurs sur le site Web, telles que les recherches ou le remplissage d'un formulaire, en envoyant chaque action à Meta, même si l'utilisateur n'a pas de compte sur Facebook.

Bien que des outils de recherche tels que « Pixel Hunt » de The Markup puissent détecter le suivi des pixels Meta ou du SDK, il n'existe aucun moyen pour un consommateur de surveiller le trafic entre le serveur d'une entreprise et celui de Meta. Cette étude de Consumer Reports examine les données de serveur à serveur ainsi que le reste.

Comment puis-je voir mes données ?

Les utilisateurs de Facebook peuvent parcourir la liste des entreprises qui ont envoyé leurs données à Facebook en allant sur : https://accountscenter.facebook.com/info_and_permissions

À partir de ce menu, les utilisateurs peuvent télécharger ou accéder à leurs informations. Pour voir les entreprises extérieures à Meta qui ont partagé vos informations, sélectionnez « Votre activité hors des technologies Meta », puis « Activité récente ». À ce stade, vous serez peut-être invité à ressaisir votre mot de passe.

Cette vue vous montrera le nombre de connexions récentes entre diverses entreprises tierces que vous avez visitées et Meta, ainsi que des exemples de l'activité partagée. Vous pouvez choisir d'empêcher tout partage futur par l'entreprise en sélectionnant « Déconnecter ». Pour voir des informations détaillées sur ces interactions, demandez une copie de vos données .

Mais après avoir franchi les nombreuses étapes nécessaires pour mettre la main sur ces données, vous risquez encore de vous retrouver avec des questions persistantes. Par exemple, en plus des noms d'entreprises facilement reconnaissables, plus de 7 000 entreprises de l'étude de Consumer Reports ont été nommées à l'aide d'un charabia illisible, ou simplement de chiffres qui ne signifient rien pour la plupart des utilisateurs.

Même les entreprises dont les noms sont lisibles n’incluaient souvent pas de liens vers le site Web de l’entreprise. Certains noms d’entreprises étaient ambigus, comme « Viking », qui pouvait désigner plusieurs entreprises différentes.

"Ce type de suivi, qui s'effectue totalement à l'insu de l'utilisateur, est tout simplement en dehors de ce à quoi les gens s'attendent lorsqu'ils utilisent Internet", a déclaré Caitriona Fitzgerald, directrice adjointe du Centre d'information sur la confidentialité électronique, dans une interview à The Markup.

Fitzgerald a déclaré que même si les utilisateurs savent probablement que Meta sait ce qu'ils font lorsqu'ils sont sur Facebook et Instagram, « ils ne s'attendent pas à ce que Meta sache dans quels magasins ils entrent, quels articles de presse ils lisent ou chaque site qu'ils visitent. en ligne."

Dans le rapport, Consumer Reports appelle à un certain nombre de propositions politiques couvrant les pratiques de collecte de données, dont certaines pourraient faire partie d'une loi nationale sur la confidentialité numérique, ce que l'organisation défend depuis longtemps. Parmi les recommandations spécifiquement destinées à la technologie Meta et aux annonceurs qui l'utilisent :

• Exiger des entreprises qu'elles adoptent des stratégies de « minimisation des données » qui nécessitent la collecte du minimum absolu de données nécessaires pour fournir le service proposé.

• Élargir les pouvoirs des « agents autorisés » pour agir au nom des consommateurs afin de faire valoir leurs droits. Permission Slip est une application mobile de Consumer Reports qui permet aux utilisateurs de se désinscrire et de supprimer rapidement des données d'une longue liste d'entreprises et de courtiers de données au nom des utilisateurs ; l'application profite des dispositions relatives aux agents autorisés des lois sur la confidentialité des États.

• Augmentez la transparence des publicités en créant des archives publicitaires qui permettent au public de voir toutes les publicités qui ont été diffusées aux utilisateurs sur une plate-forme, à l'instar de la loi sur les services numériques de l'UE.

• Les outils de méta-transparence existants devraient améliorer la qualité et la lisibilité des données mises à disposition afin que les consommateurs puissent réellement agir sur les informations qu'ils examinent.

Fitzgerald a fait écho à ces recommandations, affirmant que le problème réside dans le fait qu'il incombe au consommateur de prendre des mesures pour empêcher cette collecte de données.

Même un mécanisme de « désinscription globale » permettant aux utilisateurs d’éviter que leurs données soient partagées n’est pas suffisant car « cela nécessite néanmoins que l’utilisateur prenne des mesures pour protéger sa vie privée. Beaucoup de gens n’auront ni le temps ni les connaissances nécessaires pour le faire », a déclaré Fitzgerald.

Vazquez, porte-parole de Meta, a déclaré que la société « continuerait à investir dans les technologies de minimisation des données pour suivre l'évolution des attentes. Comme nous l'expliquons dans nos conditions, les entreprises ont la responsabilité d'obtenir l'autorisation de partager les informations personnelles avec des entreprises comme la nôtre.

Pour l’instant, l’absence de loi fédérale sur la protection de la vie privée laisse peu d’options aux consommateurs de la plupart des États. "Je pense que les gens devraient encourager leurs élus à adopter des lois sur la protection de la vie privée qui obligent les entreprises à modifier certaines de leurs pratiques commerciales pour mettre fin à ce suivi omniprésent de chacun de nos clics et de chacun de nos mouvements", a déclaré Fitzgerald.

Crédits : Jon Keegan , Carlo Cadenas , Maria Puertas , Gabriel Hongsdusit , Ryan Tate , Michael Reilly

Également publié ici

Photo par Amanda Dalbjörn sur Unsplash