Depuis quelques années, les géants du numérique, en particulier les GAFA, sont régulièrement critiqués pour leurs manquements vis-à-vis de la vie privée des utilisateurs. En point d’orgue : l’amende record de 5 milliards de dollars , infligée à Facebook en 2019 par la Federal Trade Commission (FTC), l’agence américaine de protection des consommateurs.

Parmi les données personnelles collectées en ligne, certaines font l’objet d’une vigilance particulière, comme celles concernant les enfants. Ainsi, aux États-Unis, le Children’s Online Privacy Protection Act (COPPA), entré en vigueur en 2000, vise à protéger la vie privée des individus de moins de 13 ans. Le texte définit notamment les données considérées comme « sensibles » chez les enfants, par exemple celles permettant d’identifier l’utilisateur mineur sur différents appareils ou de le géolocaliser. Et le non-respect de la loi peut entraîner de lourdes sanctions : en 2019, la FTC a infligé une amende de 5,7 millions de dollars à TikTok , autre poids lourd de l’industrie.

Ces exemples médiatiques peuvent laisser penser que les grosses entreprises sont moins respectueuses de la vie privée des utilisateurs que les autres. Mais cette impression est-elle justifiée ? C’est une des questions auxquelles a répondu une équipe de cinq chercheurs, dont Vincent Lefrere, chercheur à IMT-BS, dans le cadre d’une étude intitulée « Vie privée, données et compétition : le cas des applications pour jeunes enfants ». Des chercheurs parmi lesquels une professeure du MIT, une collaboration rendue possible grâce au soutien du Carnot TSN. Leur but était de comprendre les facteurs pouvant influencer la collecte de données personnelles auprès d’une population fragile. Y a-t-il des différences de comportement en fonction de la taille de la société de développement ? Du pays d’origine du développeur ? Les plateformes, comme celles de Google et d’Apple, peuvent-elles encourager, ou, au contraire, freiner, la régulation autour de la vie privée ?

Plus de 1,5 million d’observations

Afin de répondre à ces questions, les auteurs de l’étude ont analysé 27 785 applications pour enfants, réalisées par 11 343 développeurs, venant de 127 pays. « Toutes les deux semaines, nous avons étudié les données qu’elles collectaient, de sorte à surveiller l’évolution de leur comportement », ajoute Vincent Lefrere. Pendant trois ans, l’équipe a ainsi recueilli plus de 1,5 million d’observations, permettant de dresser un état des lieux pertinent du marché.

Parmi les applications étudiées, certaines ont préalablement été examinées par les plateformes de téléchargement. Ainsi, s’il souhaite rejoindre le programme « Pour la famille » de Google, un développeur doit notamment s’engager à respecter les législations en vigueur autour du respect de la vie privée des enfants (COPPA ou RGPD, par exemple). Mais les chercheurs ont aussi analysé d’autres applications se définissant « pour enfants », sans appartenir à un programme de Google ou d’Apple dédié à la famille.

Les grosses entreprises plutôt parmi les bons élèves

Première conclusion de l’étude : contrairement à certaines idées reçues, les gros développeurs collectent moins de données personnelles que les petits. « Ce qui peut expliquer ce constat, c’est le coût associé à la mise en conformité avec les régulations », explique le chercheur d’IMT-BS. « Un petit développeur souhaitant respecter les règles doit d’abord se renseigner sur les lois en vigueur dans chaque pays, puis mettre en place des mesures pour respecter ces contraintes, sécuriser les données… Un travail qui coûte cher et qui, de fait, est plus accessible aux grosses structures qu’aux petites. » L’ensemble de l’étude et des résultats détaillés est consultable en ligne (publication en anglais).

Par ailleurs, d’après les chercheurs, les programmes mis en place par Google et Apple font preuve d’efficacité. En effet, les applications qui y sont inscrites recueillent, en moyenne, moins de données que celles n’en faisant pas partie. « Cela signifie, par exemple, que les parents peuvent faire davantage confiance à cette catégorie, en ce qui concerne le respect de la vie privée de leurs enfants », déduit Vincent Lefrere.

Et qu’en est-il des différences géographiques ? Selon l’étude, les développeurs venant de pays possédant une régulation forte autour de la vie privée (par exemple, en Europe ou aux États-Unis) collectent généralement moins de données. « Cela étant dit, les deux effets précédents fonctionnent quel que soit le pays, et même d’autant plus pour ceux avec une législation moins stricte », explique le chercheur. « Car, dans ce cas, l’effort à fournir pour se conformer aux exigences d’autres États, ou de Google et d’Apple, est très élevé, et donc peu accessible aux petits développeurs. Au contraire, pour un développeur européen, il est moins difficile de s’adapter à la réglementation américaine. »

Pourtant, tous les développeurs, quel que soit leur pays d’origine, sont censés se conformer aux lois de l’ensemble des territoires sur lesquels leurs applications peuvent être téléchargées. En somme, il s’agit de l’application moderne de l’adage « Nul n’est censé ignorer la loi ». « Néanmoins, dans les faits, il y a peu de contrôle, sauf peut-être auprès des gros acteurs », souligne Vincent Lefrere. « Les plateformes analysent bien les applications, mais plutôt pour des raisons de sécurité ou de qualité. En ce qui concerne les données, c’est davantage à l’utilisateur de faire preuve de vigilance. »

Protéger la vie privée : l’affaire de tous

Le respect de la vie privée, en particulier des enfants, reste cependant dans l’intérêt de tous, particuliers comme entreprises ou autorités publiques. Alors comment aider les développeurs de toutes tailles à se conformer aux règles ? « En premier lieu, il faudrait sensibiliser les petits acteurs du marché à ces questions et les soutenir, via des outils et des aides financières », recommande le chercheur d’IMT-BS. « Car le non-respect des lois s’explique généralement par le coût associé à la mise en conformité, plutôt qu’à une mauvaise volonté. »

Le coauteur de l’étude appelle également l’ensemble des parties prenantes à apporter leur écot : « Les plateformes de Google et d’Apple pourraient accroître leur surveillance. De leur côté, les pouvoirs publics gagneraient aussi à faire preuve de plus de clarté dans les lois, à accentuer leurs contrôles, voire à proposer eux-mêmes des outils. Enfin, les utilisateurs auraient intérêt à prendre davantage conscience de l’utilisation de leurs données, afin de porter un regard éclairé sur un sujet qui les concerne directement. »

Un bilan encourageant, mais une vigilance à maintenir

Pas question toutefois pour le chercheur de verser dans le catastrophisme. « Si le sujet des données personnelles des enfants doit être pris avec le plus grand sérieux, notre discours ne se veut pas alarmiste. En effet, dans l’ensemble, l’étude prouve que, face à une régulation forte, les applications ont plutôt tendance à respecter la vie privée des enfants. » Pour les auteurs de l’étude, l’idée est donc de maintenir une haute exigence relative aux données personnelles et de faire évoluer cette législation avec la technologie.

« S’il fallait tirer une sonnette d’alarme, ce serait plutôt sur le risque de concurrence déloyale », avertit Vincent Lefrere. « Sur un marché mondialisé, il faut veiller à ce que des développeurs ne se souciant pas des questions de vie privée ne prennent pas le dessus sur ceux respectant les lois. » Pour le bien de ces derniers, mais aussi des utilisateurs.