L'association des délégués à la protection des données pointe du doigt les dérives du système de détection automatique d'internautes du géant américain.
L'Association française des correspondants à la protection des données à caractère personnel (AFCDP) représente ceux que l'on surnomme les DPO, les délégués à la protection des données qui un rôle prépondérant avec le RGPD. Elle a pris la parole jeudi 6 août pour monter au créneau concernant l'utilisation qu'elle qualifie de "non maîtrisée" du reCAPTCHA de Google. Ce problème a été soulevé notamment dans la dernière mise en demeure adressée au ministère des Solidarités et de la Santé par la CNIL (au sujet de l'application StopCovid), qui s'interroge aussi sur l'outil.
Un reCAPTCHA qui aide Google à développer certains de ses services
Si vous n'êtes pas encore pleinement au courant des fonctionnalités du reCAPTCHA, rappelons que l'outil porté par Google aide à détecter automatiquement, à l'aide de l'intelligence artificielle, si l'individu est un humain ou non. Cela permet d'éviter toute connexion malveillante par des robots informatiques, pour schématiser le tout à l'extrême.
Le reCAPTCHA prend souvent la forme d'une case à cocher, ensuite suivie de plusieurs images en bloc parmi lesquelles il faut par exemple reconnaître celles où on peut retrouver un ou plusieurs passages piétons, bus, voitures, etc. Mais parce que Google a souvent un coup d'avance, le système en version reconnaissance de texte a permis de perfectionner les outils de numérisation de livres de Google Books. Sous la forme de la reconnaissance d'images, celui-ci a aidé à améliorer Google Street View et sa détection des numéros de rues.
"Le reCAPTCHA permet […] à Google de profiter du travail numérique de ses utilisateurs, qui produisent de la valeur pour Google sans qu'ils le sachent", dénonce l'AFCDP. Et les usages découlant de l'outil ne s'arrêtent pas là pour la firme de Mountain View.
Le problème ? Il n'y a pas ou peu d'alternative(s) crédible(s) pour remplacer le reCAPTCHA
Loin de n'être qu'un simple système de détection automatisée, le reCAPTCHA est aussi utilisé par Google pour procéder à un prélèvement de données personnelles. Certes, nous étions déjà au courant de ce fait, mais l'association des DPO précise que les observateurs ont remarqué que lors de son activation, l'outil de Google prélevait notamment l'adresse IP de l'internaute, mais aussi la date, la langue du navigateur, le nombre de clics, la liste des plugins, les cookies déposés par Google ces six derniers mois et les objets Javascript de la page.
Mais que fait Google de toutes ces informations ? Le géant américain se garde bien de nous le dire, puisque bien souvent, l'utilisateur n'est pas informé par le site qui fait appel au système reCAPTCHA. Et surtout, son consentement ne lui est pas demandé. En réalité, Google les analyse et… libre à vous d'imaginer la suite. Ce qui n'est pas sans pousser la Commission nationale de l'informatique et des libertés (CNIL) à s'interroger.
Voilà pourquoi l'association des délégués à la protection des données appelle à être attentif au traitement des données personnelles que le reCAPTCHA implique, d'autant plus que les développeurs et les sous-traitants sont pour le moment réticents à privilégier une autre solution. En effet, l'outil de Google est potentiellement "très lié à Google Analytics", nous prévient l'AFCDP.
StopCovid s'est défait de l'outil de Google dans sa dernière version
Dans sa délibération du 16 juillet 2020, la CNIL a rappelé que l'analyse d'impact sur les protection des données personnelles de StopCovid ne mentionnait pas la collecte de données faite par Google via le reCAPTCHA, alors même que Google informe les développeurs d'applications que le système de détection lui permet de procéder à des opérations d'analyse.
Cela ne vaut que pour la version v.1.0. de l'application de suivi de contacts, puisque la version la plus récente utilise la technologie alternative proposée par l'opérateur Orange.
