Comment Facebook s’y prend pour « vendre » nos données ?

L’une des questions les plus existentielles du web moderne est de savoir comment les entreprises en ligne doivent générer des revenus.

Le web d’aujourd’hui reflète principalement une réponse à cette question : celle d’un web où tout est gratuit, mais que nous payons par notre vie privée.

Le web est devenu un pays de surveillance dystopique dans lequel les entreprises traquent leurs victimes sans méfiance à travers le web, en tirant un profit maximal de la suppression de toute parcelle de vie privée ou de dignité et en privatisant tous les avantages monétaires de l’exploitation des données.

Pourtant, ces mêmes entreprises se donnent beaucoup de mal pour affirmer qu’elles ne « vendent » pas les données de leurs utilisateurs.

Qu’est-ce que cela signifie pour les entreprises de « vendre » nos données dans le monde avide de données d’aujourd’hui ?

Mark Zuckerberg lui-même a proposé l’idée de faire payer aux développeurs l’accès aux données des utilisateurs, qu’ils pourraient rembourser :

• en achetant de la publicité
• en vendant des articles
• ou simplement en faisant un chèque à Facebook

Bien que l’entreprise n’a pas fait suite, le simple fait que le fondateur de l’entreprise ait ouvertement discuté de la possibilité de faire payer l’accès aux données des utilisateurs a montré à quel point l’entreprise considère ses utilisateurs comme des entités monétisables exploitées par une entreprise à but lucratif, plutôt que comme une entreprise bienveillante qui essaie de connecter le monde et de générer des revenus uniquement là où cela n’entre pas en conflit avec sa vision du bien public.

Notons la différence frappante entre les descriptions internes de Facebook de ses deux milliards de titulaires de comptes et la façon dont il les décrit dans ses documents publics.

Dans les déclarations publiques sur la commercialisation des titulaires de comptes, Facebook se donne beaucoup de mal pour utiliser un langage humanisant tel que :

• « gens »
• « personne »
• et « quiconque »

Pourtant, ses 250 pages d’emails internes montrent le langage authentique et sans fard utilisé par les cadres de Facebook en interne pour décrire les titulaires de comptes :

• le mot « client » n’apparaît qu’une seule fois
• le mot « people » n’apparaît que dans deux brefs passages
• le mot « humain » n’apparaît pas une seule fois
• en revanche, le mot « utilisateur » apparaît tout au long des 250 pages, notamment lorsque Zuckerberg lui-même se réfère aux deux milliards de titulaires de comptes Facebook en tant qu' »utilisateurs » lorsqu’il propose que la société puisse facturer directement aux développeurs une redevance de « 0,10 $/utilisateur par an » .

Il semble que les titulaires de comptes Facebook ne soient pas des « clients » , car cela leur conférerait un certain niveau de dignité et une relation basée sur la fourniture par l’entreprise d’un service de valeur dans le cadre d’une transaction mutuelle.

Ils ne sont des « personnes » que lorsqu’il s’agit de déclarations publiques et dans le contexte de l’extraction de comportements monétisables de leur part.

Le reste du temps, ils sont déshumanisés par le terme « utilisateur » pour nous rappeler que nous ne sommes que des points de données et des comptes de connexion pour Facebook, et non de véritables êtres humains dont la vie est exploitée et monétisée à son profit.

Comment se passe la vente de nos données ?

Lorsque nous pensons à la « vente » de données d’utilisateur, nous pensons généralement à une entreprise qui met en boîte les informations personnelles de ses clients et les vend sous forme de fichiers ZIP téléchargeables avec une tarification par utilisateur et forfaitaire.

En effet, le monde énorme des courtiers en données existe précisément pour faire cela. De nombreuses entreprises avec lesquelles nous faisons affaire, qu’il s’agisse des épiceries, des magasins de bric et de broc où nous faisons nos achats ou des journaux et magazines auxquels nous sommes abonnés, rassemblent les informations concernant leurs abonnés et vendent ces listes à profit.

À l’instar de Facebook, de nombreuses entreprises prennent soin d’affirmer qu’elles ne « vendent » pas les données de leurs clients, mais qu’elles vendent simplement l’accès à ces derniers pour leur montrer des publicités.

Pour un client, la distinction entre « vendre des données » et « vendre l’accès » est probablement sans importance. Mais l’importance réside dans le fait que la vente de l’accès aux clients ne « nécessite pas l’autorisation du patient » .

Facebook est donc en bonne compagnie lorsqu’il s’agit d’entreprises qui font la distinction entre la vente de l’accès à leurs utilisateurs à des fins publicitaires et la mise en boîte de leurs données pour offrir des fichiers ZIP téléchargeables.

Que vend Facebook au juste ?

M. Zuckerberg a comparé Facebook à une entreprise de cloud computing comme Amazon et Google.

Pourtant, les développeurs se tournent vers les fournisseurs de cloud computing pour acheter un accès à des environnements matériels et logiciels uniques, et non à des données.

En tant que client d’Amazon, de Google ou de Microsoft, vous louez des ordinateurs vides que vous remplissez de vos propres données ; les sociétés de cloud computing n’offrent aucun accès aux données de leurs clients, quels qu’ils soient.

➨ Facebook loue en réalité l’accès aux données

Sa seule proposition de valeur aux développeurs est l’accès à ses deux milliards d’utilisateurs.

Un fabricant géant de panneaux solaires ne s’adresse pas à Facebook pour louer des pétaoctets de stockage et des dizaines de milliers de processeurs et de GPU pour exécuter des simulations et des modèles neuronaux. Il s’adresse à un véritable fournisseur d’informatique en nuage.

Les développeurs qui se tournent vers Facebook le font dans un seul but : atteindre les deux milliards d’utilisateurs de Facebook.

Cela revient-il à dire que Facebook « vend » les données de deux milliards d’utilisateurs ? Cela constitue certainement une « vente d’accès » .

En d’autres termes, si Facebook pense réellement que les développeurs le considèrent comme un fournisseur traditionnel d’informatique en nuage et qu’il ne « vend » pas les données de ses utilisateurs, il pourrait tout simplement fermer toutes ses API utilisateur et permettre aux développeurs d’exécuter leurs applications sur Facebook sans aucune possibilité de publier, de consommer ou d’interagir avec ses utilisateurs.

Si l’accès aux utilisateurs ne fait véritablement pas partie de la proposition de valeur de Facebook aux développeurs, cela n’aurait pas le moindre impact sur l’utilisation de ses plateformes.

Après tout, Amazon a une solide activité de cloud computing sans offrir à ses clients de cloud computing un accès aux informations privées personnelles de ses clients Amazon.com.

En soutenant que le modèle commercial de Facebook ne constitue pas une « vente de données » , l’entreprise s’est défendue en disant que « c’est comme ça qu’internet fonctionne, pas seulement comme Facebook » .

En bref, lorsqu’on lui a demandé si son modèle commercial était moralement défendable, l’entreprise a répondu non pas en affirmant qu’il l’était, mais plutôt en affirmant que « tout le monde le fait » et qu’il est donc normal qu’elle le fasse aussi.

Cela mérite d’être souligné, car c’est exactement la même défense que son ancienne pratique consistant à acheter des données intimes sur ses deux milliards d’utilisateurs à des courtiers en données commerciaux.

Interrogée sur l’éthique de cette pratique, en particulier sur l’opacité qui l’entoure et sur son incapacité à fournir aux utilisateurs davantage d’informations sur ce qu’il advient de leurs données, l’entreprise a fait valoir que tout le monde fait la même chose et qu’il est donc normal qu’elle le fasse aussi.

Bien entendu, l’idée selon laquelle Facebook ne « vend » pas ses données dément le fait qu’elle est souvent contrainte par les gouvernements de « fournir » les données intimes de ses utilisateurs sur décision de justice.

➨ En plus de simplement « vendre l’accès » aux annonceurs et aux développeurs pour atteindre ses deux milliards d’utilisateurs, Facebook rend les données disponibles d’autres manières

• Les démographes souhaitant créer des cartes de combinaisons spécifiques de traits et d’intérêts ou comprendre leurs changements temporels peuvent utiliser des campagnes publicitaires pour créer des informations à l’échelle de la population.
• De même, les annonceurs qui diffusent des publicités renvoyant à leurs sites savent que chaque personne qui suit ce lien possède les caractéristiques spécifiques visées par la publicité.
• Une publicité ciblant les femmes catholiques de 25 à 30 ans intéressées par le football entraînera des clics de ces personnes vers le site de l’annonceur.

Ces clics constituent une forme de vente de données dans la mesure où les annonceurs peuvent payer Facebook pour recevoir du trafic provenant de groupes démographiques spécifiques et que les adresses IP qui visitent leur site sont donc connues pour être des utilisateurs présentant ces caractéristiques.

Si Facebook considère que le fait de donner un numéro de téléphone à un courtier en données et de recevoir en retour des sélecteurs démographiques sur cette personne constitue un « achat » de données, alors une entreprise qui paie Facebook pour obtenir des adresses IP et des sélecteurs démographiques semble relever d’une catégorie similaire de transaction de données.

Facebook argue du fait que les annonceurs ne disposent que de l’adresse IP, et non du nom ou des coordonnées de la personne, et que ces données sont en fait « anonymes » .

En substance, tant que le nom et les coordonnées d’une personne ne sont pas attachés à un enregistrement, son adresse IP seule ne constitue pas un identifiant unique aux yeux de Facebook. Ce qui rend la chose anonyme, c’est que vous ne saurez pas qui sont ces personnes, mais seulement leur adresse IP.

➨ En réalité, il existe d’innombrables façons pour les entreprises extérieures de réidentifier une adresse IP à un utilisateur spécifique.

Il existe de nombreux courtiers en données qui vendent l’adresse IP la plus récente utilisée par chaque personne figurant dans leur base de données, liant ainsi les adresses IP aux informations que ces utilisateurs saisissent sur des sites du web, par exemple pour commander des produits ou répondre à des enquêtes.

Cependant, comme pour tous les ensembles de données des courtiers en données, la mise à jour et la précision de ces informations ne sont pas claires.

Les grands annonceurs, y compris les courtiers en données eux-mêmes, localisent déjà leurs clients sur le web à l’aide de cookies et connaissent l’adresse IP la plus récente utilisée par chacun de leurs clients pour accéder à leur site web ou à leur application mobile.

Ils peuvent lancer des dizaines de milliers, voire des millions de campagnes publicitaires sur Facebook en ciblant chaque groupe démographique d’intérêt et il leur suffit de croiser les adresses IP des clics de chaque campagne avec leurs propres registres indiquant quelle adresse IP est associée à chaque client.

Bien qu’imparfaite, cette liaison n’est pas plus sujette aux erreurs que les processus que les courtiers en données et les entreprises utilisent déjà.

Un clic n’est pas un client existant

Cependant, les informations démographiques qu’il implique peuvent être utilisées pour enrichir considérablement l’expérience du client sur le site web et son historique d’achats.

L’argument de Facebook est que puisque les données qu’il a envoyées aux annonceurs sont identifiées par des adresses IP plutôt que par des adresses postales, des numéros de téléphone ou des noms de personnes, elles devraient être considérées comme des données « anonymes » et ne comptent donc pas comme une « vente » de données.

Selon cette justification, Facebook pourrait mettre en boîte la totalité des données personnelles de deux milliards d’utilisateurs et les vendre à 0,10 dollar par utilisateur et par an sous forme de fichiers ZIP téléchargeables, à condition que ces fichiers ZIP soient dépourvus du nom, de l’adresse et du numéro de téléphone de la personne et qu’ils n’utilisent que son adresse IP comme identifiant.

Cependant, comme le savent tous les spécialistes des données et les experts de la protection de la vie privée, la richesse des données internet disponibles signifie qu’une adresse IP est souvent suffisante pour relier un enregistrement « anonyme » à une personne réelle.

Affirmer qu’un enregistrement de client est « anonyme » et ne constitue donc pas une « vente » de données simplement parce qu’il utilise une adresse IP au lieu d’un numéro de téléphone comme identifiant est tout simplement un mensonge absolu dans le monde d’aujourd’hui où les données sont abondantes. Facebook, parmi toutes les entreprises, le sait.

Même si un enregistrement était dépouillé de tout identifiant, y compris de son adresse IP, des combinaisons uniques de caractéristiques pourraient être utilisées pour réidentifier facilement les enregistrements des clients en les comparant à d’autres fonds comme les archives des courtiers en données.

Le modèle unique de nos comportements agit comme l’équivalent d’une empreinte digitale qui peut être utilisée pour nous réidentifier simplement à partir de nos traces comportementales

La position de Facebook selon laquelle la suppression des identifiants communs suffit à rendre les données « anonymes » , même si une adresse IP y est associée, permet d’expliquer son point de vue selon lequel il serait acceptable de mettre les informations intimes de ses deux milliards d’utilisateurs à la disposition des universitaires du monde entier, tant qu’elles sont « anonymes » .

En fin de compte, des entreprises comme Facebook peuvent tenter d’établir des différences juridiques entre la « vente de données » et la « vente d’accès » et affirmer que les adresses IP constituent toujours un « anonymat » , mais la réalité est que le grand public considère tous ces comportements de monétisation comme une même exploitation de leur vie privée à des fins lucratives.

Au lieu de se disputer sur la sémantique, les entreprises devraient prendre de véritables mesures pour regagner la confiance de leurs utilisateurs, en commençant par dire la vérité sur toutes les façons dont elles exploitent les données de leurs utilisateurs et sur toutes les façons dont elles ont envisagé d’utiliser leurs données, et en cessant de se cacher derrière des définitions juridiques obscures.

En fin de compte, les entreprises qui demandent au public de leur faire confiance doivent mériter cette confiance.