Samsung, Xiaomi ou Oppo peuvent-ils vraiment protéger nos données personnelles?

Hum hum... Vous le sentez vous aussi? Ce vent qui tourne doucement mais sûrement. Le vent de l'opinion publique qui s'intéresse de plus en plus à la confidentialité et la protection des données! Mais n'est-ce pas un peu idiot de compter sur Google (ou Apple), des Gafam, pour s'autoréguler et ne pas empiéter sur notre vie privée? 

Et n'est-ce pas encore plus ridicule, du côté d'Android, de penser que des fabricants logiciellement dépendants de Google peuvent être plus ou moins respectueux de vos données les uns que les autres? La confidentialité ne risque-t-elle pas d'être reléguée au rang de gimmick sans portée réelle tel un capteur macro de 2 MP glissée dans une fiche technique juste pour faire joli?

Google collecte nos données en permancence et on ne peut rien y faire

Google et Apple collectent en permanence des données depuis votre smartphone qui sont envoyées régulièrement sur ses serveurs et ce, même si vous ne vous servez pas de l'appareil. Chez Android, la collecte serait néanmoins nettement plus massive que sur iOS.

Une étude publiée le 25 mars dernier et conduite par Douglas J. Leith, chercheur en sécurité informatique au Trinity College de Dublin, a comparé la collecte et le transfert de données sur Android et iOS. 

Selon les résulats d'abord relayés par Ars Technica, il s'avère que si iOS et Android collectent bien tous deux des données sur les appareils en continu, le système d'exploitation mobile de Google collecte environ 20 fois plus de données que son concurrent Apple.

Selon Douglas Leith, iOS et Android transmettent tous deux des données dites "télémétriques" à leur maison mère, même lorsque l'utilisateur ne s'est pas connecté ou qu'il a explicitement configuré ses paramètres de confidentialité pour refuser cette collecte.

Ces données télémétriques concernent l'insertion d'une carte SIM, la consultation de l'écran ou des paramètres du smartphone. Selon le chercheur, même lorsqu'il est inactif, chaque appareil se connecte à son serveur en moyenne toutes les 4,5 minutes.

• Lire aussi: Apple: Comment activer la fonction ATT sur votre iPhone?

Et ça ne s'arrête pas au niveau de l'OS. Les applications natives ou services préinstallés établissaient également des connexions réseau, même lorsqu'ils n'avaient pas été ouverts ou utilisés, d'après l'étude. Alors qu'iOS envoyait automatiquement à Apple les données de Siri, Safari et iCloud, Android collectait les données de Chrome, YouTube, Google Docs, Safetyhub, Google Messenger, l'horloge de l'appareil et la barre de recherche Google.

Avec son protocole, Douglas Leith a trouvé que rien qu'aux États-Unis, Android recueille collectivement environ 1,3 To de données toutes les 12 heures contre 5,8 Go pour iOS sur la même période. 

Évidemment, Google a rapidement démenti les résultats de l'étude en considérant que le protocole était erroné. Le géant américain assure ces données sont comparables à des donées de diagnostic et de fonctionnement basiques comme celles qu'envoient les voitures modernes aux constructeurs automobiles.

"Cette étude détaille ces communications, qui permettent de s'assurer que les logiciels iOS ou Android sont à jour, que les services fonctionnent comme prévu, et que le téléphone est sécurisé et fonctionne efficacement", peut-on lire dans le communiqué de Google relayé par Ars Technica en vertu du droit de réponse.

Le chercheur considère la situation préoccupante puisque les données collectées par les deux OS peuvent être facilement reliées au nom de l'utilisateur, à son adresse mail, aux données de sa carte bancaire et éventuellement aux autres appareils qu'il possède. De plus, les connexions constantes aux serveurs révèlent nécessairement l'adresse IP de l'appareil et, par extension, l'emplacement de l'utilisateur.

"Actuellement, il y a peu, voire aucune, option réaliste pour empêcher ce partage de données", conclut le chercheur. 

Les fabricants collectent eux-mêmes nos données via leurs apps natives

Le simple fait que l'un des articles les plus lus sur notre site soit un tutoriel sur comment désactiver les publicités dans MIUI sur votre smartphone Xiaomi en dit déjà assez long. Je ne suis absolument pas partisan du china-bashing ni de ce préjugé aux relents sinophobes consistant à associer tout hardware et software chinois à de l'espionnage. 

Il n'y a pas de bonne collecte de données ni de bonne publicité ciblée et ce genre de comportements prédateurs ne connaissent pas de nationalité. Pour autant, impossible de ne pas évoquer Xiaomi sur cette thématique. Le fabricant a fait l'objet de très gros scandales récemment.

Et, si le fabricant propose de nombreuses options pour "protéger" ses données comme j'ai pu le souligner dans mon test de MIUI 12, nombreuses sont les features qui empêchent simplement Xiaomi de collecter lui-même les données qu'il prétend vous proposer de protéger. C'est tout de même assez ironique de proposer plus de 6 moyens différents de bloquer le ciblage publicitaire via ses propres applications natives. 

Mais Xiaomi n'est évidemment pas le seul. Chaque fabricant Android, même parmi ceux étant réputés être les plus clean comme OnePlus ou Samsung, traine des casseroles en matière de confidentialité.  

Et même si vous faites un "opt out" massif en désactivant tous les interrupteurs de traçage/collecte, le corpus de base que sont les données "télémétriques" sera toujours collecté que vous le vouliez ou non, Google prétextant que leur collecte est indispensable au bon fonctionnement de votre smartphone. 

Sans parler de la difficulté inutile mais calculée que Google nous impose pour ne serait-ce qu'effectuer cet "opt out". Pas de page centrale pour tout désactiver d'un coup. Non, il faut accéder à au moins 4 pages différentes via les paramètres de votre compte Google (certaines surcouches intègrent des raccourcis au menu de confidentialité) et manuellement désactiver le suivi de vos données. 

On dirait presque que c'est fait exprès. Étonnant, non?

Des fabricants Android incités à rendre la confidentialité moins accessible

Mais pourquoi taper sur les fabricants Android alors? Ils ne contrôlent pas ce que fait Google. Et certains comme Xiaomi ou Samsung ont mis un fort accent sur la sécurité et la protection des données dans leurs surcouches respectives, que ce soit au niveau de l'OS ou des applications natives. 

Le problème c'est que peu importe le nombre de "features" de confidentialité qu'un fabricant puisse implémenter dans sa surcouche, cette dernière reste basée sur Android. Et cette relation est fortement déséquilibrée pour ce qui est de la marge de manœuvre laissée au fabricant.

Le principal enjeu devrait donc être de rendre le peu d'options que laisse Google pour se protéger plus accessibles. Un fabricant, s'il voulait réellement mettre l'accent sur la vie privée, devrait rendre les paramètres de confidentialité plus visibles dans les paramètres de sa surcouche, de les mettre davantage en évidence.

En effet, Samsung, Xiaomi, Oppo et tous les autres fabricants "licenciés" Android doivent se plier au Compatibility Definition Document, une sorte de liste géante de toutes les conditions que les fabricants doivent remplir d'un point de vue logiciel pour être compatibles avec la dernière version d'Android. Jusque-là, rien d'anormal.

Mais selon des extraits d'un dossier d'une affaire opposant le procureur général de l'Arizona aux US face à Google, le rapport de force entre Mountain View et les fabricants Android serait encore plus déséquilibré que cela. Selon ces extraits relayés par Insider le 29 mai dernier, Google aurait intentionnellement rendu l'accès à certaines fonctionnalités de confidentialité plus laborieux et aurait fait pression sur certains fabricants pour qu'ils en fassent de même sur leurs propres surcouches. 

Je précise donc qu'il s'agit ici d'allégations invoquées par l'équivalent du ministère public représentant les intérêts de l'Etat de l'Arizona il y a près d'un an. Il ne s'agit pas d'un jugement ni d'un arrêt. Et ces extraits ont été rendus publics à la demande de deux organisations privées, Digital Content Next and News Media Alliance qui représentent des éditeurs de contenus en ligne.

D'après ces documents rendus publics, Google aurait entre autres collecté des données de géolocalisation même lorsque les utilisateurs ont désactivé ladite collecte et qu'il aurait réussi à faire pression sur LG pour reléguer l'interrupteur pour activer/désactiver la géolocalisation à la seconde page [du menu d'accès rapide, Ndlr].

L'accessibilité fonctions de confidentialité est donc un enjeu presque aussi important que leur existence même dans l'OS de Google et les surcouches Android des fabricants. Ce n'est pas un hasard si Google a beaucoup mis l'accent sur cet aspect avec Android 12.

Le plus gros problème est que peu importe la surcouche que vous utilisez- OneUI de Samsung, MIUI de Xiaomi ou ColorOS d'Oppo- Google collecte nos données et il n'est pour l'instant pas possible de l'en empêcher.