Mobilitics, découvrir la partie immergée de l'iceberg des apps pour smartphone

La diversité des modèles économiques et des stratégies est difficile à appréhender, la CNIL a souhaité se doter d'un outil d'analyse. Pour mieux comprendre l'écosystème des applications proposées sur smartphones et tablettes (les payantes, les gratuites, celles financées par la publicité ou par des achats liés, ...), la CNIL s'est donc associée à une équipe de recherche d'Inria, le laboratoire Privatics.

Les chercheurs d'Inria et les ingénieurs de la CNIL ont donc conçus et développés un outil pour mieux comprendre et analyser les flux de données entrant et sortant lors de l'utilisation "en vie réelle" des applications mobiles.

Mobilitics a été installé sur des smartphones acquis par le laboratoire de la CNIL, et que des agents de la CNIL volontaires ont accepté d'utiliser à la place de leur téléphone personnel pendant 3 mois.

Ils ont testé, librement, 189 apps iOS et 121 apps Android.

Bien qu'il ne s'agisse pas là d'un échantillon représentatif, plusieurs semaines de données permettent de comprendre de manière approfondie le fonctionnement des applications en conditions réelles (et non pas seulement lors de leur première utilisation "in vitro", comme d'autres enquêtes). La première vague de tests sous iOS, réalisée en 2013, a permis de tirer trois séries d’enseignements : le statut particulier de la géolocalisation,  reine des données du smartphone ; la tendance des développeurs et éditeurs d’applications à recourir à des stratégies d’identification aux objectifs très divers (mesures d’audience, statistiques d’utilisation, analytics, monétisation et publicité…) ; la difficulté à corréler les accès aux
données avec des actions de l’utilisateur ou des besoins légitimes des applications.

Dans une deuxième campagne, menée en 2014, d’autres volontaires ont utilisé une nouvelle version de Mobilitics,  sur des téléphones Android. Les résultats confirmaient là encore la nécessité pour la CNIL de rester vigilante vis-à-vis de l’information des utilisateurs et des outils de maîtrise des données personnelles mis à disposition par les systèmes d’exploitation et les éditeurs d’applications.

Les principaux enseignements :

La course aux identifiants

Un smartphone contient bon nombre d'identifiants techniques, matériels ou logiciels. Les applications accèdent souvent à ces identifiants, pour des besoins qui leurs sont propres (dont la constitution de profils publicitaires). Sur iOS comme sur Android, entre 50 et 60% des applications testées ont accédé à des identifiants du téléphone. Les fabricants de systèmes d'exploitation, conscients du risque de surexploitation des identifiants, essayent parfois de limiter les usages de chaque identifiant par des moyens techniques ou juridiques. Cependant, les applications récupèrent souvent plusieurs identifiants différents dans le même appareil (sur Android, un quart des applications ont accédé à 2 identifiants ou plus).

Un GPS dans votre poche

La localisation est la donnée reine dans l'environnement des smartphones. Elle joue un rôle clé pour les services les plus utiles (car contextualisés) mais peut aussi constituer une intrusion importante dans les habitudes et comportements de la personne. Entre un quart et un tiers des applications accèdent à la localisation. Mais ce qui retient l'attention, c'est la fréquence d'accès. Ainsi, une application de service de réseau social a pu accéder 150 000 fois en 3 mois à la localisation d'un de nos testeurs. Cela représente un accès en moyenne par minute. Certaines applications qui ont obtenu l'autorisation (générique) d'accéder à la localisation ne se privent donc pas de l'utiliser, même lorsque l'application n'est pas visible à l'écran. D'une manière générale, beaucoup d'applications accèdent très souvent à la localisation (ainsi, plus de 3 000 fois en 3 mois pour un jeu). En volume, la géolocalisation est aussi la donnée la plus collectée : elle représente à elle seule plus de 30% des évènements détectés, sans être toujours liée à des fonctionnalités offertes par l'application ou à une action de l'utilisateur.

Le système d'exploitation, principal maître à bord de votre smartphone

L'éditeur du système d'exploitation n'est pas un acteur comme les autres : il définit les règles que les éditeurs d'applications doivent respecter. Il définit aussi quelles informations et quels outils de maîtrise sont à disposition de l'utilisateur. En fonction de leur stratégie, Apple (pour iOS), Google (pour Android) ou Microsoft (pour Windows Mobile) sont dans une situation privilégiée pour collecter et traiter des données. Certains services étant installés par défaut (et parfois impossibles à désinstaller), l'utilisateur n'a souvent pas d'autre choix que de laisser ces services accéder à des données. Certains de ces services sont particulièrement gourmands en matière de données. Par exemple, une application installée par défaut pour un de nos testeurs a procédé à plus d'un million d'accès à la localisation en 3 mois. Conformément à l'avis du G29 d'avril 2013 concernant les applications mobiles, la CNIL souhaite que l'ensemble des acteurs de l'écosystème (éditeurs d'application, éditeurs des systèmes d'exploitation et responsables des magasins d'applications, tiers fournisseurs de services et d'outils) prenne la juste mesure de leurs responsabilités respectives pour améliorer l'information et les outils de maitrise des données personnelles.

Les grands acteurs des systèmes d'exploitation et magasins d'applications ont un rôle clé à jouer. Si les nouvelles versions des systèmes d'exploitation sont souvent l'occasion de changements positifs dans les outils disponibles, ces efforts doivent se poursuivre. Les développeurs, éditeurs d'application et leurs partenaires (par exemple les fournisseurs de solutions d'analytics, de monétisation, etc.) doivent quant à eux minimiser les collectes de données qui ne sont pas liées au service rendu par l'application et adopter une approche de privacy by design, plus respectueuse du droit des utilisateurs.