« Every move you make, Every bond you break, Every step you take, I'll be watching you. »

– The Police

Récupération des données

En cherchant comment récupérer des données de géolocalisation, il s'est avéré assez rapidement que le plus prometteur était de se tourner vers les courtiers en données.

En faisant des recherches en ligne sur une plateforme permettant à différents data brokers de mettre en vente leurs jeux de données, une base nous est apparue plus fournie que les autres, en particulier pour les données de personnes localisées en France. On pouvait lire dans la description qu'il s'agissait de données anonymisées de géolocalisation et qu'il était possible d’avoir un échantillon gratuit. Il faut compter environ quelques milliers d'euros par mois ou plus d’une centaine de milliers d’euros par an en fonction des utilisations et des zones géographiques visées, un prix parfois dérisoire comparé aux bénéfices qui peuvent être engrangés grâce à ces données.

Outre ces données, qui vont principalement nous intéresser dans cet article, on retrouve pour chaque ligne des adresses IP, un indicateur du pays et de la ville dans lesquels se trouvent le point de géolocalisation, une mesure de la précision sur la localisation de l'appareil au moment du relevé de la position, et d'autres données moins importantes.

La base de données ainsi composée fait environ 15 Go, pour 100 millions de lignes, base qu'il va donc falloir nettoyer et retrier pour pouvoir la traiter.

Traitement

Dans le cadre du tri des données récoltées, une répartition en plusieurs colonnes a été effectuée afin d’isoler les données utiles pour la conduite du projet. En utilisant Python et des Jupyter Notebook avec le module Pandas, nous avons pu procéder à un premier tamisage en retirant ce qui n’allait pas être utilisable pour notre méthode de réidentification. 

Nous ne voulions conserver que les points de géolocalisation, le temps auquel le point a été enregistré ainsi que l’identifiant permettant de relier chaque ligne à un téléphone portable.

Une rapide vérification nous a permis de constater qu’il y avait 5 millions d’identifiants uniques dans notre base de données. Donc potentiellement 5 millions de téléphones « tracés », certains avec beaucoup de points différents, d’autres très peu, voir un seul. En éliminant ces derniers de notre base de données de « téléphones exploitables », il restait environ 800 000 identifiants à utiliser.

Nous avons ensuite regroupé les données par identifiant unique et ainsi construit 800 000 ensembles de données distincts, chacun retraçant le parcours d’un téléphone. Nous appelons une telle suite de points une « trace ».

Le partitionnement de données (clusterisation)

A ce stade, notre démarche a été de nous concentrer sur les points d’intérêts, les endroits sensibles permettant de réidentifier les individus. Avec un algorithme faisant des regroupements de points (« clusters »), en triant sur les horaires et les jours, on peut très rapidement avoir une bonne estimation de l’endroit où vous passez du temps les weekends et la nuit, et de l’endroit où vous êtes la journée en semaine.

Ainsi, pour chaque trace nous pouvons avoir la géolocalisation du domicile et du lieu de travail. En utilisant par la suite une fonctionnalité du site OpenStreetMap qui permet de récupérer une adresse postale à partir d’une géolocalisation, nous avons pu identifier les différentes adresses pour chacun des 800 000 téléphones portables.

Bien sûr, dans certains cas il y a des erreurs, notamment dû au fait qu’en octobre 2021 la forte circulation du Covid-19 nous incitait à télétravailler, ou d’autres fois simplement des erreurs de précision dans notre algorithme.

Recherche en sources ouvertes

L’étape suivante de nos travaux a reposé sur des recherches en sources ouvertes. Nous avons mobilisé différentes techniques – notamment pratiquées par des journalistes, mais aussi des enquêteurs publics ou privés – permettant de retrouver des informations théoriquement confidentielles en utilisant uniquement des données disponibles sur internet ou en libre accès en général.

Ici ce travail de recherche est assez limité, il a principalement reposé sur la consultation des pages blanches (pour les domiciles) et LinkedIn (pour les lieux de travail).

Réidentification

Pour estimer le nombre de personnes que nous pourrions réidentifier dans ce jeu de données, nous avons tiré au hasard 20 identifiants, sans discrimination de lieu ou de nombre de points présents dans la trace.

En cherchant simplement les adresses correspondantes dans des annuaires, nous avons pu assez rapidement avoir un certain nombre de noms qui ressortaient, avec une précision toute relative. On pouvait en demandant une adresse sur Les Pages Blanches, se retrouver avec le nom de la personne vivant dans la maison d’à côté par exemple. D'autres fois, plusieurs noms différents ressortent, indiquant que l'adresse demandée est en fait celle d'un immeuble.

Il faut aussi garder à l’esprit que le nom affiché peut être celui du propriétaire du logement, et non de celui qui y habite. Rappelons qu’en France, en 2021, un quart des ménages détenaient 68% des logements particuliers.

Concernant le lieu de travail, il est parfois directement renseigné dans l’adresse, comme pour les grandes enseignes par exemple. Parfois, il faut aller regarder sur des services de cartographie pour trouver l’information. Une fois le lieu établi, une recherche avec les mots clés « noms du lieu de travail » et « nom de famille de la personne » sur des réseaux sociaux ou directement le site internet de l’entreprise ont permis de confirmer qu’une personne portant ce nom travaille dans l’endroit identifié.

Ainsi, il nous aura fallu très peu de temps (environ une journée) pour trouver 7 personnes (sur les 20 identifiants du début) dont les lieux de vie et de travail semblaient correspondre aux données que nous avions dans la base. Sur la base de cet échantillon, un tiers des gens apparaissaient ainsi réidentifiables sur un jeu de données tiré au hasard. Anonymes nous disions donc…

Ces personnes réidentifiées, il nous était possible de savoir, heure par heure, ce qu’elles avaient fait durant cette semaine du 8 au 15 octobre 2021. Où elles avaient dormi, quand elles avaient fait leurs courses, quelles routes elles avaient prises pour aller au travail, quand elles avaient déposé leurs enfants à l’école, etc.

Si des meetings politiques avaient eu lieu cette semaine-là, il est fort probable que nombre de propriétaires des téléphones présents dans notre base de données y auraient participés. Nous permettant ainsi d’en dégager certaines opinions politiques.

Pour rappel, dans le cadre de cette étude, nous n’avons eu accès qu’à un seul (petit) échantillon ! En payant les prix énoncés au début de cet article, nous aurions eu un jeu de données couvrant une année entière, ou une zone en particulier…

Un problème avec la géolocalisation ?

Nous sommes loin d’être les premiers à nous être intéresser à la réidentification par géolocalisation : pouvoir retrouver un individu dans un nuage de traces est faisable depuis déjà quelques années. En revanche, le fait de pouvoir réidentifier autant d’individus grâce à des données récupérées aussi facilement est un problème plutôt récent. On le voit avec les différents articles parus entre 2018 et aujourd’hui, parlant des dérives de certaines applications utilisant ce genre de données, que ça soit en 2018 où plus d’une vingtaine d’agents de la DGSE ont été réidentifiés parce qu’ils utilisaient l’application sportive Strava, ou plus récemment où un media Danois révelait avoir acheté les données de plus de 60 000 smartphone pour 4800€.

Ces données de géolocalisation sont donc des données sensibles, et cela se voit encore plus lorsque l’on s’intéresse à ce qu’elles nous disent sur les habitudes des gens. Il serait par exemple possible de se renseigner sur les lieux de culte fréquentés, surveiller certains bâtiments sensibles en observant qui s’y rend régulièrement. Dans une étude précédente du LINC, avec des données récupérées sur des taxis à New York, il nous a été possible de savoir qui allait dans quels des clubs de strip-tease.

Même en utilisant des mécanismes pour obfusquer ce genre d’informations, les applications que nous utilisons au quotidien restent vulnérables (A Run a Day Won't Keep the Hacker Away), et quand les courtiers en données rentrent dans l’équation, il n’y a plus vraiment de secrets pour personne. Aucune vraie justification concernant l’utilisation que nous allions faire des données récupérées n’a été fournie, et il nous a fallu que peu de temps pour arriver à réidentifier des gens. Les applications qui ont permis à ce data broker d’agréger ces informations ne sont – pour l’heure – pas connues.