Données de géolocalisation : ce que signifie l'interdiction par la Virginie de vendre votre position

La Virginie a décidé d'interdire la vente de données de géolocalisation précises, une mesure mise en avant dans un article partagé sur Hacker News qui traduit une inquiétude croissante quant à la façon dont les informations sur les déplacements des personnes sont achetées et vendues. Le dispositif restreint un marché largement invisible qui transforme les signaux de localisation des appareils du quotidien en une marchandise négociable.

La donnée de géolocalisation est, au plus simple, l'information sur l'endroit où un appareil — et par extension son propriétaire — s'est trouvé. Une localisation précise peut situer une personne à quelques mètres près et, accumulée dans le temps, révéler où elle vit, travaille, prie, se fait soigner et passe ses soirées. Elle figure parmi les catégories les plus sensibles de données personnelles, précisément parce qu'un schéma de lieux peut exposer tant d'aspects d'une vie.

Ces données sont collectées de multiples façons. Les smartphones déterminent la position via le GPS, les réseaux Wi-Fi proches et les antennes-relais, et d'innombrables applications demandent l'accès à cette position, parfois pour des raisons évidentes comme les cartes ou la météo, parfois à des fins que les utilisateurs n'attendent pas. Des composants logiciels intégrés aux applications peuvent transmettre les relevés de localisation à des tiers, alimentant une chaîne d'approvisionnement que la plupart des gens ne voient jamais.

Au bout de cette chaîne se trouvent les courtiers en données — des entreprises qui agrègent la localisation et d'autres informations personnelles de nombreuses sources et les vendent à des annonceurs, à des sociétés d'analyse et à d'autres. Ce commerce a fonctionné avec une transparence limitée, et des enquêtes de ces dernières années ont montré que des historiques de localisation détaillés, parfois liés à des individus identifiables, peuvent être achetés assez facilement.

Selon l'analyse juridique diffusée sur Hacker News, l'action de la Virginie vise spécifiquement la vente de ces données de localisation précises. Plutôt que d'interdire totalement la collecte de la localisation, de telles mesures se concentrent généralement sur son commerce, cherchant à empêcher que des données de déplacement sensibles soient revendues à des parties avec lesquelles une personne n'a jamais choisi de les partager.

L'inquiétude qui motive ces lois est que les données de localisation peuvent être utilisées de manières qui nuisent aux personnes. Elles peuvent permettre le harcèlement ou le suivi d'individus vulnérables, révéler des visites dans des lieux sensibles comme des cliniques ou des lieux de culte, et être détournées pour de la surveillance ou du profilage bien au-delà de la raison initiale de leur collecte. Comme les données peuvent souvent être reliées à une personne, les risques ne sont pas hypothétiques.

La Virginie n'agit pas isolément. Elle s'inscrit dans une vague plus large de législation sur la vie privée au niveau des États aux États-Unis où, faute d'une loi fédérale unique et complète, chaque État a adopté ses propres règles sur la manière dont les données personnelles peuvent être collectées, utilisées et vendues. Il en résulte une mosaïque de protections qui varient d'un État à l'autre.

Cette mosaïque crée des difficultés pratiques pour les entreprises, qui doivent composer avec des obligations différentes selon le lieu de résidence de leurs utilisateurs, et signifie que le niveau de protection dont bénéficie une personne peut dépendre fortement de son État de résidence. Les partisans d'une norme nationale plaident qu'une loi fédérale unique serait plus claire et plus cohérente, tandis que d'autres apprécient la capacité des États à agir plus vite qu'un législateur national divisé.

Pour les entreprises qui dépendent des données de localisation, des réseaux publicitaires aux développeurs d'applications, des règles comme celles de la Virginie imposent de repenser la gestion de la localisation : ce qui est collecté, comment le consentement est obtenu, et si les données peuvent être partagées ou vendues. La conformité pousse souvent les firmes à collecter moins, à anonymiser davantage et à être plus claires avec les utilisateurs sur le sort de leurs informations.

Pour les particuliers, les enseignements pratiques méritent d'être connus quel que soit le lieu de résidence. Vérifier quelles applications ont des autorisations de localisation, limiter l'accès aux seuls moments d'utilisation et désactiver la localisation pour les applications qui n'en ont pas besoin réduisent d'emblée la quantité de ces données produites. L'interdiction de la Virginie s'attaque au bout « vente » de la chaîne ; les réglages personnels s'attaquent à la source.