You are on page 1of 7

Directeur de la publication : Edwy Plenel

www.mediapart.fr
1

« Sur les 164 produits de EdTech examinés, 146 (89%)


étaient impliqués dans des pratiques relatives aux
Les publicitaires font main basse sur les
données qui mettent en danger les droits des enfants,
données des élèves partout dans le monde contribuant à les affaiblir ou violant activement ces
PAR JÉRÔME HOURDEAUX
ARTICLE PUBLIÉ LE MERCREDI 25 MAI 2022 droits, constate le rapport. Ces produits surveillaient
les enfants, secrètement et sans le consentement de
leurs parents, collectant des données sur qui ils sont,
où ils sont, ce qu’ils font en classe, qui sont leur famille
et leurs amis et quel type d’appareil leur famille
pouvait se permettre de leur offrir. »

© Human Rights Watch / Hyperakt

Human Rights Watch a analysé durant deux ans 164


outils numériques destinés aux élèves de 49 pays
durant la pandémie afin qu’ils puissent continuer à
suivre leurs cours. 89% « surveillaient les enfants,
© Human Rights Watch / Hyperakt
secrètement et sans le consentement de leurs parents ».
Le rapport issu de ce travail détaille, en 145 pages,
La pandémie a permis aux publicitaires du numérique
l’ampleur de la collecte de données personnelles par
de mettre la main sur les données personnelles de
les produits de l’EdTech ainsi que les différentes
dizaines de millions d’enfants du monde entier, révèle
techniques employées.
un rapport rendu public mercredi 25 mai par
Human Rights Watch (HRW), en collaboration avec Attribuer un « identifiant persistant »
EdTech Exposed, un consortium de treize médias, L’un des premiers objectifs des entreprises du secteur
dont Mediapart, coordonnés par The Signal Network des technologies publicitaires est de pouvoir identifier
et ayant un accès anticipé aux documents. le plus précisément possible les internautes afin
Durant près de deux années, l’ONG a analysé 165 de pouvoir les suivre lors de leurs utilisations. «
outils numériques de l’EdTech, terme désignant le Pour savoir qui sont les gens sur Internet, explique
secteur des technologies éducatives, officiellement le rapport, les sociétés de technologie publicitaire
recommandées par les gouvernements de quarante- (AdTech) étiquettent chaque personne avec une suite
neuf pays. Et ses conclusions sont désastreuses de chiffres et de lettres qui agissent comme un numéro
pour la protection de la vie privée des enfants: identifiant qui est persistant et unique : il renvoie à un
dépôt dans leurs appareils de cookies permettant seul enfant ou à ses appareils, et il ne change pas. »
d’espionner leurs activités en ligne, suivi de Ainsi, « à chaque fois qu’un enfant se connecte à
leur géolocalisation, attribution d’un identifiant Internet et entre en contact avec une technologie de
publicitaire facilitant leur pistage… L’immense pistage, chaque information collectée sur cet enfant
majorité des solutions numériques, qu’elles aient été –où il vit, qui sont ses amis, quel type d’appareil sa
développées directement par les États ou confiées à des famille peut se permettre de lui offrir – est reliée à
entreprises privées, ont contribué à une surveillance l’identifiant associé à lui par une société de l’AdTech,
publicitaire rendue obligatoire par le confinement et la aboutissant au fil du temps à un profil complet. Les
fermeture des écoles. données liées de cette manière n’ont pas besoin d’un
vrai nom pour être capables de cibler un vrai enfant
ou une personne », souligne le rapport.

1/7
Directeur de la publication : Edwy Plenel
www.mediapart.fr
2

Ces identifiants persistants peuvent avoir plusieurs d’Uttar Pradesh en Inde, la Malaisie, le Nigeria et
buts. Mais certains sont exclusivement dédiés à la l’Angleterre), Facebook (recommandé par Taïwan) ou
publicité. C’est le cas de l’Android Advertising ID encore Minecraft : Education Edition.
(AAID), qui était présent dans 41 des 73 applications Neuf autres applications collectaient le numéro
étudiées par HRW, soit 56%. Durant la pandémie, IMEI (pour International Mobile Equipment Identity)
elles ont été officiellement recommandées par 29 attribué à tout appareil mobile. On retrouve,
gouvernements. encore une fois, dans ces outils recommandés par
Certaines d’entre elles ne sont pas spécifiquement douze gouvernements, des produits particulièrement
destinées aux enfants, comme le service de populaires, comme le système de visioconférence
transfert de fichiers Dropbox ou l’outil de travail Cisco Webex (recommandé par l’État de Victoria
collaboratif Padlet. Mais trente-trois applications en Australie, le Japon, la Pologne, l’Espagne, la
étaient spécifiquement dédiées aux élèves et République de Corée, Taïwan et l’État de Californie),
ont collecté les AAID d’environ 86,9 millions la messagerie Telegram (recommandée par la Russie)
d’enfants. Parmi celles-ci, on retrouve le jeu ou encore Facebook.
éducatif de Microsoft Minecraft : Education Edition, Le rapport explique que seules des applications sous
officiellement recommandé par l’État de Victoria en Android ont été analysées en raison de la position
Australie mais extrêmement populaire dans des salles dominante du système d’exploitation de Google sur le
de classe du monde entier. marché et de son architecture plus facile à expertiser
Dans neuf cas (le Ghana, l’Inde, l’Indonésie, l’Iran, que son principal concurrent, l’iOS d’Apple. Mais il
l’Irak, la Russie, l’Arabie saoudite, le Sri Lanka et la précise que « les applications construites pour l’iOS
Turquie), les applications collectant les AAID avaient d’Apple peuvent également employer des technologies
été développées par les gouvernements eux-mêmes. de pistage de données et cibler ses utilisateurs avec de
« Ce faisant, accuse le rapport, ces gouvernements la publicité comportementale ».
se sont accordé la capacité de pister environ 41,1 Concernant les sites internet, HRW a découvert
millions d’étudiants et d’enseignants uniquement pour que huit avaient recours à une autre technologie
de la publicité et de la monétisation ». d’identification particulièrement efficace : le « canvas
fingerprinting ». Celle-ci consiste à dissimuler, dans
une page internet, une forme ou un bout de texte que le
navigateur lit sans que l’utilisateur s’en rende compte.
Or, chaque ordinateur affichera ces empreintes avec
de très légères différences liées à ses composants.
De ce fait, « ces images peuvent être utilisées par
les annonceurs et d’autres pour assigner un numéro
© Human Rights Watch / Hyperakt
unique à l’appareil de l’utilisateur, qui peut alors
En outre, HRW a repéré dix-sept applications être utilisé comme un identifiant singulier pour pister
récupérant des identifiants encore plus intrusifs car les activités de l’utilisateur sur Internet », explique le
quasiment impossibles à modifier. Huit récupéraient rapport. HRW a repéré huit sites internet utilisant le «
en effet l’adresse MAC Wifi, un identifiant canvas fingerprinting »,dont trois mis en place par des
physique attribué à chaque carte wifi des appareils. gouvernements –un au Canada et deux en Russie.
Ces applications ont été recommandées par treize
gouvernements et, parmi elles, figurent certaines des
plus populaires : YouTube (recommandé par l’État

2/7
Directeur de la publication : Edwy Plenel
www.mediapart.fr
3

Géolocaliser les élèves (recommandée dans l’État du New South Wales en


L’une des données les plus précieuses pour les Australie, dans l’État de Bavière en Allemagne, en
entreprises de l’AdTech est la géolocalisation des République de Corée, en Espagne, à Taïwan, en
internautes. Elle peut « révéler des informations Angleterre et au Texas).
sensibles telles que où l’enfant vit et où il va à l’école, Certaines applications, 18 sur les 73, collectaient
les voyages entre les domiciles de ses parents divorcés également le Wifi SSID, qui correspond au nom
et les visites au cabinet d’un docteur spécialisé du réseau auquel se connecte un téléphone mobile.
dans le cancer pédiatrique », détaille le rapport. Avec cette donnée, les entreprises peuvent retrouver
Durant la pandémie, alors que « beaucoup d’enfants la localisation exacte du réseau en question. Parmi
apprenaient à distance durant les confinements du les applications utilisant cette technique, on retrouve
Covid-19, la surveillance de leur présence physique des géants du numérique comme Microsoft Teams,
par les données de localisation a probablement révélé Cisco Webex, Zoom (recommandé dans l’État du
leurs adresses et les endroits les plus significatifs pour New South Wales en Australie, au Cameroun, au
eux », souligne encore HRW. Kazakhstan, en République de Corée, en Roumanie,
Or, sur les 73 applications analysées, 22, soit 30%, en Californie, au Texas et en Angleterre), YouTube
« s’accordaient la capacité de collecter des données (recommandé dans l’État d’Uttar Pradesh en Inde,
de localisation précises, ou des coordonnées GPS en Malaisie, au Nigeria et en Angleterre), WhatsApp
qui peuvent déterminer à la localisation exacte (recommandé dans l’État d’Uttar Pradesh et au
d’un enfant à 4,9 mètres près ». De plus, ces 22 Cameroun), Telegram (recommandé au Nigeria) ou
applications collectaient également « l’horaire de encore Facebook (recommandé à Taïwan).
la localisation actuelle de l’appareil, ainsi que la Concernant les sites internet, la question de la
dernière localisation connue de l’appareil – révélant localisation est plus délicate. Ceux-ci disposent en
exactement où un enfant est, où il était avant ça, et effet quasi automatiquement de l’adresse IP de chaque
combien de temps il est resté à chaque endroit ». visiteur ou visiteuse, qui permet d’avoir une indication
Dix de ces applications étaient directement destinées approximative du lieu d’où celui-ci ou celle-ci se
aux enfants, comme Minecraft : Education Edition, connecte. Lorsque ces données sont transmises à des
et ont collecté les données de localisation entreprises d’AdTech, il est délicat de savoir si ces
d’environ 52,1 millions d’enfants. Quatre applications dernières en usent afin de localiser les utilisateurs et
directement développées par les gouvernements utilisatrices.
indien, indonésien, iranien et turc ont à elles seules Cependant, pointe le rapport, « la plupart de sociétés
récupéré celles de 29,5 millions d’élèves. d’AdTech que Human Rights Watch a observées
recevant les adresses IP d’enfants, depuis des produits
EdTech recommandés par le gouvernement, offraient
des services de ciblage géolocalisé basé sur les
adresses IP ».
L’ONG pointe comme exemple le cas de la société
française Criteo, l’un des leaders du secteur. Celle-
© Human Rights Watch / Hyperakt
ci revendique la détention des données sur « 2,5
milliards d’utilisateurs uniques, dont 98% ont des
On retrouve également, encore une fois, des
identifiants persistants ». Elle revendique l’utilisation
applications non prévues pour les enfants mais tout
de la géolocalisation pour « afficher des publicités
de même recommandées par des gouvernements
pour des produits disponibles dans votre zone
comme celle de visioconférence Microsoft Teams
géographique ». Or HRW a identifié sept sites internet

3/7
Directeur de la publication : Edwy Plenel
www.mediapart.fr
4

éducatifs transmettant les adresses IP des enfants – d’une personne, les trackeurs publicitaires présument
deux au Brésil, deux au Japon, un au Kazakhstan, un ses préférences pour la cibler avec des publicités
au Pakistan et un en République de Corée. spécifiques, et alors mesurer à quel point la publicité
Interrogé par les chercheurs de l’ONG, Criteo a a réussi à capturer l’attention de la personne et à
confirmé utiliser une version tronquée des adresses l’inciter à cliquer sur elle », explique le rapport.
IP pour personnaliser ses publicités. La société a « Human Rights Watch a découvert que les sites
également reconnu avoir trois des sites internet cités web éducatifs des enfants installaient autant de
parmi ses clients mais a affirmé ne pas travailler avec trackeurs publicitaires que le font les sites web les
les quatre autres. Le rapport précise qu’elle n’a pas plus populaires visant les adultes, poursuit-il. Sur
indiqué si, oui ou non, elle avait bien reçu des données un total de 125 sites web EdTech, 113 sites web
collectées sur des enfants. (90%) plaçaient de pisteurs publicitaires tiers sur les
Contacté par Mediapart, Criteo a dans un premier appareils et les navigateurs utilisés par les enfants.
temps transmis un communiqué (lire l’intégralité dans […] Dit autrement, les enfants ont juste autant de
la page Annexes), dans lequel elle assurait avoir « chances d’être surveillés dans leurs salles de classe
pleinement collaboré avec HRW sur ce rapport en virtuelles que des adultes faisant des courses dans les
répondant à toutes leurs questions ». Concernant la plus grands magasins virtuels, si ce n’est plus. »
protection des enfants, elle affirmait imposer « un Parmi les cas les plus symptomatiques, HRW
haut niveau d’exigence à ses partenaires, en leur cite l’exemple du site de l’Education Boadcasting
demandant contractuellement de se conformer aux System (EBS) coréen, imposé par le gouvernement
Lignes directrices pour les publicités Criteo et aux durant le confinement et qui comportait 24 pisteurs
Lignes directrices pour les partenaires fournisseurs, publicitaires, envoyant des données à 15 sociétés de
ainsi qu’aux différentes réglementations applicables à l’AdTech.
la protection des données personnelles, et notamment Pister les enfants sur Internet
au RGPD [Règlement général sur la protection des
Enfin, les élèves ont également pu être pistés en dehors
données– ndlr] ».
de leurs salles de classe virtuelles, lors de leurs autres
Relancé sur la question de la destruction d’éventuelles activités sur Internet, via les fameux « cookies »,
données collectées sur des enfants, sur les mesures des petits fichiers installés dans le navigateur d’un·e
à mettre en place, Criteo a complété sa réponse internaute pour l’identifier. « Si tous les cookies ne
après avoir reçu une copie du rapport de HRW. sont pas des pisteurs, précise le rapport, les cookies
« Nous sommes en train de l’évaluer avec toutes tiers sont généralement utilisés par des sociétés
les parties concernées, indique la société. Nous publicitaires ou de pistage pour regarder ce que font
continuons à enquêter car nous prenons ces questions les gens en ligne, en déduire leurs caractéristiques
très au sérieux et nous prendrons rapidement des et intérêts, et fournir des publicités customisées qui
mesures pour retirer tout partenaire ou annonceur de ensuite les suivent sur Internet. »
notre réseau s’il viole les directives que nous avons
HRW s’est rendu compte « que les sites web éducatifs
précédemment communiquées. »
des enfants inséraient autant de cookies tiers sur les
Surveiller les salles de classe virtuelles appareils personnels que les sites les plus populaires
La surveillance des enfants durant la pandémie s’est destinés aux adultes. Sur un total de 125 sites
parfois étendue jusqu’à l’intérieur des salles de classe web EdTech, Human Rights Watch a détecté 67
virtuelles. HRW a en effet également recensé les sites EdTech ayant un total de 472 cookies tiers
différents pisteurs publicitaires qui permettent de embarqués. »
suivre l’activité du visiteur et de la visiteuse d’un site.
« En scrutant toutes les actions et le comportement

4/7
Directeur de la publication : Edwy Plenel
www.mediapart.fr
5

L’ONG s’inquiète des conséquences sur les enfants de Faire respecter la législation et responsabiliser
ce ciblage publicitaire comportemental. « L’usage des les entreprises
informations personnelles des enfants pour délivrer « Les entreprises ont la responsabilité de respecter
des contenus et des publicités qui les suivent à travers les droits des enfants, peu importe d’où elles opèrent
Internet joue un rôle énorme dans le modelage des dans le monde, et à travers ces opérations », affirme
expériences des enfants et de qu’ils voient en ligne, en conclusion HRW. De leur côté, les gouvernements
écrit-elle. Cela peut influencer, modifier et manipuler ont la responsabilité de « s’assurer que les entreprises
leurs pensées et croyances, en les poussant vers des incluent ces responsabilités. Ils ont le devoir de
conclusions spécifiques et potentiellement en affectant protéger les enfants et leurs droits et donc devraient
leur capacité à faire des choix autonomes. » prévenir, surveiller, enquêter et punir les abus de
Face à ces dangers, « les gouvernements ont échoué droits des enfants par des entreprises ».
à protéger le droit des enfants à l’éducation, accuse Afin d’y parvenir, le rapport formule une série de
le rapport. À l’exception d’un seul gouvernement –le propositions. Il demande aux gouvernements de «
Maroc –, tous les gouvernements examinés dans ce mener des audits des données privées des EdTech
rapport ont adopté au moins un produit de EdTech adoptées pour les apprentissages des enfants durant
qui mettait en danger ou affaiblissait les droits des la pandémie, retirer celles qui échouent à ces
enfants. » audits, et immédiatement notifier et guider les écoles
Certains gouvernements ont même directement mis affectées, les enseignants, les parents et les enfants
en danger la vie privée de leurs enfants via afin d’empêcher la poursuite de la collecte et du
des applications développées par les autorités et détournement des données des enfants ».
transmettant des données à des sociétés AdTech. Une HRW appelle également les États à adopter « des lois
liste de 55 produits est ainsi épinglée dans le rapport, spécifiques aux enfants de protection des données »
dont deux développés par le gouvernement français. et à s’assurer de leur respect. L’ONG fait aussi
Proposés par le ministère de l’éducation nationale, appel aux entreprises en leur demandant d’arrêter de
les sites internet English for Schools et Deutsch für collecter les données d’enfants et de mettre en place
Schulen intègrent en effet deux cookies tiers, un de un système de « tag », d’étiquette, permettant de les
Google Analytics, un outil de mesure d’audience, et un repérer plus facilement afin de les écarter de tout
de doubleclick.net, une régie publicitaire appartenant traitement publicitaire.
au géant américain. Pour arriver à ces conclusions, Hye Jung Han,
En dehors de ces deux sites, la France est par chercheuse et chargée de plaidoyer auprès HRW
ailleurs relativement épargnée par le rapport de HRW, travaillant sur les droits de l’enfant et l’impact du
notamment en raison d’une législation plus protectrice numérique à HRW, a analysé les codes sources de
que dans certains autres États. Cet apparent bon l’ensemble des sites et applications afin d’y repérer les
résultat est cependant à relativiser. Pour son enquête, outils de pistage, ainsi que les données éventuellement
l’ONG a en effet choisi de présenter les résultats transmises durant l’utilisation.
en fonction des outils officiellement recommandés Elle a eu recours à l’expertise de deux autres
par les gouvernements. Or, beaucoup d’applications spécialistes. Les applications pour appareils mobiles
par ailleurs mises en cause dans le rapport ont été ont été analysées par la chercheuse française Esther
largement utilisées par les enseignants français, hors Onfroy, cofondatrice de l’entreprise de cybersécurité
de toute consigne officielle. Ce fut le cas par exemple Defensive Lab Agency et créatrice d’Exodus Privacy
des outils de visioconférence tels que Zoom, de et de Pithus, deux outils d’analyse des applications
WhatsApp ou encore de Minecraft : Education Edition Android. Les sites internet, eux, ont été analysés
(lire ici notre article consacré à ce sujet). par Surya Mattu, ingénieur et journaliste au sein de

5/7
Directeur de la publication : Edwy Plenel
www.mediapart.fr
6

l’association The Markup, qui vise à promouvoir le Le 8 juin 2022, Human Rights Watch publiera toutes
datajournalisme, et créateur de Blacklight, un outil ses données et ses preuves techniques pour inviter
permettant de repérer les pisteurs sur un site. experts, journalistes, décideurs politiques à recréer,
Boite noire tester et nouer un dialogue sur ses conclusions et ses
méthodes de recherche.
« EdTech Exposed » est une enquête collaborative
indépendante ayant eu un accès anticipé au rapport, Prolonger
aux données et aux preuves techniques de Human La réponse de la société Criteo:
Rights Watch sur des violations des droits des enfants « Criteo prend très au sérieux la protection et
présumées par des gouvernements ayant approuvé la conformité de la vie privée, en particulier
des technologies éducatives durant la pandémie de lorsqu’il s’agit d’enfants. C’est pourquoi nous avons
Covid-19. pleinement collaboré avec HRW sur ce rapport en
répondant à toutes leurs questions.
Depuis le lancement de notre première solution en
2008, nous avons assuré les plus hauts niveaux de
Le consortium a effectué plusieurs semaines d’enquête sécurité et de confidentialité des données à travers
menée par plus de 25 journalistes de 13 médias notre portefeuille de produits, de technologies et de
dans 16 pays. Il a été coordonné par The Signal services - en accord avec les normes européennes
Network, une organisation à but non lucratif qui strictes de confidentialité des données, que nous
soutient les lanceurs d’alerte et aide à coordonner avons choisi d’appliquer à nos opérations et pratiques
les enquêtes internationales de médias qui dénoncent commerciales mondiales.
les mauvais comportements des entreprises et les Comme vous le savez peut-être, Criteo est une
violations de droits humains. Human Rights Watch société spécialisée dans la création de publicités
a fourni un soutien financier à The Signal Network personnalisées. Nous permettons aux éditeurs de
pour mettre en place le consortium, mais le consortium sites web et d’applications mobiles de tirer profit
est indépendant et agit indépendamment de Human de leur contenu en affichant sur leurs sites web
Rights Watch. et/ou applications mobiles des publicités présentant
Les médias impliqués inclus ABC (Australie), Chosun des produits ou services susceptibles d’intéresser les
Ilbo (République de Corée), El Mundo (Espagne), utilisateurs en fonction de leur navigation sur les sites
Folha de São Paolo (Brésil), The Globe and web et/ou applications mobiles de nos partenaires
Mail (Canada), Kyodo News (Japon), McClatchy/ annonceurs.
Miami Herald/Sacramento Bee/Fort Worth Star En ce qui concerne plus spécifiquement les enfants,
Telegram (États-Unis), Mediapart (France), Narasi nous tenons à souligner que Criteo impose un haut
TV (Indonésie), OCCRP (Cameroun, Kenya, Nigeria, niveau d’exigence à ses partenaires, en leur demandant
Afrique du Sud, and Zambie), The Daily Telegraph contractuellement de se conformer aux Lignes
(Grande-Bretagne), The Wire (Inde), et The directrices pour les publicités Criteo et aux Lignes
Washington Post (États-Unis). directrices pour les partenaires fournisseurs, ainsi
Ces médias partenaires cumulent une audience de qu’aux différentes réglementations applicables à la
plus de 185 millions de lecteurs et lectrices dans huit protection des données personnelles, et notamment au
langues. RGPD.
Nous sommes en train de l’évaluer avec toutes
les parties concernées. Nous continuons à enquêter
car nous prenons ces questions très au sérieux et

6/7
Directeur de la publication : Edwy Plenel
www.mediapart.fr
7

nous prendrons rapidement des mesures pour retirer tout partenaire ou annonceur de notre réseau s’il
viole les directives que nous avons précédemment
communiquées. »

Directeur de la publication : Edwy Plenel Rédaction et administration : 127 avenue Ledru Rollin, 75011 Paris
Direction éditoriale : Carine Fouteau et Stéphane Alliès Courriel : contact@mediapart.fr
Le journal MEDIAPART est édité par la Société Editrice de Mediapart (SAS). Téléphone : + 33 (0) 1 44 68 99 08
Durée de la société : quatre-vingt-dix-neuf ans à compter du 24 octobre 2007. Télécopie : + 33 (0) 1 44 68 01 90
Capital social : 24 864,88€. Propriétaire, éditeur, imprimeur : la Société Editrice de Mediapart, Société par actions
Immatriculée sous le numéro 500 631 932 RCS PARIS. Numéro de Commission paritaire des simplifiée au capital de 24 864,88€, immatriculée sous le numéro 500 631 932 RCS PARIS,
publications et agences de presse : 1214Y90071 et 1219Y90071. dont le siège social est situé au 127 avenue Ledru Rollin, 75011 Paris
Conseil d'administration : François Bonnet, Michel Broué, Laurent Mauduit, Edwy Plenel Abonnement : pour toute information, question ou conseil, le service abonné de Mediapart
(Président), Sébastien Sassolas, Marie-Hélène Smiéjan, François Vitrani. Actionnaires directs peut être contacté par courriel à l’adresse : serviceabonnement@mediapart.fr. ou par courrier
et indirects : Godefroy Beauvallet, François Bonnet, Laurent Mauduit, Edwy Plenel, Marie- à l'adresse : Service abonnés Mediapart, 4, rue Saint Hilaire 86000 Poitiers. Vous pouvez
Hélène Smiéjan ; Laurent Chemla, F. Vitrani ; Société Ecofinance, Société Doxa, Société des également adresser vos courriers à Société Editrice de Mediapart, 127 avenue Ledru Rollin,
Amis de Mediapart, Société des salariés de Mediapart. 75011 Paris

7/7

You might also like