Les collectes et traitements de données ont évolué avec la dernière mise à jour majeure de Windows 10, mais les informations fournies aux utilisateurs ne leur permettent toujours pas de donner un « consentement éclairé » à ces pratiques.
L’Autoriteit Persoonsgegevens, homologue néerlandaise de notre Commission nationale de l’informatique et des libertés, dresse ce constat à l’issue d’un an d’enquête, dans un rapport dont on trouvera ici la synthèse.
L’autorité s’est intéressée à l’outil de télémétrie par lequel Microsoft fait remonter un large éventail de données techniques allant de l’identifiant d’une machine à sa configuration matérielle.
Avant la dernière mise à jour majeure (la « Creators Update », lancée au mois d’avril), il existait trois niveaux de télémétrie : « basique », « amélioré » et « complet ».
La CNIL néerlandaise affirme qu’au niveau « basique », des informations sensibles étaient déjà collectées ; tout particulièrement sur l’usage des applications (fréquence d’ouverture, temps d’utilisation…). Au niveau « complet », on touchait, entre autres, au navigateur Internet Edge ou encore au contenu de documents manuscrits.
Le passage de l’« Anniversary Update » à la « Creators Update » a supprimé le niveau « amélioré ». Quant au niveau « basique », il n’implique plus la collecte plus d’informations sur l’usage des applications. En revanche, rien ne change au niveau « complet »*, paramétré par défaut.
Notant que Windows 10 équipe « plus de 4 millions d’appareils actifs » aux Pays-Bas, l’Autoriteit Persoonsgegevens considère que Microsoft n’expliquait pas assez clairement, dans l’« Anniversary Update », à quelles fin étaient réalisées les différentes collectes de données.
Les objectifs sont, dans l’absolu, plus précis avec la « Creators Update » : corriger les erreurs, maintenir les appareils à jour et sécurisés, mais aussi améliorer les produits et services Microsoft. Il est par ailleurs, pendant l’installation, proposé à l’utilisateur de refuser la diffusion, dans Windows, et les applications, de publicité personnalisée.
Problème, selon l’Autoriteit Persoonsgegevens, ces explications restent trop générales : la façon dont Microsoft recueille des données demeure imprévisible et contrevient par là même à la législation nationale, qui soumet le stockage et l’accès à des données sur un appareil personnel à une information « claire et complète » de l’utilisateur.
L’autorité estime plus globalement qu’au vu de la criticité de certaines des informations recueillies, l’intérêt du service ne doit pas prévaloir sur le droit à la protection de la vie privée.
Microsoft est déjà passé par là en France. Le dossier est clos depuis fin juin, la CNIL ayant mis un terme à sa procédure de mise en demeure engagée un an plus tôt.
La Commission juge que le premier éditeur mondial s’est mis en conformité avec la loi « Informatique et Libertés », éliminant des manquements « graves » : « caractère non pertinent ou excessif des données collectées », « absence de consentement des personnes » et « défaut de sécurité ».
* Parmi les informations collectées exclusivement au niveau « complet » figurent les adresses MAC des équipements du voisinage réseau, les termes suggérés lors de la saisie manuscrite et les URL des sites visités avec Edge.
Quelle part d’incertitude faut-il accepter dans la mise en conformité des IA avec le RGPD…
Microsoft a dévoilé les prix des mises à jour de sécurité étendues pour Windows 10.…
Docaposte a sélectionné une douzaine de spécialistes français pour créer un Pack cybersécurité spécialement étudié…
La Surface Pro 10 sera disponible le 9 avril en France. Passage en revue de…
Que réserve Office 2024 ? Une première version de test officielle sera disponible en avril.…
Microsoft Teams évolue dans une version « unifiée » qui permet de combiner les usages…