L’une des tendances TikTok les plus en vogue en ce moment apparemment Les gouvernements occidentaux interdisent l’application immensément populaire des téléphones de leurs employés et lancent des enquêtes sur ses pratiques de collecte de données.

Cette semaine, le Canada s’est joint aux États-Unis et à l’Union européenne pour interdire l’application de médias sociaux sur les appareils émis par le gouvernement. D’autres juridictions et institutions canadiennes envisagent des interdictions similaires.

Cette décision est intervenue quelques jours seulement après que l’organisme fédéral de surveillance de la confidentialité a déclaré qu’il, ainsi que trois provinces, enquêteraient pour savoir si TikTok et sa société mère basée en Chine ByteDance se conformaient aux lois canadiennes sur la confidentialité.

Mais la plupart des utilisateurs de TikTok dans ce pays ne sont pas des employés du gouvernement et continueront d’autoriser l’application à accéder à leurs données personnelles avec chaque vidéo qu’ils regardent, aiment ou commentent, même lorsqu’ils n’interagissent pas avec l’application.

Alors que la plupart des applications de médias sociaux collectent et stockent les données des utilisateurs, la quantité collectée par TikTok et la transparence de ce qu’elle collecte sont ce qui préoccupe certains experts en cybersécurité, en particulier en raison de la perception que le gouvernement chinois pourrait y accéder.

Ce que TikTok recueille de vous

Une fois l’application téléchargée et ouverte sur votre smartphone ou votre tablette, elle en apprend beaucoup sur vous.

Ce sont de volumineuses conditions d’utilisation qui définissent ce que vous acceptez ; accéder à des données personnelles telles que des contacts, des calendriers, des informations sur l’appareil que vous utilisez, le système d’exploitation et votre emplacement.

Comme d’autres plateformes, y compris Facebook et YouTube, TikTok surveille également le contenu avec lequel vous interagissez et pendant combien de temps.

Mais TikTok surveille également la façon dont vous utilisez votre appareil et son fonctionnement, y compris « les modèles ou rythmes de frappe, l’état de la batterie, les paramètres audio et les appareils audio connectés », selon ces termes.

Il est également capable d’identifier « les objets et les décors qui apparaissent [in your videos]l’existence et la localisation dans une image des traits du visage et du corps… et le texte des mots prononcés. »

Quatre-vingt-dix-neuf pour cent des gens ne liront pas les dizaines de pages de conditions de service », a déclaré Heidi Tworek, titulaire de la chaire de recherche du Canada et directrice du Centre d’étude des institutions démocratiques de l’Université de la Colombie-Britannique.

Données GPS précises

Les entreprises de médias sociaux s’appuient sur ces analyses pour vendre de la publicité, développer de nouvelles versions de programmes et adapter le contenu aux habitudes des utilisateurs.

Mais Robert Potter, co-fondateur et co-PDG de la société de cybersécurité Internet 2.0 basée à Canberra, affirme que TikTok n’est pas complètement transparent avec ses plus de 1,5 milliard d’utilisateurs.

Son entreprise a examiné les applications de médias sociaux, notamment Facebook, Instagram et Whatsapp, propriété de Meta, et a découvert que TikTok était « une valeur aberrante dans la quantité de données qu’il collecte », a-t-il déclaré.

Par exemple, Potter dit que TikTok peut collecter des données de localisation GPS « précises » auprès des utilisateurs – beaucoup plus précises que l’entreprise ne l’a admis une fois.

« Cela nous donne beaucoup de temps pour réfléchir exactement … à quels autres éléments de contrôle aimerions-nous les soumettre? » il a dit.

Pas « ouvertement malveillant »

Paelleon Lin, chercheur au Citizen Lab de l’Université de Toronto, est l’auteur d’un 2021 rapport analysant la sécurité et la confidentialité de TikTok et Douyin, la version de l’application disponible en Chine (ils utilisent même la même icône).

Ce rapport indique qu’aucune des applications « ne semble présenter un comportement ouvertement malveillant » semblable à un logiciel malveillant ; et n’a collecté certaines informations qu’avec l’autorisation de l’utilisateur.

Sauf que Douyin a également acquis l’adresse MAC (Media Access Control) d’un appareil ; un identifiant unique à 12 chiffres. Même si vous réinitialisez complètement un téléphone et effacez toutes les informations personnelles, l’adresse MAC ne change pas et ces informations peuvent toujours être utilisées pour identifier un utilisateur, a déclaré Lin dans une interview depuis Taipei.

Google et Apple interdisent aux applications tierces de collecter des adresses MAC. (Douyin n’est pas disponible dans la boutique d’applications de l’une ou l’autre des sociétés.)

TikTok ne les a pas collectés, selon le rapport de Lin. Mais il avait l’habitude – selon un rapport de 2020 dans le le journal Wall Street qui a révélé que TikTok « a contourné une protection de la vie privée » dans le système d’exploitation Android de Google pour collecter les adresses MAC de millions d’appareils pendant plus d’un an. TikTok a déclaré au Wall Street Journal, à l’époque, que les nouvelles visions de l’application ne collectaient pas les adresses MAC de ces appareils.

« Profondément préoccupant »

Douyin n’a qu’à respecter la loi chinoise tandis que TikTok – qui stocke ses données aux États-Unis et à Singapour – doit se conformer aux lois de chaque pays.

Lin a déclaré que ses recherches n’avaient pas révélé que l’application se connectait directement à des serveurs en Chine, mais ne pouvaient pas exclure l’envoi de données d’un pays à un autre, puis vers la Chine.

TikTok et ByteDance insistent sur le fait qu’aucune information sur les utilisateurs n’est stockée en Chine continentale et qu’elle ne fournit pas de données sur les utilisateurs au gouvernement chinois.

Mais Potter d’Internet 2.0 remet cela en question.

« [China requires] TikTok et d’autres entreprises qui y ont leur siège social pour coopérer avec les priorités et le renseignement de sécurité nationale chinois », a-t-il déclaré, faisant écho à un point qui a souvent été soulevé lors de la récente querelle d’Ottawa avec Pékin au sujet du géant des télécommunications Huawei.

« Ils sont tenus de ne pas divulguer leur participation. C’est donc très préoccupant. »

Il a également cité un Flux d’actualités rapport selon lequel les employés de ByteDance en Chine continentale pourraient accéder aux informations des utilisateurs américains – ce qui, selon Potter, « montre qu’il y a un écart entre ce que TikTok dit au public et ce qu’il fait réellement sur le réseau ».

Interdiction plus large ?

Ottawa craint que la collecte par TikTok de données sensibles sur les appareils des employés fédéraux puisse ouvrir la voie à des cyberattaques.

Le gouvernement n’a pas indiqué qu’il souhaitait élargir l’interdiction, mais des discussions sont en cours aux États-Unis pour interdire purement et simplement TikTok et empêcher ByteDance de faire des affaires là-bas.

Kristen Csenkey, candidate au doctorat à la Balsillie School of International Affairs de l’Université de Waterloo, y voit des problèmes en raison du rôle de l’application à la fois en tant que plateforme sociale et source de revenus pour des millions de personnes.

« Nous devons examiner quelles sont les implications », a-t-elle déclaré. « Ce n’est pas seulement une technologie ou une application qui n’est utilisée que dans un seul but. »

Google et Apple pourraient, bien sûr, tuer efficacement TikTok en le démarrant depuis leur Play Store et App Store, respectivement. Mais on ne sait pas ce qu’il faudrait à l’une ou l’autre des sociétés pour prendre une mesure aussi radicale.

Protection de votre vie privée

Au niveau individuel, les informations que TikTok recueille auprès des utilisateurs ne sont pas d’une grande valeur, selon Potter.

« C’est vraiment l’agrégat, d’énormes quantités de données », a-t-il déclaré.

Mais pour les personnes qui souhaitent l’utiliser et qui sont préoccupées par la collecte de données, il existe des moyens de protéger sa vie privée.

Matthew Johnson, responsable de l’éducation pour HabiloMédias, basé à Ottawa, affirme que les plug-ins de navigateur Web et les applications pour téléphones intelligents tels que Privacy Badger, DuckDuckGo et Disconnect peuvent limiter la collecte de données.

Il recommande d’examiner de plus près les conditions de service que tant de personnes acceptent aveuglément, bien qu’il admette qu’il n’est « pas raisonnable » de s’attendre à ce que les utilisateurs passent au peigne fin chaque détail.

« Ils sont rédigés de manière à satisfaire les avocats plutôt que les consommateurs », a-t-il déclaré.

Il suggère également d’utiliser le site Web tosdr.org – qui signifie « Conditions d’utilisation ; N’a pas lu » – qui classe les conditions d’utilisation des sites Web et des applications et décrit succinctement toute préoccupation.

Ce site donne à TikTok sa note la plus basse.