Le flic de la protection de la vie privée de la FTC sévit

Le travail de la Federal Trade Commission des États-Unis est de protéger les consommateurs contre les pratiques commerciales trompeuses et déloyales. Et dernièrement, tromper et injuste a commencé à ressembler à une bonne description du traitement que les consommateurs trouvent sur Internet.

Défenseur des consommateurs : David Vladeck de la FTC a porté plainte contre Google et Facebook pour violation de la vie privée.

Les réseaux sociaux et les annonceurs collectent d'énormes quantités d'informations lorsque les gens surfent sur le Web. Pourtant, peu de consommateurs comprennent – ​​ou même lisent – ​​les accords de confidentialité complexes auxquels ils ont souscrit. De plus, certaines entreprises Internet les ignorent également.

Récemment, la FTC, qui compte 1 100 employés, a tenté de freiner le comportement des entreprises en ce qui concerne les informations personnelles en ligne des personnes. Au cours des deux dernières années, il a infligé des amendes à des courtiers en données tels que Parlé et a intenté des poursuites très médiatisées contre Facebook et Google pour violation des promesses de confidentialité que les entreprises ont faites à des centaines de millions de consommateurs.

La commission a agi avec fermeté. Mais son autorité est fondamentalement limitée. Cela fonctionne à partir de lois, comme la Fair Credit Reporting Act de 1970, qui ont été adoptées avant que les annonceurs ne puissent suivre ce que nous parcourons en ligne et avant que les téléphones intelligents ne puissent localiser nos emplacements. La FTC pense que de nouvelles protections plus larges des consommateurs sont nécessaires.

L'agence a négocié avec des sociétés Internet sur une norme volontaire connue sous le nom de Do Not Track. L'idée est de donner aux consommateurs la possibilité de ne pas être suivis sur le Web lorsqu'ils naviguent (et aux entreprises de faire des promesses de confidentialité que la FTC peut faire respecter). En mars, les cinq commissaires de la FTC sont allés plus loin, appelant le Congrès à adopter une nouvelle législation de base sur la confidentialité et la sécurité des données qui définirait les responsabilités des entreprises qui collectent des données personnelles en ligne ou hors ligne.

David Vladeck, ancien professeur de droit et avocat plaidant de longue date au sein du groupe de surveillance des consommateurs Public Citizen, est devenu directeur du Bureau de la protection des consommateurs de la FTC en 2009. La semaine dernière, il s'est entretenu avec Examen de la technologie rédactrice commerciale Jessica Leber.

ENFANTS : Quels sont les risques pour les consommateurs en ligne ?

Vladeck : Il y en a plusieurs. Nous avons assisté à une migration des fraudes traditionnelles vers Internet. Au cours des 18 derniers mois seulement, nous avons mis fin à trois escroqueries sur Internet qui ont fait perdre aux consommateurs près d'un milliard de dollars. Un autre est la confidentialité. La FTC veut s'assurer que les consommateurs contrôlent leurs informations personnelles et disposent de moyens simples, efficaces et persistants pour exercer ce contrôle. Troisièmement, nous nous inquiétons des attaques malveillantes (programmes malveillants, logiciels espions, pourriels) qui menacent de nuire à l'utilité et à la sécurité d'Internet.

Vous avez intenté d'importantes poursuites contre Facebook et Google , et vous les obligez à subir des audits tous les deux ans jusqu'en 2032. Quelle est l'importance de ces cas ?

Ce sont des exemples de mesures d'application que nous avons prises pour garantir que les entreprises respectent les promesses qu'elles font aux consommateurs en matière de confidentialité. Je pense que l'engagement que Google et Facebook ont ​​pris est vraiment important. Les auditeurs vont venir s'assurer qu'ils respectent bien les engagements énoncés dans leur politique de confidentialité. Les audits sont conçus pour s'assurer que les entreprises intègrent la confidentialité à chaque étape de l'offre d'un produit ou d'un service. Cela va nécessiter beaucoup d'argent et beaucoup de temps pour les entreprises qui n'ont pas commencé à faire les choses de cette façon. Et je pense qu'il est juste de dire que ni Facebook ni Google ne l'ont fait.

Ils doivent revenir en arrière et reconstruire leur entreprise d'une manière qui tienne compte de la vie privée. Je pense que ce sont des signaux importants pour l'industrie. Ce sont les plus grands enfants du quartier.

Vous êtes arrivé à la FTC en voulant changer son approche de la vie privée. Quel était le problème?

Notre cadre de confidentialité s'est développé principalement avant l'avènement d'Internet. Cela a commencé à s'effilocher dès qu'Internet est devenu le principal moyen de communication. Les entreprises élaboreraient des politiques de confidentialité. Ils seraient difficiles à trouver sur Internet. Ils ont été rédigés par des avocats comme moi qui utilisent des politiques de confidentialité non seulement pour parler de la façon dont les données seraient utilisées et collectées, mais aussi pour décliner toute responsabilité et pour répondre à tous les détails que l'entreprise pourrait vouloir traiter.

Quand je suis arrivé ici, je pense qu'il y avait un sentiment partagé que le paradigme qui avait servi dans un monde papier ne se traduisait pas très bien dans un monde plus numérique. Nous avons essayé de changer ce paradigme pour dépendre moins fortement des avis de confidentialité incompréhensibles et pour donner aux consommateurs le contrôle de leurs données.

Est-ce pour cela que la FTC a demandé au Congrès d'adopter de nouvelles lois sur la protection de la vie privée ?

Nous avons demandé une action du Congrès dans deux domaines. L'un est dans la sécurité des données. Une partie de la confidentialité consiste à protéger les données. Nous voyons, à maintes reprises, des entreprises conserver des informations vraiment sensibles et ne pas prendre de précautions raisonnables pour protéger ces données. Nous voulons que le Congrès nous donne le pouvoir d'imposer des sanctions civiles aux entreprises qui ne respectent pas leur obligation de protéger les informations des consommateurs. Plus récemment, nous avons exhorté le Congrès à adopter une législation de base sur la protection de la vie privée. Nous pouvons promouvoir les protections de base de la vie privée grâce à l'éducation du public, à l'élaboration de politiques et à leur application. Mais une législation de base sur la protection de la vie privée nous donnerait un outil plus large. Cela permettrait également d'uniformiser les règles du jeu afin que les entreprises qui respectent la vie privée ne soient pas désavantagées sur le marché.

En attendant, votre agence conseillé que les sociétés Internet adoptent volontairement une politique Do Not Track. Et s'ils ne le font pas ?

Nous espérons que l'industrie, les fabricants de navigateurs et les annonceurs s'assoient tous et proposent un régime Do Not Track qui respecte les marqueurs que nous avons fixés. Je pense que s'ils ne le font pas, il y a de fortes chances que le Congrès impose cela de lui-même.

Comment pouvons-nous être sûrs que les entreprises respecteront Do Not Track si c'est volontaire ?

Nous pensons que si une entreprise prend cet engagement et le viole, nous serons en mesure de le détecter, et cela donnera lieu à un cas d'application. Nous avons le pouvoir d'obliger les gens à respecter leurs promesses en matière de confidentialité. Nous avons des technologues dans notre personnel qui nous assurent qu'il existe déjà des moyens que nous et d'autres pouvons détecter le suivi, aussi sophistiqué soit-il.

Est-ce pour cela que vous avez recruté des experts en technologie ?

Je ne pense pas que nous puissions être un organisme d'application efficace si nous n'avons pas la capacité technologique de détecter et de prouver devant les tribunaux qu'il y a des violations. Il y a environ deux ans, nous avons commencé à construire le premier laboratoire mobile médico-légal, pour examiner les appareils mobiles. Notre préoccupation est que nous voyons à la fois des violations de la vie privée et des fraudes migrer vers les téléphones intelligents. Et nous voulions avoir la possibilité non seulement de comprendre qu'ils se produisaient, mais aussi de capturer des preuves en temps réel que nous pourrions ensuite utiliser dans une procédure judiciaire. nous avons prouvé , par exemple, qu'une société d'applications pour enfants collectait les données de géolocalisation des enfants sans obtenir le consentement des parents.

Mais il y a des tonnes de défis. Il existe un logiciel standard que vous pouvez utiliser pour effectuer des captures de preuves pour les ordinateurs ordinaires. Pour le moment, dans le mobile, il n'y en a aucun qui capture les types de preuves générales dont nous avons besoin. Nous avons donc dû faire preuve d'ingéniosité pour assembler notre laboratoire.

Le laboratoire médico-légal surveille-t-il les applications en général ou se concentre-t-il sur les enquêtes ?

Nous menons des enquêtes, dont nous ne vous parlerons pas ici. Un exemple qui vous donne une idée du travail : nous avons fait un rapport sur les applications pour enfants il y a environ trois mois. Nous avons testé probablement 500 ou 600 applications.

Selon vous, quelles questions sur la confidentialité des mobiles seront importantes dans un proche avenir ?

Comme vous le savez, les gens d'outre-mer utilisent maintenant leurs téléphones intelligents comme portefeuilles. Cette technologie arrive aux États-Unis et arrive très rapidement. C'est évidemment très pratique pour les consommateurs, mais il y a de sérieux problèmes de confidentialité et de sécurité. Nous avons également organisé une grande conférence en mai sur ce que nous appelons les divulgations point-com. C'est-à-dire, comment pouvez-vous faire des divulgations [de confidentialité] efficaces sur votre téléphone intelligent compte tenu de la petite superficie ?

[Note de la rédaction : la FTC a précisé qu'elle n'avait pas téléchargé ni testé les applications pour enfants. Comme décrit dans son rapport, il a étudié les divulgations de confidentialité et les descriptions de ces applications.]

cacher